Kā pārbaudīt IP bloku, pirms to pērkat vai nomājat

Bloks, kas uz papīra izskatās labi, var nonākt pie Jums bloķēšanas sarakstā (blocklist), ar nolaupīšanas (hijack) vēsturi vai reģistrēts uz uzņēmumu, kas vairs nepastāv. Lielāko daļu no tā var pārbaudīt pusstundas laikā ar publiskiem rīkiem, pirms kaut kas tiek parakstīts. Šīs ir septiņas pārbaudes, ko veicam katram blokam, un kā tās veikt pašam. Piemēros izmantots dokumentācijas diapazons 203.0.113.0/24; aizstājiet to ar bloku, kas Jums piedāvāts.

1. Reģistra ieraksts

Sāciet ar to, ko reģistrs norāda kā bloka turētāju, un kāda veida bloks tas ir.

whois -h whois.ripe.net 203.0.113.0/24

Atbildē pārbaudiet četras lietas:

• Turētājs. Organizācijai ierakstā jābūt tai, kas pārdod, vai tai, kas to Jums iznomā. Cits nosaukums, likvidēts uzņēmums vai nosaukums, kas mainījies apvienošanās rezultātā, ir visbiežākais iemesls, kāpēc darījums apstājas (kas ietekmē cenu).
• Statuss. ALLOCATED PA, ASSIGNED PI vai LEGACY nosaka, kas drīkst turēt bloku un vai tā adreses drīkst nodot Jūsu klientiem (PA, PI vai legacy).
• Abuse kontakts. Tai jābūt pastkastei, ko kāds lasa.
• Piezīmes (remarks). Piezīmes par strīdu, apakšpiešķīrumu vai citu nomu ir vērts pajautāt, pirms turpināt.

2. Bloķēšanas saraksti, adresi pa adresei

Ieraksts sarakstā parasti attiecas uz atsevišķām adresēm, nevis visu bloku, tāpēc pārbaudiet visas 256. Spamhaus apvienotā zona ZEN atbild par saviem SBL, CSS, XBL un PBL sarakstiem ar vienu DNS vaicājumu katrai adresei:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Palaidiet to caur savu rezolveri. Spamhaus atsaka vaicājumiem, kas nāk caur lielajiem publiskajiem rezolveriem, un atbild uz tiem ar kļūdas kodu diapazonā 127.255.255.x, kas nav ieraksts sarakstā. Tā bezmaksas publiskie serveri ir paredzēti „low-volume, non-commercial users” (tulkojums: „neliela apjoma, nekomerciāliem lietotājiem”) un tiek pakāpeniski izbeigti, tāpēc cikls var pārstāt atbildēt; Spamhaus IP and Domain Reputation Checker pārbauda vienu adresi vienlaikus.

Daži saraksti vērtē vairāk nekā adresi. Spamhaus diapazona ieraksts ciklā parādās kā sarakstā iekļautu adrešu virkne. UCEPROTECT 2. līmenī iekļauj veselus piešķīrumus un 3. līmenī katru adresi tīklam ar pārāk daudziem ierakstiem, un tā pārbaudes rīks parāda, kurš līmenis attiecas. Citi svarīgie saraksti un rīki to pārbaudei ir lapā IP melnie saraksti.

3. Kas to ir paziņojis un kad

Maršrutēšanas vēsture parāda, kuri tīkli ir bijuši bloka izcelsme (origin) un cik ilgi.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Jūs vēlaties redzēt vienu izcelsmi vienlaikus, kas atbilst turētājiem, par kuriem stāsta pārdevējs. Īsi paziņojumi (announcements) no nesaistītiem tīkliem, it īpaši laikā, kad bloks oficiāli netika izmantots, ir nolaupīšanas pazīme. Bloks, ko gadiem neviens nav paziņojis, pats par sevi nav problēma, bet tieši to meklē nolaupītāji, tāpēc ierakstam jābūt nevainojamam.

4. RPKI pašreizējais stāvoklis

ROA paliek, līdz turētājs tos noņem. Nomas gadījumā tas ir Jūsu iznomātājs, un ROA iepriekšējā lietotāja ASN, ko neviens nav noņēmis, padarīs Jūsu paziņojumu nederīgu (invalid) (RPKI un ROA). Pārsūtīšana RIPE NCC noņem pārdevēja ROA, tāpēc izveidojiet savu, tiklīdz tā ir pabeigta.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Pirms nodošanas lūdziet, lai katrs ROA, kas aptver bloku, tiktu noņemts vai aizstāts ar ROA Jūsu vai Jūsu sniedzēja ASN.

5. Kur pasaule domā, ka tas atrodas

Ģeolokācijas datubāzes nosaka, kurā valstī bloks šķiet esam, un tas nosaka, kādu saturu redz Jūsu lietotāji un kuras maksājumu sistēmas viņiem uzticas.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Tie ir MaxMind bezmaksas dati. Pārbaudiet bloku arī pārējās galvenajās datubāzēs un to, vai kāda no tām to apzīmē kā hostinga vai VPN telpu, kas var nozīmēt vairāk nekā valsts. Nepareizā valstī novietotu bloku var izlabot, bet visās datubāzēs tas var aizņemt sešas nedēļas vai ilgāk, tāpēc labāk to uzzināt tagad nekā pēc palaišanas (IP ģeolokācija).

6. Ziņojumi par ļaunprātīgu izmantošanu

Kopienas datubāzes, piemēram, AbuseIPDB, apkopo ziņojumus par uzbrukumiem no atsevišķām adresēm. AbuseIPDB API pārbauda visu /24 ar vienu pieprasījumu, bezmaksas kontā par pēdējām 30 dienām:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Daži veci ziņojumi ir normāli telpai, kas ir bijusi lietošanā; pastāvīga plūsma no daudzām adresēm nav normāla.

7. Pārsūtīšanas vēsture

Ja pērkat, pajautājiet, kad pārdevējs saņēma bloku. IPv4, kas saņemta pārsūtīšanas ceļā, RIPE NCC apkalpošanas reģionā nevar tikt pārsūtīta atkārtoti 24 mēnešus, un adreses no APNIC 103/8 pūla ne piecus gadus pēc to pirmās izsniegšanas (pārsūtīšanas noteikumu salīdzinājums). Ja vēlaties, lai Jūsu maksājums tiktu turēts, līdz reģistrs reģistrē pārsūtīšanu, to var turēt escrow.

Ko jautāt pārdevējam vai iznomātājam

• Kad Jūs saņēmāt bloku un no kā?
• Kas to ir izmantojis pēdējos divos gados un kam?
• Vai tam pašlaik ir ROA, route objekti vai domain objekti, un kas tos noņems?
• Vai kaut kas ir sarakstos, un kas tika darīts?
• Nomai: kas notiek ar bloku, ja noma tiek pagarināta, un ko līgums saka par tā atņemšanu?

Kur iederas RTM Networks

Mēs veicam šīs pārbaudes, pirms piedāvājam bloku, un katru IPv4 bloku, ko iznomājam, katru dienu pārbaudām bloķēšanas sarakstos visu laiku, kamēr tas ir pie Jums (IPv4 noma, IPv4 pirkšana). Ja Jums bloku piedāvā citur un vēlaties otru viedokli, nosūtiet mums prefiksu, un mēs pateiksim, ko redzam.