IRR-route-objektit ja RADb: miksi prefiksi suodatetaan

Route-objekti on julkinen tietue, joka kertoo, mikä AS-numero saa olla prefiksin origin. Upstream-palveluntarjoajat rakentavat BGP-istuntosi suodattimet näistä tietueista, joten prefiksi ilman sellaista pudotetaan usein ennen kuin se edes tavoittaa laajemman internetin, vaikka sen ROA olisi täydellinen. RPKI ei ole korvannut reititysrekistereitä; useimmat verkot käyttävät yhä molempia.

Mikä route-objekti on

Reititysrekisterit (IRR) säilyttävät objekteja yksinkertaisessa tekstimuodossa. Ilmoituksen kannalta merkityksellinen on route-objekti:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Se yhdistää yhden prefiksin yhteen origin-AS:ään. Jos lohko ilmoitetaan kahdelta ASN:ltä, se tarvitsee kaksi route-objektia.

Missä ne ovat

• RIPE Database on RIPE NCC:n palvelualueen avaruuden rekisteri, ja sen avaruuden route-objektit kuuluvat sinne. Sellaisen luominen vaatii osoiteavaruuden haltijan valtuutuksen, joten vieras ei voi rekisteröidä lohkoasi.
• ARIN ja APNIC ylläpitävät rekistereitä omalle avaruudelleen: ARINin rekisteri on ARIN Onlinessa, ARIN-sopimuksen alaiselle avaruudelle, ja APNICin sen Whois Databasessa (ARIN, APNIC).
• RADb, jota ylläpitää voittoa tavoittelematon Merit, on tilauspohjainen rekisteri, joka säilyttää objekteja minkä tahansa alueen avaruudelle. Monet verkot kysyvät sitä alueellisten rekisterien rinnalla, minkä vuoksi se esiintyy niin monessa kokoonpanossa, ja minkä vuoksi kannattaa tarkistaa, mitä se sanoo lohkostasi.

Miten upstreamisi käyttää niitä

Useimmat palveluntarjoajat laajentavat sen, mitä saat lähettää, prefiksiluetteloksi automaattisesti rekistereistä: AS-numerosi tai as-set, joka luettelee sinun ja asiakkaidesi AS:t, haetaan, ja jokaisesta route-objektista, jonka origin täsmää, tulee merkintä istuntosi suodattimeen. Tämän tekevät työkalut kuten bgpq4:

bgpq4 -4 -l allowed AS64500

Jos sen tulostama luettelo ei sisällä prefiksiäsi, ei sisällä upstreamisi suodatinkaan. Suodattimet rakennetaan usein uudelleen kerran päivässä, joten uuden route-objektin voimaantulo voi kestää niin kauan.

Mitä rekisterit sanovat

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Etsit kolmea asiaa: route-objektia, jossa on origin-AS:si, ei jäljelle jääneitä route-objekteja ASN:lle, joka ei enää ilmoita lohkoa, ja samaa kuvaa alueellisessa rekisterissä ja RADb:ssä.

Virheet, joiden vuoksi prefiksi suodatetaan

• Ei route-objektia lainkaan. Yleisin, ja syy siihen, että uusi vuokraus tai uusi upstream ”ei toimi” ensimmäisenä päivänä.
• Väärä origin. Objekti nimeää edellisen käyttäjän ASN:n tai palveluntarjoajasi ASN:n, vaikka ilmoitat lohkon itse.
• Vanhat objektit jätetty paikalleen. Niiden vuoksi jonkun muun suodattimet hyväksyvät lohkosi ilmoituksia ASN:ltä, jonka ei pitäisi enää lähettää niitä. Poista ne, kun vuokraus päättyy tai palveluntarjoaja vaihtuu.
• Palveluntarjoajan puolestasi tekemät muutokset. BYOIP:ssä jotkin palveluntarjoajat luovat route-objektin itse; esimerkiksi AWS päivittää RADb:tä itse ja kertoo, että sen ASN:n nimeävät manuaaliset muutokset saavat käyttöönoton epäonnistumaan (AWS BYOIP).

Route-objektit ja RPKI yhdessä

ROA ja route-objekti kuvaavat samaa asiaa, prefiksiä ja AS:ää, joka saa olla sen origin, kahdenlaista tarkistusta varten. Pidä ne tahdissa: muuta molemmat samassa ikkunassa aina, kun origin muuttuu, ja tarkista molemmat oman verkkosi ulkopuolelta (RPKI ja ROA:t).

Missä RTM Networks auttaa

Meiltä vuokratulle avaruudelle luomme route-objektin sinun tai palveluntarjoajasi ASN:lle osana vuokrausta, yhdessä ROA:n ja aina tarvittaessa Letter of Authorizationin kanssa, ja poistamme ne, kun vuokraus päättyy (vuokraa IPv4).