Jak sprawdzić blok IP przed zakupem lub dzierżawą

Blok, który na papierze wygląda dobrze, może trafić do Ciebie z wpisem na czarnej liście, z historią przejęć (hijack) albo zarejestrowany na firmę, która już nie istnieje. Większość z tego da się sprawdzić w pół godziny publicznymi narzędziami, zanim cokolwiek zostanie podpisane. Oto siedem testów, które wykonujemy dla każdego bloku, i jak wykonać je samodzielnie. Przykłady używają zakresu dokumentacyjnego 203.0.113.0/24; zastąp go blokiem, który Ci zaproponowano.

1. Wpis w rejestrze

Zacznij od tego, kogo rejestr wskazuje jako posiadacza bloku i jakiego rodzaju to blok.

whois -h whois.ripe.net 203.0.113.0/24

W odpowiedzi sprawdź cztery rzeczy:

• Posiadacz. Organizacja we wpisie powinna być tą, która sprzedaje, albo tą, która Ci go dzierżawi. Inna nazwa, zlikwidowana spółka lub nazwa zmieniona przy fuzji to najczęstszy powód, dla którego transakcja utyka (co wpływa na cenę).
• Status. ALLOCATED PA, ASSIGNED PI lub LEGACY decyduje o tym, kto może posiadać blok i czy jego adresy mogą trafić do Twoich klientów (PA, PI czy legacy).
• Kontakt abuse. Powinna to być skrzynka, którą ktoś czyta.
• Uwagi (remarks). Wzmianki o sporze, podprzydziale lub innej dzierżawie są warte pytania, zanim pójdziesz dalej.

2. Czarne listy, adres po adresie

Wpis zwykle dotyczy pojedynczych adresów, a nie całego bloku, więc sprawdź wszystkie 256. Połączona strefa Spamhaus, ZEN, odpowiada za listy SBL, CSS, XBL i PBL w jednym zapytaniu DNS na adres:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Uruchom to przez własny resolver. Spamhaus odrzuca zapytania przychodzące przez duże publiczne resolvery i odpowiada na nie kodem błędu z zakresu 127.255.255.x, który nie oznacza wpisu. Jego darmowe publiczne serwery są przeznaczone dla „low-volume, non-commercial users” (tłumaczenie: „użytkowników o niewielkim wolumenie, niekomercyjnych”) i są wygaszane, więc pętla może przestać odpowiadać; IP and Domain Reputation Checker Spamhaus sprawdza po jednym adresie.

Niektóre listy oceniają coś więcej niż adres. Wpis zakresu w Spamhaus pojawi się w pętli jako ciąg wpisanych adresów. UCEPROTECT na poziomie 2 wpisuje całe przydziały, a na poziomie 3 każdy adres sieci ze zbyt wieloma wpisami; jego narzędzie pokazuje, który poziom ma zastosowanie. Pozostałe istotne listy i narzędzia do ich sprawdzania opisujemy w czarnych listach IP.

3. Kto go ogłaszał i kiedy

Historia routingu pokazuje, które sieci były źródłem bloku i jak długo.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Chcesz widzieć jedno źródło naraz, zgodne z posiadaczami, o których mówi sprzedający. Krótkie ogłoszenia z niezwiązanych sieci, zwłaszcza gdy blok oficjalnie był nieużywany, to znak rozpoznawczy przejęcia. Blok, którego nikt nie ogłaszał od lat, sam w sobie nie jest problemem, ale właśnie takich szukają przejmujący, więc dokumentacja powinna być bez zarzutu.

4. RPKI w obecnym stanie

ROA pozostają, dopóki posiadacz ich nie usunie. Przy dzierżawie jest nim wydzierżawiający, a nieusunięty ROA dla ASN poprzedniego użytkownika sprawi, że Twoje ogłoszenie będzie nieprawidłowe (RPKI i ROA). Transfer w RIPE NCC usuwa ROA sprzedającego, więc utwórz własne zaraz po jego zakończeniu.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Poproś, aby przed przekazaniem każdy ROA obejmujący blok został usunięty lub zastąpiony takim dla Twojego ASN albo ASN Twojego dostawcy.

5. Gdzie według świata się znajduje

Bazy geolokalizacji decydują, w jakim kraju blok się znajduje, a to decyduje o tym, jakie treści widzą Twoi użytkownicy i które systemy płatności im ufają.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

To darmowe dane MaxMind. Sprawdź blok także w innych głównych bazach i zobacz, czy któraś oznacza go jako przestrzeń hostingową lub VPN, co może ważyć więcej niż kraj. Blok przypisany do niewłaściwego kraju można poprawić, ale we wszystkich bazach może to potrwać sześć tygodni lub dłużej, więc lepiej wiedzieć to teraz niż po starcie (geolokalizacja IP).

6. Zgłoszenia nadużyć

Bazy społecznościowe, takie jak AbuseIPDB, zbierają zgłoszenia ataków z pojedynczych adresów. API AbuseIPDB sprawdza cały /24 w jednym zapytaniu, za ostatnie 30 dni na darmowym koncie:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Kilka starych zgłoszeń to norma dla przestrzeni, która była w użyciu; stały strumień z wielu adresów już nie.

7. Historia transferów

Jeśli kupujesz, zapytaj, kiedy sprzedający otrzymał blok. Adresów IPv4 otrzymanych w drodze transferu nie można ponownie przenieść przez 24 miesiące w regionie obsługi RIPE NCC, a adresów z puli 103/8 APNIC przez pięć lat od ich pierwszego przydzielenia (porównanie zasad transferu). Jeśli wolisz, aby płatność była wstrzymana, dopóki rejestr nie odnotuje transferu, może ją przechować escrow.

O co zapytać sprzedającego lub wydzierżawiającego

• Kiedy i od kogo otrzymałeś blok?
• Kto go używał w ostatnich dwóch latach i do czego?
• Czy istnieją dla niego obecnie ROA, obiekty route lub obiekty domain i kto je usunie?
• Czy coś jest wpisane na listy i co z tym zrobiono?
• Przy dzierżawie: co dzieje się z blokiem przy przedłużeniu dzierżawy i co umowa mówi o jego odebraniu?

Gdzie pasuje RTM Networks

Wykonujemy te testy, zanim zaoferujemy blok, a każdy dzierżawiony przez nas blok IPv4 sprawdzamy na czarnych listach codziennie przez cały czas, gdy go masz (dzierżawa IPv4, zakup IPv4). Jeśli ktoś inny oferuje Ci blok i chcesz drugiej opinii, przyślij nam prefiks, a powiemy, co widzimy.