Objetos route del IRR y RADb: por qué se filtra un prefijo

Un objeto route es un registro público que dice qué número AS puede originar un prefijo. Los proveedores de tránsito construyen los filtros de tu sesión BGP a partir de estos registros, así que un prefijo sin uno suele descartarse antes de llegar al resto de internet, aunque su ROA sea perfecto. RPKI no ha sustituido a los registros de enrutamiento; la mayoría de las redes siguen usando ambos.

Qué es un objeto route

Los registros de enrutamiento (IRR) guardan objetos en un formato de texto sencillo. El que importa para un anuncio es el objeto route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Empareja un prefijo con un AS de origen. Si el bloque se anuncia desde dos ASN, necesita dos objetos route.

Dónde están

• La RIPE Database es el registro para el espacio de la región de servicio del RIPE NCC, y los objetos route de ese espacio van ahí. Crear uno requiere la autorización del titular del espacio de direcciones, así que un desconocido no puede registrar tu bloque.
• ARIN y APNIC tienen registros para su propio espacio: el de ARIN dentro de ARIN Online, para espacio con un acuerdo con ARIN, y el de APNIC en su Whois Database (ARIN, APNIC).
• RADb, gestionado por Merit, una organización sin ánimo de lucro, es un registro de suscripción que guarda objetos para espacio de cualquier región. Muchas redes lo consultan junto a los registros regionales, por eso aparece en tantas configuraciones y por eso merece la pena comprobar lo que dice de tu bloque.

Cómo los usa tu proveedor de tránsito

La mayoría de los proveedores convierten lo que se te permite enviar en una lista de prefijos, automáticamente, a partir de los registros: se consulta tu número AS, o un as-set que lista el tuyo y los de tus clientes, y cada objeto route con un origen que coincide pasa a ser una entrada del filtro de tu sesión. Herramientas como bgpq4 hacen esto:

bgpq4 -4 -l allowed AS64500

Si la lista que imprime no contiene tu prefijo, el filtro de tu proveedor tampoco. Los filtros se suelen reconstruir una vez al día, así que un objeto route nuevo puede tardar ese tiempo en surtir efecto.

Comprobar lo que dicen los registros

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Buscas tres cosas: un objeto route con tu AS de origen, ningún objeto route olvidado para un ASN que ya no anuncia el bloque, y la misma imagen en el registro regional y en RADb.

Errores que hacen que se filtre un prefijo

• Ningún objeto route. El más habitual, y la razón de que un alquiler nuevo o un proveedor nuevo «no funcione» el primer día.
• El origen equivocado. El objeto indica el ASN del usuario anterior, o el de tu proveedor cuando lo anuncias tú.
• Objetos antiguos que siguen ahí. Permiten que los filtros de otros acepten anuncios de tu bloque desde un ASN que ya no debería enviarlos. Quítalos cuando termina un alquiler o cambia un proveedor.
• Cambios que el proveedor hace por ti. Con BYOIP, algunos proveedores crean ellos mismos el objeto route; AWS, por ejemplo, actualiza RADb por su cuenta y dice que los cambios manuales que indican su ASN hacen fallar el aprovisionamiento (BYOIP en AWS).

Objetos route y RPKI juntos

Un ROA y un objeto route describen lo mismo, el prefijo y el AS que puede originarlo, para dos tipos de comprobación. Mantenlos alineados: cambia ambos en la misma ventana cada vez que cambie el origen, y comprueba ambos desde fuera de tu propia red (RPKI y ROA).

Dónde encaja RTM Networks

Para el espacio que nos alquilas, creamos el objeto route para tu ASN, o el de tu proveedor, como parte del alquiler, junto con el ROA y, siempre que la necesites, la Letter of Authorization, y los quitamos cuando termina el alquiler (alquilar IPv4).