Route objects IRR και RADb: γιατί φιλτράρεται ένα prefix

Ένα route object είναι μια δημόσια εγγραφή που λέει ποιος αριθμός AS μπορεί να είναι η προέλευση ενός prefix. Οι upstream πάροχοι δημιουργούν τα φίλτρα στη συνεδρία BGP σας από αυτές τις εγγραφές, οπότε ένα prefix χωρίς route object συχνά απορρίπτεται πριν φτάσει ποτέ στο ευρύτερο διαδίκτυο, ακόμη κι όταν το ROA του είναι τέλειο. Το RPKI δεν έχει αντικαταστήσει τα μητρώα δρομολόγησης. Τα περισσότερα δίκτυα εξακολουθούν να χρησιμοποιούν και τα δύο.

Τι είναι ένα route object

Τα μητρώα δρομολόγησης (IRR) περιέχουν αντικείμενα σε απλή μορφή κειμένου. Αυτό που μετρά για μια ανακοίνωση είναι το αντικείμενο route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Συνδέει ένα prefix με ένα AS προέλευσης. Αν το μπλοκ ανακοινώνεται από δύο ASN, χρειάζεται δύο route objects.

Πού βρίσκονται

• Η RIPE Database είναι το μητρώο για χώρο στην περιοχή εξυπηρέτησης του RIPE NCC, και τα route objects για αυτόν τον χώρο ανήκουν εκεί. Η δημιουργία ενός απαιτεί την εξουσιοδότηση του κατόχου του χώρου διευθύνσεων, οπότε ένας άγνωστος δεν μπορεί να καταχωρίσει το μπλοκ σας.
• Το ARIN και το APNIC λειτουργούν μητρώα για τον δικό τους χώρο: του ARIN μέσα στο ARIN Online, για χώρο υπό σύμβαση με το ARIN, και του APNIC στη Whois Database του (ARIN, APNIC).
• Η RADb, που λειτουργεί η Merit, ένας μη κερδοσκοπικός οργανισμός, είναι μητρώο με συνδρομή που περιέχει αντικείμενα για χώρο από οποιαδήποτε περιοχή. Πολλά δίκτυα την αναζητούν παράλληλα με τα περιφερειακά μητρώα, γι' αυτό εμφανίζεται σε τόσες ρυθμίσεις, και γι' αυτό αξίζει να ελέγξετε τι λέει για το μπλοκ σας.

Πώς τα χρησιμοποιεί ο upstream σας

Οι περισσότεροι πάροχοι αναπτύσσουν όσα σας επιτρέπεται να στέλνετε σε μια λίστα prefixes, αυτόματα, από τα μητρώα: αναζητείται ο αριθμός AS σας, ή ένα as-set που περιέχει τον δικό σας και των πελατών σας, και κάθε route object με αντίστοιχη προέλευση γίνεται εγγραφή στο φίλτρο της συνεδρίας σας. Εργαλεία όπως το bgpq4 το κάνουν αυτό:

bgpq4 -4 -l allowed AS64500

Αν η λίστα που εκτυπώνει δεν περιέχει το prefix σας, ούτε το φίλτρο του upstream σας θα το περιέχει. Τα φίλτρα συχνά ανανεώνονται μία φορά την ημέρα, οπότε ένα νέο route object μπορεί να χρειαστεί τόσο χρόνο για να ισχύσει.

Πώς ελέγχετε τι λένε τα μητρώα

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Αναζητάτε τρία πράγματα: ένα route object με το AS προέλευσής σας, κανένα route object που έχει μείνει για ένα ASN που δεν ανακοινώνει πια το μπλοκ, και την ίδια εικόνα στο περιφερειακό μητρώο και στη RADb.

Λάθη που οδηγούν σε φιλτράρισμα ενός prefix

• Κανένα route object. Το συχνότερο, και ο λόγος που μια νέα μίσθωση ή ένας νέος upstream «δεν λειτουργεί» την πρώτη ημέρα.
• Λάθος προέλευση. Το αντικείμενο αναφέρει το ASN του προηγούμενου χρήστη, ή του παρόχου σας όταν το ανακοινώνετε εσείς.
• Παλιά αντικείμενα που έμειναν. Επιτρέπουν στα φίλτρα άλλων να δέχονται ανακοινώσεις του μπλοκ σας από ένα ASN που δεν θα έπρεπε πια να τις στέλνει. Αφαιρέστε τα όταν λήγει μια μίσθωση ή αλλάζει ένας πάροχος.
• Αλλαγές που κάνει ο πάροχος για εσάς. Μέσω BYOIP ορισμένοι πάροχοι δημιουργούν οι ίδιοι το route object. Το AWS, για παράδειγμα, ενημερώνει μόνο του τη RADb και αναφέρει ότι χειροκίνητες αλλαγές που αναφέρουν το ASN του κάνουν την παροχή να αποτυγχάνει (AWS BYOIP).

Route objects και RPKI μαζί

Ένα ROA και ένα route object περιγράφουν το ίδιο πράγμα, το prefix και το AS που μπορεί να είναι η προέλευσή του, για δύο είδη ελέγχου. Κρατήστε τα συγχρονισμένα: αλλάξτε και τα δύο στο ίδιο παράθυρο κάθε φορά που αλλάζει η προέλευση, και ελέγξτε και τα δύο από έξω από το δικό σας δίκτυο (RPKI και ROA).

Πού ταιριάζει η RTM Networks

Για χώρο μισθωμένο από εμάς, δημιουργούμε το route object για το ASN σας, ή του παρόχου σας, ως μέρος της μίσθωσης, μαζί με το ROA και, όποτε τη χρειάζεστε, την Επιστολή Εξουσιοδότησης, και τα αφαιρούμε όταν λήγει η μίσθωση (μίσθωση IPv4).