Slik sjekker du en IP-blokk før du kjøper eller leier den

En blokk som ser fin ut på papiret, kan komme med en oppføring på en blokkeringsliste, en historikk med kapringer, eller registrert på et selskap som ikke finnes lenger. Det meste kan sjekkes på en halvtime med offentlige verktøy, før noe er signert. Dette er de sju sjekkene vi kjører på hver blokk, og slik kjører du dem selv. Eksemplene bruker dokumentasjonsområdet 203.0.113.0/24; bytt det ut med blokken du blir tilbudt.

1. Registeroppføringen

Begynn med hvem registeret sier har blokken, og hva slags blokk det er.

whois -h whois.ripe.net 203.0.113.0/24

Sjekk fire ting i svaret:

• Innehaveren. Organisasjonen i oppføringen bør være den som selger, eller den som leier den ut til deg. Et annet navn, et oppløst selskap eller et navn som ble endret ved en fusjon, er den vanligste grunnen til at en handel stopper opp (hva som påvirker prisen).
• Statusen. ALLOCATED PA, ASSIGNED PI eller LEGACY avgjør hvem som kan ha blokken, og om adressene kan gå til kundene dine (PA, PI eller legacy).
• Abuse-kontakten. Det bør være en postkasse noen leser.
• Merknader. Notater om en tvist, en underutdeling eller en annen leieavtale er verdt et spørsmål før du går videre.

2. Blokkeringslister, adresse for adresse

En oppføring gjelder som regel enkeltadresser, ikke hele blokken, så sjekk alle 256. Spamhaus' kombinerte sone, ZEN, svarer for listene SBL, CSS, XBL og PBL i én DNS-spørring per adresse:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Kjør det gjennom din egen resolver. Spamhaus avviser spørringer som kommer gjennom de store offentlige resolverne, og svarer med en feilkode i området 127.255.255.x, som ikke er en oppføring. De gratis offentlige serverne er for «low-volume, non-commercial users» (oversettelse: «brukere med lavt volum og ikke-kommersiell bruk») og fases ut, så løkken kan slutte å svare; Spamhaus' IP and Domain Reputation Checker slår opp én adresse om gangen.

Noen lister vurderer mer enn adressen. En Spamhaus-oppføring av et område viser seg i løkken som en rekke oppførte adresser. UCEPROTECT lister hele tildelinger på nivå 2 og hver adresse i et nettverk med for mange oppføringer på nivå 3, og sjekkeren viser hvilket nivå som gjelder. De andre listene som betyr noe, og verktøyene som sjekker dem, står i IP-svartelisting.

3. Hvem som har kunngjort den, og når

Rutinghistorikken viser hvilke nettverk som har kunngjort blokken som opprinnelse, og hvor lenge.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Det du vil se, er én opprinnelse om gangen, som stemmer med innehaverne selgeren forteller om. Korte kunngjøringer fra urelaterte nettverk, særlig mens blokken offisielt var ubrukt, er kjennetegnet på en kapring. En blokk ingen har kunngjort på årevis, er ikke et problem i seg selv, men det er nettopp det kaprere ser etter, så dokumentasjonen bør være vanntett.

4. RPKI slik det står nå

ROA-er blir stående til innehaveren fjerner dem. Ved leie er det utleieren din, og en ROA for forrige brukers ASN som ingen fjernet, vil gjøre kunngjøringen din ugyldig (RPKI og ROA-er). En overføring hos RIPE NCC fjerner selgerens ROA-er, så opprett dine så snart den er fullført.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Be om at hver ROA som dekker blokken, fjernes eller erstattes med en for ditt ASN, eller leverandørens, før overleveringen.

5. Hvor verden tror den er

Geolokasjonsdatabaser avgjør hvilket land en blokk ser ut til å være i, og det avgjør hvilket innhold brukerne dine ser og hvilke betalingssystemer som stoler på dem.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Det er MaxMinds gratisdata. Slå også opp blokken i de andre store databasene, og sjekk om noen av dem merker den som hosting- eller VPN-adresserom, noe som kan telle mer enn landet. En blokk plassert i feil land kan rettes, men på tvers av alle databasene kan det ta seks uker eller mer, så det er bedre å vite det nå enn etter lanseringen (IP-geolokasjon).

6. Abuse-rapporter

Fellesskapsdatabaser som AbuseIPDB samler rapporter om angrep fra enkeltadresser. AbuseIPDBs API sjekker en hel /24 i én forespørsel, over de siste 30 dagene på en gratiskonto:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Noen få gamle rapporter er normalt for adresserom som har vært i bruk; en jevn strøm fra mange adresser er det ikke.

7. Overføringshistorikk

Kjøper du, spør når selgeren fikk blokken. IPv4 mottatt gjennom en overføring kan ikke overføres igjen på 24 måneder i RIPE NCCs tjenesteregion, og adresser fra APNICs 103/8-basseng ikke på fem år etter at de først ble delt ut (overføringsregler sammenlignet). Vil du heller at betalingen holdes tilbake til registeret har registrert overføringen, kan en escrow holde den.

Hva du bør spørre selgeren eller utleieren

• Når fikk dere blokken, og fra hvem?
• Hvem har brukt den de siste to årene, og til hva?
• Finnes det ROA-er, route-objekter eller domain-objekter for den nå, og hvem fjerner dem?
• Er noe oppført på lister, og hva ble gjort med det?
• Ved leie: hva skjer med blokken hvis leieavtalen fornyes, og hva sier avtalen om å ta den tilbake?

Hvor RTM Networks passer inn

Vi kjører disse sjekkene før vi tilbyr en blokk, og vi sjekker hver IPv4-blokk vi leier ut mot blokkeringslister hver dag så lenge du har den (lei IPv4, kjøp IPv4). Blir du tilbudt en blokk et annet sted og vil ha en annen vurdering, send oss prefikset, så forteller vi hva vi ser.