Objets route IRR et RADb : pourquoi un préfixe est filtré

Un objet route est un enregistrement public qui indique quel numéro d'AS peut être l'origine d'un préfixe. Les opérateurs de transit construisent les filtres de votre session BGP à partir de ces enregistrements : un préfixe qui n'en a pas est donc souvent rejeté avant même d'atteindre le reste d'Internet, même si son ROA est parfait. Le RPKI n'a pas remplacé les registres de routage ; la plupart des réseaux utilisent encore les deux.

Ce qu'est un objet route

Les registres de routage (IRR) contiennent des objets dans un format texte simple. Celui qui compte pour une annonce est l'objet route :

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Il associe un préfixe à un AS d'origine. Si le bloc est annoncé depuis deux ASN, il lui faut deux objets route.

Où ils vivent

• La base de données RIPE est le registre des adresses de la région de service du RIPE NCC, et c'est là que doivent se trouver les objets route pour ces adresses. En créer un exige l'autorisation du titulaire de l'espace d'adresses : un inconnu ne peut donc pas enregistrer votre bloc.
• L'ARIN et l'APNIC tiennent des registres pour leurs propres adresses : celui de l'ARIN dans ARIN Online, pour les adresses sous contrat ARIN, et celui de l'APNIC dans sa Whois Database (ARIN, APNIC).
• RADb, géré par Merit, une organisation à but non lucratif, est un registre sur abonnement qui contient des objets pour des adresses de toutes les régions. Beaucoup de réseaux l'interrogent à côté des registres régionaux, c'est pourquoi on le retrouve dans tant de configurations, et pourquoi il vaut la peine de vérifier ce qu'il dit de votre bloc.

Comment votre opérateur de transit les utilise

La plupart des fournisseurs développent automatiquement, à partir des registres, ce que vous êtes autorisé à envoyer en une liste de préfixes : votre numéro d'AS, ou un as-set qui liste le vôtre et ceux de vos clients, est recherché, et chaque objet route dont l'origine correspond devient une entrée du filtre de votre session. Des outils comme bgpq4 le font :

bgpq4 -4 -l allowed AS64500

Si la liste qu'il affiche ne contient pas votre préfixe, le filtre de votre opérateur de transit non plus. Les filtres sont souvent reconstruits une fois par jour : un nouvel objet route peut donc mettre ce temps à prendre effet.

Vérifier ce que disent les registres

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Vous cherchez trois choses : un objet route avec votre AS d'origine, aucun objet route oublié pour un ASN qui n'annonce plus le bloc, et la même image dans le registre régional et dans RADb.

Les erreurs qui font filtrer un préfixe

• Aucun objet route. L'erreur la plus courante, et la raison pour laquelle une nouvelle location ou un nouvel opérateur de transit « ne marche pas » le premier jour.
• La mauvaise origine. L'objet indique l'ASN de l'utilisateur précédent, ou celui de votre fournisseur alors que vous annoncez vous-même.
• D'anciens objets laissés en place. Ils permettent aux filtres d'autres réseaux d'accepter des annonces de votre bloc depuis un ASN qui ne devrait plus les envoyer. Supprimez-les quand une location prend fin ou qu'un fournisseur change.
• Les modifications que le fournisseur fait pour vous. En BYOIP, certains fournisseurs créent eux-mêmes l'objet route ; AWS, par exemple, met à jour RADb de lui-même et indique que des modifications manuelles mentionnant son ASN font échouer le provisionnement (le BYOIP chez AWS).

Objets route et RPKI ensemble

Un ROA et un objet route décrivent la même chose, le préfixe et l'AS qui peut en être l'origine, pour deux types de vérification. Gardez-les alignés : modifiez les deux dans la même fenêtre chaque fois que l'origine change, et vérifiez les deux depuis l'extérieur de votre propre réseau (RPKI et ROA).

La place de RTM Networks

Pour les adresses louées chez nous, nous créons l'objet route pour votre ASN, ou celui de votre fournisseur, dans le cadre de la location, avec le ROA et, chaque fois que vous en avez besoin, la lettre d'autorisation, et nous les supprimons à la fin de la location (louer de l'IPv4).