Hvernig þú kannar IP-blokk áður en þú kaupir hana eða leigir

Blokk sem lítur vel út á pappír getur borist á bannlista (blocklist), með sögu um rán (hijack), eða skráð á fyrirtæki sem er ekki lengur til. Flest af þessu má kanna á hálftíma með opnum tólum, áður en nokkuð er undirritað. Þetta eru sjö athuganirnar sem við gerum á hverri blokk, og hvernig þú gerir þær sjálf(ur). Dæmin nota skjölunarbilið 203.0.113.0/24; settu í staðinn blokkina sem þér er boðin.

1. Færslan hjá skráningaraðilanum

Byrjaðu á því hver skráningaraðilinn segir að hafi blokkina, og hvers konar blokk hún er.

whois -h whois.ripe.net 203.0.113.0/24

Kannaðu fjögur atriði í svarinu:

• Handhafinn. Fyrirtækið í færslunni ætti að vera það sem selur, eða það sem leigir þér. Annað nafn, slitið fyrirtæki eða nafn sem breyttist við samruna er algengasta ástæðan fyrir því að viðskipti stöðvast (hvað hefur áhrif á verðið).
• Staðan. ALLOCATED PA, ASSIGNED PI eða LEGACY ræður því hver má hafa blokkina og hvort tölur hennar mega fara til viðskiptavina þinna (PA, PI eða legacy).
• Misnotkunartengiliðurinn (abuse contact). Það ætti að vera pósthólf sem einhver les.
• Athugasemdir (remarks). Ábendingar um ágreining, undirúthlutun eða aðra leigu eru þess virði að spyrja um áður en lengra er haldið.

2. Bannlistar, tala fyrir tölu

Skráning á yfirleitt við stakar tölur, ekki alla blokkina, svo kannaðu allar 256. Sameinaða svæði Spamhaus, ZEN, svarar fyrir SBL-, CSS-, XBL- og PBL-listana í einni DNS-fyrirspurn á hverja tölu:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Keyrðu þetta í gegnum þinn eigin resolver. Spamhaus hafnar fyrirspurnum sem berast í gegnum stóru opinberu resolverana og svarar þeim með villukóða á bilinu 127.255.255.x, sem er ekki skráning. Ókeypis opinberu þjónarnir þess eru fyrir „low-volume, non-commercial users“ (þýðing: notendur með lítið magn, ekki í viðskiptaskyni) og verið er að leggja þá niður, svo lykkjan gæti hætt að fá svör; tól Spamhaus, IP and Domain Reputation Checker, flettir upp einni tölu í einu.

Sumir listar meta meira en töluna. Skráning Spamhaus á bili birtist í lykkjunni sem röð skráðra talna. UCEPROTECT skráir heilar úthlutanir á Level 2 og hverja tölu nets með of margar skráningar á Level 3, og athugunartól þess sýnir hvaða stig á við. Hinir listarnir sem skipta máli, og tólin sem kanna þá, eru í bannlistum.

3. Hver hefur tilkynnt hana, og hvenær

Leiðasagan sýnir hvaða net hafa verið uppruni blokkarinnar, og hve lengi.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Það sem þú vilt sjá er einn uppruni í einu, sem passar við handhafana sem seljandinn segir þér frá. Stuttar tilkynningar frá óskyldum netum, sérstaklega meðan blokkin var opinberlega ónotuð, eru einkenni ráns. Blokk sem enginn hefur tilkynnt árum saman er ekki vandamál í sjálfu sér, en hún er einmitt það sem ræningjar leita að, svo skráningin ætti að vera óaðfinnanleg.

4. RPKI eins og það stendur

ROA standa þar til handhafinn fjarlægir þær. Í leigu er það leigusalinn þinn, og ROA fyrir ASN fyrri notanda sem enginn fjarlægði gerir tilkynningu þína ógilda (RPKI og ROA). Flutningur hjá RIPE NCC fjarlægir ROA seljandans, svo búðu til þínar um leið og honum lýkur.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Biddu um að hver ROA sem nær yfir blokkina verði fjarlægð eða henni skipt út fyrir ROA fyrir þitt ASN, eða þjónustuaðilans, fyrir afhendingu.

5. Hvar heimurinn heldur að hún sé

Staðsetningargagnagrunnar (geolocation) ráða því í hvaða landi blokk virðist vera, og það ræður hvaða efni notendur þínir sjá og hvaða greiðslukerfi treysta þeim.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Þetta eru ókeypis gögn MaxMind. Flettu blokkinni líka upp í hinum helstu gagnagrunnunum, og kannaðu hvort einhver þeirra merki hana sem hýsingar- eða VPN-rými, sem getur vegið þyngra en landið. Blokk sem er sett í rangt land má leiðrétta, en í öllum gagnagrunnunum getur það tekið sex vikur eða meira, svo betra er að vita það núna en eftir opnun (staðsetning IP-talna).

6. Tilkynningar um misnotkun

Samfélagsgagnagrunnar á borð við AbuseIPDB safna tilkynningum um árásir frá einstökum tölum. API AbuseIPDB kannar heila /24 í einni fyrirspurn, yfir síðustu 30 daga á ókeypis aðgangi:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Nokkrar gamlar tilkynningar eru eðlilegar fyrir rými sem hefur verið í notkun; stöðugur straumur frá mörgum tölum er það ekki.

7. Flutningssaga

Ef þú ert að kaupa, spurðu hvenær seljandinn fékk blokkina. IPv4 sem fengið var með flutningi má ekki flytja aftur í 24 mánuði á þjónustusvæði RIPE NCC, og tölur úr 103/8-safni APNIC ekki í fimm ár eftir að þeim var fyrst úthlutað (flutningsreglur bornar saman). Ef þú vilt frekar að greiðslan sé geymd þar til skráningaraðilinn skráir flutninginn getur vörsluaðili (escrow) geymt hana.

Hvað á að spyrja seljandann eða leigusalann

• Hvenær fékkstu blokkina, og frá hverjum?
• Hver hefur notað hana síðustu tvö ár, og í hvað?
• Eru til ROA, route-hlutir eða domain-hlutir fyrir hana núna, og hver fjarlægir þá?
• Er eitthvað skráð á bannlista, og hvað var gert í því?
• Í leigu: hvað verður um blokkina ef leigan er endurnýjuð, og hvað segir samningurinn um að taka hana til baka?

Hvar RTM Networks kemur inn

Við gerum þessar athuganir áður en við bjóðum blokk, og við könnum hverja IPv4-blokk sem við leigjum gegn bannlistum á hverjum degi svo lengi sem þú hefur hana (leigja IPv4, kaupa IPv4). Ef þér er boðin blokk annars staðar og þú vilt annað álit, sendu okkur forskeytið og við segjum þér hvað við sjáum.