IRR-route-objekter og RADb: hvorfor et prefiks blir filtrert

Et route-objekt er en offentlig oppføring som sier hvilket AS-nummer som kan kunngjøre et prefiks som opprinnelse. Upstream-leverandører bygger filtrene på BGP-sesjonen din fra disse oppføringene, så et prefiks uten et route-objekt blir ofte forkastet før det når resten av internettet, selv når ROA-en er perfekt. RPKI har ikke erstattet rutingregistrene; de fleste nettverk bruker fortsatt begge.

Hva et route-objekt er

Rutingregistre (IRR-er) har objekter i et enkelt tekstformat. Det som betyr noe for en kunngjøring, er route-objektet:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Det kobler ett prefiks til ett opprinnelses-AS. Kunngjøres blokken fra to ASN-er, trenger den to route-objekter.

Hvor de ligger

• RIPE-databasen er registeret for adresserom i RIPE NCCs tjenesteregion, og route-objekter for det adresserommet hører hjemme der. Å opprette et krever autoriteten til innehaveren av adresserommet, så en fremmed kan ikke registrere blokken din.
• ARIN og APNIC driver registre for sitt eget adresserom: ARINs i ARIN Online, for adresserom under en ARIN-avtale, og APNICs i Whois-databasen deres (ARIN, APNIC).
• RADb, drevet av Merit, en ideell organisasjon, er et abonnementsregister som har objekter for adresserom fra alle regioner. Mange nettverk spør det ved siden av de regionale registrene, og derfor dukker det opp i så mange oppsett, og derfor er det verdt å sjekke hva det sier om blokken din.

Slik bruker upstream-leverandøren dem

De fleste leverandører utvider det du har lov til å sende, til en liste med prefikser, automatisk, fra registrene: AS-nummeret ditt, eller et as-set som lister ditt og kundenes, slås opp, og hvert route-objekt med en matchende opprinnelse blir en oppføring i filteret på sesjonen din. Verktøy som bgpq4 gjør dette:

bgpq4 -4 -l allowed AS64500

Inneholder ikke listen det skriver ut, prefikset ditt, gjør heller ikke filteret til upstream-leverandøren det. Filtre bygges ofte på nytt én gang om dagen, så et nytt route-objekt kan bruke så lang tid på å virke.

Slik sjekker du hva registrene sier

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Du ser etter tre ting: et route-objekt med ditt opprinnelses-AS, ingen gjenglemte route-objekter for et ASN som ikke lenger kunngjør blokken, og det samme bildet i det regionale registeret og i RADb.

Feil som får et prefiks filtrert

• Ikke noe route-objekt i det hele tatt. Den vanligste, og grunnen til at en ny leieavtale eller en ny upstream-leverandør «ikke fungerer» den første dagen.
• Feil opprinnelse. Objektet nevner forrige brukers ASN, eller leverandørens når du kunngjør selv.
• Gamle objekter som er blitt stående. De lar andres filtre godta kunngjøringer av blokken din fra et ASN som ikke lenger skal sende dem. Fjern dem når en leieavtale slutter eller en leverandør byttes.
• Endringer leverandøren gjør for deg. Med BYOIP oppretter noen leverandører route-objektet selv; AWS, for eksempel, oppdaterer RADb på egen hånd og sier at manuelle endringer som nevner deres ASN, får klargjøringen til å feile (AWS BYOIP).

Route-objekter og RPKI sammen

En ROA og et route-objekt beskriver det samme, prefikset og AS-et som kan kunngjøre det, for to typer sjekk. Hold dem i takt: endre begge i samme vindu når opprinnelsen endres, og sjekk begge fra utenfor ditt eget nettverk (RPKI og ROA-er).

Hvor RTM Networks passer inn

For adresserom leid fra oss oppretter vi route-objektet for ditt ASN, eller leverandørens, som del av leieavtalen, sammen med ROA-en og, når du trenger et, Letter of Authorization, og vi fjerner dem når leieavtalen slutter (lei IPv4).