Route object IRR e RADb: perché un prefisso viene filtrato

Un route object è un record pubblico che indica quale numero AS può originare un prefisso. Gli upstream costruiscono i filtri sulla tua sessione BGP da questi record, quindi un prefisso senza route object viene spesso scartato prima di raggiungere il resto di internet, anche quando la sua ROA è perfetta. L’RPKI non ha sostituito i registri di routing; la maggior parte delle reti usa ancora entrambi.

Cos’è un route object

I registri di routing (IRR) contengono oggetti in un semplice formato di testo. Quello che conta per un annuncio è l’oggetto route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Abbina un prefisso a un AS di origine. Se il blocco è annunciato da due ASN, servono due route object.

Dove si trovano

• Il RIPE Database è il registro per lo spazio nella regione di servizio del RIPE NCC, e i route object per quello spazio vanno lì. Per crearne uno serve l’autorizzazione del titolare dello spazio di indirizzi, quindi un estraneo non può registrare il tuo blocco.
• L’ARIN e l’APNIC gestiscono registri per il proprio spazio: quello dell’ARIN in ARIN Online, per lo spazio con un accordo ARIN, e quello dell’APNIC nel suo Whois Database (ARIN, APNIC).
• RADb, gestito da Merit, un’organizzazione non profit, è un registro in abbonamento che contiene oggetti per spazio di qualsiasi regione. Molte reti lo interrogano insieme ai registri regionali, ed è per questo che compare in tante configurazioni, e per questo vale la pena verificare cosa dice del tuo blocco.

Come li usa il tuo upstream

La maggior parte dei provider espande automaticamente ciò che puoi inviare in una lista di prefissi, a partire dai registri: si cerca il tuo numero AS, o un as-set che elenca il tuo e quelli dei tuoi clienti, e ogni route object con un’origine corrispondente diventa una voce nel filtro della tua sessione. Strumenti come bgpq4 fanno proprio questo:

bgpq4 -4 -l allowed AS64500

Se la lista che stampa non contiene il tuo prefisso, non lo conterrà nemmeno il filtro del tuo upstream. I filtri vengono spesso ricostruiti una volta al giorno, quindi un nuovo route object può impiegare altrettanto per avere effetto.

Verificare cosa dicono i registri

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Cerchi tre cose: un route object con il tuo AS di origine, nessun route object rimasto per un ASN che non annuncia più il blocco, e lo stesso quadro nel registro regionale e in RADb.

Errori che fanno filtrare un prefisso

• Nessun route object. L’errore più comune, e il motivo per cui un nuovo affitto o un nuovo upstream “non funziona” il primo giorno.
• L’origine sbagliata. L’oggetto indica l’ASN dell’utente precedente, o quello del tuo provider quando lo annunci tu.
• Vecchi oggetti lasciati al loro posto. Permettono ai filtri di altri di accettare annunci del tuo blocco da un ASN che non dovrebbe più inviarli. Rimuovili quando un affitto termina o quando cambi provider.
• Modifiche che il provider fa per te. Con il BYOIP alcuni provider creano da soli il route object; AWS, per esempio, aggiorna RADb da sé e dice che modifiche manuali che indicano il suo ASN fanno fallire il provisioning (AWS BYOIP).

Route object e RPKI insieme

Una ROA e un route object descrivono la stessa cosa, il prefisso e l’AS che può originarlo, per due tipi di controllo. Tienili allineati: modificali entrambi nella stessa finestra ogni volta che cambia l’origine, e verificali entrambi dall’esterno della tua rete (RPKI e ROA).

Dove entra RTM Networks

Per lo spazio affittato da noi creiamo il route object per il tuo ASN, o per quello del tuo provider, come parte dell’affitto, insieme alla ROA e, ogni volta che ti serve, alla Letter of Authorization, e li rimuoviamo quando l’affitto termina (affitto IPv4).