Kaip patikrinti IP bloką prieš perkant ar nuomojantis

Popieriuje gerai atrodantis blokas gali atkeliauti blokavimo sąraše, su užgrobimų istorija arba įregistruotas nebeegzistuojančiai įmonei. Daugumą to galima patikrinti per pusvalandį viešais įrankiais, dar prieš ką nors pasirašant. Štai septynios patikros, kurias atliekame kiekvienam blokui, ir kaip jas atlikti patiems. Pavyzdžiuose naudojamas dokumentacijos diapazonas 203.0.113.0/24; pakeiskite jį Jums siūlomu bloku.

1. Registro įrašas

Pradėkite nuo to, kas, pasak registro, turi bloką ir koks tai blokas.

whois -h whois.ripe.net 203.0.113.0/24

Atsakyme patikrinkite keturis dalykus:

• Turėtojas. Įraše nurodyta organizacija turėtų būti ta, kuri parduoda arba Jums nuomoja. Kitas pavadinimas, likviduota įmonė ar po susijungimo pasikeitęs pavadinimas yra dažniausia priežastis, kodėl sandoris įstringa (kas lemia kainą).
• Būsena. ALLOCATED PA, ASSIGNED PI ar LEGACY lemia, kas gali turėti bloką ir ar jo adresai gali atitekti Jūsų klientams (PA, PI ar legacy).
• Abuse kontaktas. Tai turėtų būti pašto dėžutė, kurią kas nors skaito.
• Pastabos. Dėl pastabų apie ginčą, subpaskyrimą ar kitą nuomą verta paklausti prieš einant toliau.

2. Blokavimo sąrašai, adresas po adreso

Įrašas sąraše paprastai susijęs su pavieniais adresais, ne visu bloku, todėl patikrinkite visus 256. Spamhaus bendra zona ZEN viena DNS užklausa kiekvienam adresui atsako už savo SBL, CSS, XBL ir PBL sąrašus:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Vykdykite tai per savo resolverį. Spamhaus atmeta užklausas, ateinančias per didžiuosius viešuosius resolverius, ir į jas atsako klaidos kodu diapazone 127.255.255.x, kuris nėra įrašas sąraše. Jo nemokami viešieji serveriai skirti „low-volume, non-commercial users“ (vertimas: „nedidelės apimties, nekomerciniams naudotojams“) ir palaipsniui uždaromi, todėl ciklas gali nustoti atsakyti; Spamhaus IP and Domain Reputation Checker tikrina po vieną adresą.

Kai kurie sąrašai vertina daugiau nei adresą. Spamhaus diapazono įrašas cikle pasirodo kaip eilė sąraše esančių adresų. UCEPROTECT 2 lygyje įtraukia ištisus paskirstymus, o 3 lygyje kiekvieną tinklo, turinčio per daug įrašų, adresą, ir jo tikrintuvas parodo, kuris lygis taikomas. Kiti svarbūs sąrašai ir juos tikrinantys įrankiai aprašyti puslapyje IP juodieji sąrašai.

3. Kas jį skelbė ir kada

Maršrutizavimo istorija rodo, kurie tinklai skelbė bloką ir kiek laiko.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Norite matyti vieną kilmę vienu metu, sutampančią su turėtojais, apie kuriuos Jums pasakoja pardavėjas. Trumpi nesusijusių tinklų paskelbimai, ypač kai blokas oficialiai buvo nenaudojamas, yra užgrobimo požymis. Blokas, kurio niekas neskelbė daug metų, pats savaime nėra problema, bet būtent tokių ieško užgrobėjai, todėl įrašas turėtų būti nepriekaištingas.

4. RPKI dabartinė būsena

ROA lieka, kol turėtojas jų nepašalina. Nuomos atveju tai Jūsų nuomotojas, o niekieno nepašalintas ankstesnio naudotojo ASN ROA padarys Jūsų paskelbimą negaliojančiu (RPKI ir ROA). Perleidimas RIPE NCC pašalina pardavėjo ROA, todėl sukurkite savo, kai tik jis baigiasi.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Paprašykite, kad prieš perdavimą kiekvienas bloką apimantis ROA būtų pašalintas arba pakeistas Jūsų ar Jūsų teikėjo ASN ROA.

5. Kur, pasaulio manymu, jis yra

Geolokacijos duomenų bazės lemia, kurioje šalyje blokas atrodo esąs, o nuo to priklauso, kokį turinį mato Jūsų naudotojai ir kurios mokėjimų sistemos jais pasitiki.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Tai nemokami MaxMind duomenys. Patikrinkite bloką ir kitose pagrindinėse duomenų bazėse ir ar kuri nors iš jų nepažymi jo kaip prieglobos ar VPN erdvės, o tai gali reikšti daugiau nei šalis. Netinkamoje šalyje atsidūrusį bloką galima pataisyti, bet visose duomenų bazėse tai gali užtrukti šešias savaites ar ilgiau, todėl geriau tai žinoti dabar nei po paleidimo (IP geolokacija).

6. Abuse pranešimai

Bendruomenės duomenų bazės, pavyzdžiui, AbuseIPDB, renka pranešimus apie atakas iš pavienių adresų. AbuseIPDB API viena užklausa patikrina visą /24, nemokamoje paskyroje už paskutines 30 dienų:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Keli seni pranešimai yra normalu naudotai erdvei; nuolatinis srautas iš daugelio adresų nėra.

7. Perleidimų istorija

Jei perkate, paklauskite, kada pardavėjas gavo bloką. Perleidimu gautas IPv4 RIPE NCC aptarnavimo regione negali būti vėl perleistas 24 mėnesius, o adresai iš APNIC 103/8 telkinio penkerius metus nuo jų pirmojo paskyrimo (perleidimo taisyklių palyginimas). Jei norėtumėte, kad Jūsų mokėjimas būtų laikomas, kol registras įrašys perleidimą, jį gali laikyti escrow.

Ko paklausti pardavėjo ar nuomotojo

• Kada ir iš ko gavote bloką?
• Kas jį naudojo per pastaruosius dvejus metus ir kam?
• Ar dabar jam yra ROA, route objektų ar domain objektų, ir kas juos pašalins?
• Ar kas nors yra sąraše, ir kas dėl to padaryta?
• Nuomos atveju: kas nutinka blokui pratęsiant nuomą ir ką sutartis sako apie jo atsiėmimą?

Kur čia RTM Networks

Šias patikras atliekame prieš siūlydami bloką, o kiekvieną nuomojamą IPv4 bloką kasdien tikriname pagal blokavimo sąrašus visą laiką, kol jį turite (IPv4 nuoma, IPv4 pirkimas). Jei Jums siūlomas blokas kitur ir norite antros nuomonės, atsiųskite mums prefiksą, ir pasakysime, ką matome.