Come verificare un blocco IP prima di acquistarlo o affittarlo

Un blocco che sulla carta sembra a posto può arrivare in una blocklist, con una storia di dirottamenti, o registrato a un’azienda che non esiste più. Quasi tutto si può verificare in mezz’ora con strumenti pubblici, prima di firmare qualsiasi cosa. Queste sono le sette verifiche che facciamo su ogni blocco, e come farle da te. Gli esempi usano l’intervallo di documentazione 203.0.113.0/24; sostituiscilo con il blocco che ti viene offerto.

1. Il record di registro

Comincia da chi il registro indica come titolare del blocco, e da che tipo di blocco è.

whois -h whois.ripe.net 203.0.113.0/24

Nella risposta verifica quattro cose:

• Il titolare. L’organizzazione nel record dovrebbe essere quella che vende, o quella che te lo affitta. Un nome diverso, un’azienda sciolta o un nome cambiato con una fusione sono il motivo più comune per cui un’operazione si blocca (cosa incide sul prezzo).
• Lo stato. ALLOCATED PA, ASSIGNED PI o LEGACY decide chi può detenere il blocco e se i suoi indirizzi possono andare ai tuoi clienti (PA, PI o legacy).
• Il contatto abuse. Dovrebbe essere una casella che qualcuno legge.
• I remarks. Note su una controversia, una sub-assegnazione o un altro affitto meritano una domanda prima di andare avanti.

2. Le blocklist, indirizzo per indirizzo

Un listing di solito riguarda singoli indirizzi, non l’intero blocco, quindi verificali tutti e 256. La zona combinata di Spamhaus, ZEN, risponde per le liste SBL, CSS, XBL e PBL con una query DNS per indirizzo:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Eseguilo tramite il tuo resolver. Spamhaus rifiuta le query che arrivano dai grandi resolver pubblici e risponde con un codice di errore nell’intervallo 127.255.255.x, che non è un listing. I suoi server pubblici gratuiti sono per “low-volume, non-commercial users” (traduzione: “utenti con basso volume, non commerciali”) e vengono dismessi, quindi il ciclo potrebbe smettere di rispondere; l’IP and Domain Reputation Checker di Spamhaus controlla un indirizzo alla volta.

Alcune liste giudicano più del singolo indirizzo. Un listing Spamhaus di un intervallo compare nel ciclo come una serie di indirizzi in lista. UCEPROTECT mette in lista intere allocazioni al Level 2 e ogni indirizzo di una rete con troppi listing al Level 3, e il suo checker mostra quale livello si applica. Le altre liste che contano, e gli strumenti per controllarle, sono in IP blacklisting.

3. Chi lo ha annunciato, e quando

La storia di routing mostra quali reti hanno originato il blocco, e per quanto tempo.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Quello che vuoi vedere è un’origine alla volta, corrispondente ai titolari di cui ti parla il venditore. Annunci brevi da reti estranee, soprattutto mentre il blocco era ufficialmente inutilizzato, sono il segno di un dirottamento. Un blocco che nessuno annuncia da anni non è un problema in sé, ma è proprio ciò che cercano i dirottatori, quindi il record deve essere inattaccabile.

4. L’RPKI allo stato attuale

Le ROA restano finché il titolare non le rimuove. In un affitto il titolare è chi ti affitta il blocco, e una ROA per l’ASN dell’utente precedente che nessuno ha rimosso renderà non valido (invalid) il tuo annuncio (RPKI e ROA). Un trasferimento presso il RIPE NCC rimuove le ROA del venditore, quindi crea le tue appena è completato.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Chiedi che ogni ROA che copre il blocco venga rimossa o sostituita con una per il tuo ASN, o per quello del tuo provider, prima della consegna.

5. Dove il mondo pensa che si trovi

I database di geolocalizzazione decidono in quale paese sembra trovarsi un blocco, e questo decide quali contenuti vedono i tuoi utenti e quali sistemi di pagamento si fidano di loro.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Questi sono i dati gratuiti di MaxMind. Cerca il blocco anche negli altri database principali, e verifica se qualcuno lo etichetta come spazio di hosting o VPN, il che può contare più del paese. Un blocco collocato nel paese sbagliato si può correggere, ma su tutti i database possono servire sei settimane o più, quindi è meglio saperlo ora che dopo il lancio (geolocalizzazione IP).

6. Le segnalazioni di abuse

Database della community come AbuseIPDB raccolgono segnalazioni di attacchi da singoli indirizzi. L’API di AbuseIPDB controlla un intero /24 con una sola richiesta, sugli ultimi 30 giorni con un account gratuito:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Qualche vecchia segnalazione è normale per uno spazio che è stato in uso; un flusso costante da molti indirizzi no.

7. La storia dei trasferimenti

Se stai acquistando, chiedi quando il venditore ha ricevuto il blocco. Gli IPv4 ricevuti con un trasferimento non possono essere ritrasferiti per 24 mesi nella regione di servizio del RIPE NCC, e gli indirizzi del pool 103/8 dell’APNIC non per cinque anni dalla prima assegnazione (regole di trasferimento a confronto). Se preferisci che il tuo pagamento resti in deposito finché il registro non registra il trasferimento, può custodirlo un escrow.

Cosa chiedere al venditore o a chi ti affitta il blocco

• Quando hai ricevuto il blocco, e da chi?
• Chi lo ha usato negli ultimi due anni, e per cosa?
• Ci sono ora ROA, route object o oggetti domain per il blocco, e chi li rimuoverà?
• C’è qualcosa in lista, e cosa è stato fatto?
• Per un affitto: cosa succede al blocco se l’affitto viene rinnovato, e cosa dice il contratto sul ritiro?

Dove entra RTM Networks

Facciamo queste verifiche prima di offrire un blocco, e controlliamo ogni giorno ogni blocco IPv4 che affittiamo rispetto alle blocklist, per tutto il tempo in cui lo hai (affitto IPv4, acquisto IPv4). Se ti viene offerto un blocco altrove e vuoi un secondo parere, inviaci il prefisso e ti diciamo cosa vediamo.