Cómo comprobar un bloque IP antes de comprarlo o alquilarlo

Un bloque que parece correcto sobre el papel puede llegar en una lista de bloqueo, con un historial de secuestros o inscrito a una empresa que ya no existe. Casi todo eso puede comprobarse en media hora con herramientas públicas, antes de firmar nada. Estas son las siete comprobaciones que hacemos en cada bloque, y cómo hacerlas tú mismo. Los ejemplos usan el rango de documentación 203.0.113.0/24; sustitúyelo por el bloque que te ofrecen.

1. El registro

Empieza por quién dice el registro que es titular del bloque, y qué tipo de bloque es.

whois -h whois.ripe.net 203.0.113.0/24

Comprueba cuatro cosas en la respuesta:

• El titular. La organización del registro debería ser la que vende, o la que te lo alquila. Un nombre distinto, una empresa disuelta o un nombre que cambió en una fusión es el motivo más habitual de que una operación se atasque (qué mueve el precio).
• El estado. ALLOCATED PA, ASSIGNED PI o LEGACY decide quién puede tener el bloque y si sus direcciones pueden ir a tus clientes (PA, PI o legacy).
• El contacto de abuso. Debería ser un buzón que alguien lea.
• Las observaciones. Las notas sobre una disputa, una subasignación u otro alquiler merecen una pregunta antes de seguir.

2. Listas de bloqueo, dirección por dirección

Un listado suele afectar a direcciones sueltas, no al bloque entero, así que comprueba las 256. La zona combinada de Spamhaus, ZEN, responde por sus listas SBL, CSS, XBL y PBL con una consulta DNS por dirección:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Ejecútalo con tu propio resolver. Spamhaus rechaza las consultas que llegan a través de los grandes resolvers públicos y las responde con un código de error en el rango 127.255.255.x, que no es un listado. Sus servidores públicos gratuitos son para «low-volume, non-commercial users» (traducción: «usuarios de bajo volumen y no comerciales») y se están retirando poco a poco, así que el bucle puede dejar de responder; el IP and Domain Reputation Checker de Spamhaus consulta una dirección cada vez.

Algunas listas juzgan algo más que la dirección. Un listado de Spamhaus de un rango aparece en el bucle como una serie de direcciones listadas. UCEPROTECT lista asignaciones enteras en el nivel 2 y todas las direcciones de una red con demasiados listados en el nivel 3, y su comprobador muestra qué nivel se aplica. Las demás listas que importan, y las herramientas que las comprueban, están en listas negras de IP.

3. Quién lo ha anunciado, y cuándo

El historial de enrutamiento muestra qué redes han originado el bloque, y durante cuánto tiempo.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Lo que quieres ver es un origen cada vez, que coincida con los titulares de los que te habla el vendedor. Los anuncios breves de redes sin relación, sobre todo mientras el bloque estaba oficialmente sin uso, son la firma de un secuestro. Un bloque que nadie ha anunciado en años no es un problema en sí, pero es justo lo que buscan los secuestradores, así que el registro debe ser impecable.

4. RPKI tal como está

Los ROA siguen ahí hasta que el titular las quita. En un alquiler, ese es tu arrendador, y un ROA para el ASN del usuario anterior que nadie quitó hará que tu anuncio sea inválido (RPKI y ROA). Una transferencia en el RIPE NCC elimina los ROA del vendedor, así que crea las tuyas en cuanto se complete.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Pide que se quite cada ROA que cubra el bloque, o que se sustituya por uno para tu ASN o el de tu proveedor, antes de la entrega.

5. Dónde cree el mundo que está

Las bases de datos de geolocalización deciden en qué país parece estar un bloque, y eso decide qué contenido ven tus usuarios y qué sistemas de pago confían en ellos.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Esos son los datos gratuitos de MaxMind. Consulta el bloque también en las otras bases de datos principales, y comprueba si alguna lo etiqueta como espacio de hosting o de VPN, lo que puede pesar más que el país. Un bloque situado en el país equivocado puede corregirse, pero en todas las bases de datos puede tardar seis semanas o más, así que es mejor saberlo ahora que después del lanzamiento (geolocalización IP).

6. Denuncias de abuso

Las bases de datos comunitarias como AbuseIPDB recogen denuncias de ataques desde direcciones concretas. La API de AbuseIPDB comprueba un /24 entero en una sola petición, sobre los últimos 30 días con una cuenta gratuita:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Unas pocas denuncias antiguas son normales en un espacio que se ha usado; un flujo constante desde muchas direcciones no lo es.

7. Historial de transferencias

Si vas a comprar, pregunta cuándo recibió el vendedor el bloque. Las IPv4 recibidas por transferencia no pueden volver a transferirse durante 24 meses en la región de servicio del RIPE NCC, y las direcciones del pool 103/8 de APNIC, durante cinco años desde que se entregaron por primera vez (reglas de transferencia comparadas). Si prefieres que tu pago quede retenido hasta que el registro anote la transferencia, un escrow puede retenerlo.

Qué preguntar al vendedor o al arrendador

• ¿Cuándo recibiste el bloque, y de quién?
• ¿Quién lo ha usado en los dos últimos años, y para qué?
• ¿Hay ahora ROA, objetos route u objetos domain para él, y quién los quitará?
• ¿Hay algo listado, y qué se hizo al respecto?
• En un alquiler: ¿qué pasa con el bloque si se renueva el alquiler, y qué dice el contrato sobre recuperarlo?

Dónde encaja RTM Networks

Hacemos estas comprobaciones antes de ofrecer un bloque, y comprobamos a diario en listas de bloqueo cada bloque IPv4 que alquilamos durante todo el tiempo que lo tengas (alquilar IPv4, comprar IPv4). Si te ofrecen un bloque en otro sitio y quieres una segunda opinión, envíanos el prefijo y te diremos lo que vemos.