Comment vérifier un bloc IP avant de l'acheter ou de le louer

Un bloc qui semble correct sur le papier peut arriver inscrit sur une liste noire, avec un historique de détournements, ou enregistré au nom d'une société qui n'existe plus. L'essentiel se vérifie en une demi-heure avec des outils publics, avant toute signature. Voici les sept vérifications que nous menons sur chaque bloc, et comment les faire vous-même. Les exemples utilisent la plage de documentation 203.0.113.0/24 ; remplacez-la par le bloc qu'on vous propose.

1. L'enregistrement au registre

Commencez par savoir qui, selon le registre, détient le bloc, et de quel type de bloc il s'agit.

whois -h whois.ripe.net 203.0.113.0/24

Vérifiez quatre choses dans la réponse :

• Le titulaire. L'organisation de l'enregistrement doit être celle qui vend, ou celle qui vous le loue. Un autre nom, une société dissoute ou un nom changé lors d'une fusion est la raison la plus fréquente pour laquelle une transaction s'enlise (ce qui fait varier le prix).
• Le statut. ALLOCATED PA, ASSIGNED PI ou LEGACY détermine qui peut détenir le bloc et si ses adresses peuvent aller à vos clients (PA, PI ou legacy).
• Le contact abuse. Ce doit être une boîte que quelqu'un lit.
• Les remarques. Des notes sur un litige, une sous-attribution ou une autre location méritent une question avant d'aller plus loin.

2. Les listes noires, adresse par adresse

Une inscription concerne en général des adresses isolées, pas le bloc entier : vérifiez donc les 256. La zone combinée de Spamhaus, ZEN, répond pour ses listes SBL, CSS, XBL et PBL en une requête DNS par adresse :

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Lancez-la via votre propre résolveur. Spamhaus refuse les requêtes qui arrivent par les grands résolveurs publics et y répond par un code d'erreur dans la plage 127.255.255.x, qui n'est pas une inscription. Ses serveurs publics gratuits sont destinés aux « low-volume, non-commercial users » (traduction : « utilisateurs à faible volume, non commerciaux ») et sont en cours de retrait : la boucle peut donc cesser de répondre ; l'IP and Domain Reputation Checker de Spamhaus interroge une adresse à la fois.

Certaines listes jugent plus que l'adresse. Une inscription Spamhaus d'une plage apparaît dans la boucle comme une suite d'adresses inscrites. UCEPROTECT inscrit des allocations entières au niveau 2 et chaque adresse d'un réseau qui compte trop d'inscriptions au niveau 3, et son outil de vérification indique quel niveau s'applique. Les autres listes qui comptent, et les outils qui les vérifient, sont dans les listes noires IP.

3. Qui l'a annoncé, et quand

L'historique de routage montre quels réseaux ont été l'origine du bloc, et pendant combien de temps.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Ce que vous voulez voir, c'est une seule origine à la fois, correspondant aux titulaires dont le vendeur vous parle. De courtes annonces par des réseaux sans lien, surtout pendant que le bloc était officiellement inutilisé, sont la signature d'un détournement. Un bloc que personne n'a annoncé depuis des années n'est pas un problème en soi, mais c'est exactement ce que recherchent les auteurs de détournements : le dossier doit donc être irréprochable.

4. Le RPKI tel qu'il est

Les ROA restent jusqu'à ce que le titulaire les supprime. Dans une location, c'est votre loueur, et un ROA pour l'ASN de l'utilisateur précédent que personne n'a supprimé rendra votre annonce invalide (RPKI et ROA). Un transfert au RIPE NCC supprime les ROA du vendeur : créez donc le vôtre dès qu'il est terminé.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Demandez que chaque ROA couvrant le bloc soit supprimé ou remplacé par un ROA pour votre ASN, ou celui de votre fournisseur, avant la remise.

5. Où le monde le situe

Les bases de géolocalisation décident dans quel pays un bloc semble se trouver, et cela décide des contenus que voient vos utilisateurs et des systèmes de paiement qui leur font confiance.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Ce sont les données gratuites de MaxMind. Cherchez aussi le bloc dans les autres grandes bases, et vérifiez si l'une d'elles le classe comme espace d'hébergement ou de VPN, ce qui peut compter davantage que le pays. Un bloc placé dans le mauvais pays peut être corrigé, mais sur l'ensemble des bases cela peut prendre six semaines ou plus : mieux vaut le savoir maintenant qu'après le lancement (la géolocalisation IP).

6. Les signalements d'abus

Des bases communautaires comme AbuseIPDB recueillent les signalements d'attaques venant d'adresses individuelles. L'API d'AbuseIPDB vérifie un /24 entier en une requête, sur les 30 derniers jours avec un compte gratuit :

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Quelques anciens signalements sont normaux pour des adresses qui ont servi ; un flux continu venant de nombreuses adresses ne l'est pas.

7. L'historique des transferts

Si vous achetez, demandez quand le vendeur a reçu le bloc. Des adresses IPv4 reçues par un transfert ne peuvent pas être transférées à nouveau pendant 24 mois dans la région de service du RIPE NCC, et les adresses de la réserve 103/8 de l'APNIC pas avant cinq ans après leur première attribution (les règles de transfert comparées). Si vous préférez que votre paiement soit conservé jusqu'à ce que le registre enregistre le transfert, un séquestre peut le détenir.

Ce qu'il faut demander au vendeur ou au loueur

• Quand avez-vous reçu le bloc, et de qui ?
• Qui l'a utilisé ces deux dernières années, et pour quoi faire ?
• Existe-t-il actuellement des ROA, des objets route ou des objets domain pour ce bloc, et qui les supprimera ?
• Quelque chose est-il inscrit sur une liste, et qu'a-t-on fait ?
• Pour une location : qu'advient-il du bloc si la location est renouvelée, et que dit le contrat sur sa reprise ?

La place de RTM Networks

Nous menons ces vérifications avant de proposer un bloc, et nous vérifions chaque bloc IPv4 que nous louons sur les listes noires chaque jour, tant que vous l'avez (louer de l'IPv4, acheter de l'IPv4). Si l'on vous propose un bloc ailleurs et que vous voulez un second avis, envoyez-nous le préfixe et nous vous dirons ce que nous voyons.