Obiekty route w IRR i RADb: dlaczego prefiks jest filtrowany

Obiekt route to publiczny wpis, który mówi, jaki numer AS może być źródłem prefiksu. Operatorzy nadrzędni budują z tych wpisów filtry na Twojej sesji BGP, więc prefiks bez takiego obiektu jest często odrzucany, zanim w ogóle dotrze do szerszego internetu, nawet gdy jego ROA jest bez zarzutu. RPKI nie zastąpiło rejestrów routingu; większość sieci nadal korzysta z obu.

Czym jest obiekt route

Rejestry routingu (IRR) przechowują obiekty w prostym formacie tekstowym. Dla ogłoszenia liczy się obiekt route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Łączy jeden prefiks z jednym AS źródłowym. Jeśli blok jest ogłaszany z dwóch ASN, potrzebuje dwóch obiektów route.

Gdzie się znajdują

• RIPE Database to rejestr dla przestrzeni w regionie obsługi RIPE NCC i tam należą obiekty route dla tej przestrzeni. Utworzenie obiektu wymaga uprawnień posiadacza przestrzeni adresowej, więc obca osoba nie może zarejestrować Twojego bloku.
• ARIN i APNIC prowadzą rejestry dla własnej przestrzeni: ARIN w ARIN Online, dla przestrzeni objętej umową z ARIN, a APNIC w swojej Whois Database (ARIN, APNIC).
• RADb, prowadzony przez Merit, organizację non-profit, to rejestr w abonamencie, który przechowuje obiekty dla przestrzeni z dowolnego regionu. Wiele sieci odpytuje go obok rejestrów regionalnych, dlatego pojawia się w tak wielu konfiguracjach i dlatego warto sprawdzić, co mówi o Twoim bloku.

Jak używa ich Twój operator nadrzędny

Większość dostawców automatycznie rozwija z rejestrów to, co wolno Ci wysyłać, w listę prefiksów: wyszukiwany jest Twój numer AS lub as-set zawierający Twój AS i AS Twoich klientów, a każdy obiekt route z pasującym źródłem staje się wpisem w filtrze na Twojej sesji. Robią to narzędzia takie jak bgpq4:

bgpq4 -4 -l allowed AS64500

Jeśli wydrukowana lista nie zawiera Twojego prefiksu, filtr Twojego operatora nadrzędnego też go nie będzie zawierał. Filtry są często przebudowywane raz dziennie, więc nowy obiekt route może zacząć działać dopiero po takim czasie.

Sprawdzanie, co mówią rejestry

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Szukasz trzech rzeczy: obiektu route z Twoim AS źródłowym, braku pozostawionych obiektów route dla ASN, który już nie ogłasza bloku, i tego samego obrazu w rejestrze regionalnym i w RADb.

Błędy, przez które prefiks jest filtrowany

• Brak obiektu route. Najczęstszy błąd i powód, dla którego nowa dzierżawa lub nowy operator nadrzędny „nie działa” pierwszego dnia.
• Niewłaściwe źródło. Obiekt wskazuje ASN poprzedniego użytkownika albo ASN dostawcy, gdy ogłaszasz sam.
• Pozostawione stare obiekty. Pozwalają cudzym filtrom przyjmować ogłoszenia Twojego bloku z ASN, który nie powinien już ich wysyłać. Usuń je, gdy dzierżawa się kończy lub zmienia się dostawca.
• Zmiany wprowadzane przez dostawcę za Ciebie. W ramach BYOIP niektórzy dostawcy sami tworzą obiekt route; AWS na przykład sam aktualizuje RADb i podaje, że ręczne zmiany wskazujące jego ASN powodują niepowodzenie provisioningu (AWS BYOIP).

Obiekty route i RPKI razem

ROA i obiekt route opisują to samo, prefiks i AS, który może być jego źródłem, dla dwóch rodzajów kontroli. Utrzymuj je w zgodzie: zmieniaj oba w tym samym oknie, gdy zmienia się źródło, i sprawdzaj oba spoza własnej sieci (RPKI i ROA).

Gdzie pasuje RTM Networks

Dla przestrzeni dzierżawionej od nas tworzymy obiekt route dla Twojego ASN lub ASN Twojego dostawcy w ramach dzierżawy, razem z ROA i, gdy tylko go potrzebujesz, Letter of Authorization, a po zakończeniu dzierżawy je usuwamy (dzierżawa IPv4).