Como verificar um bloco IP antes de o comprar ou alugar

Um bloco que parece bem no papel pode chegar numa blocklist, com um historial de desvios (hijacks), ou registado numa empresa que já não existe. A maior parte disso pode ser verificada em meia hora com ferramentas públicas, antes de qualquer assinatura. Estas são as sete verificações que fazemos a cada bloco, e como fazê-las por si. Os exemplos usam o intervalo de documentação 203.0.113.0/24; substitua-o pelo bloco que lhe propõem.

1. O registo

Comece por quem o registo diz que detém o bloco, e que tipo de bloco é.

whois -h whois.ripe.net 203.0.113.0/24

Verifique quatro coisas na resposta:

• O titular. A organização no registo deve ser a que vende, ou a que lho aluga. Um nome diferente, uma empresa dissolvida ou um nome que mudou numa fusão é a razão mais comum para um negócio parar (o que faz mexer o preço).
• O estado. ALLOCATED PA, ASSIGNED PI ou LEGACY decide quem pode deter o bloco e se os seus endereços podem ir para os seus clientes (PA, PI ou legacy).
• O contacto abuse. Deve ser uma caixa de correio que alguém lê.
• As observações (remarks). Notas sobre um litígio, uma subatribuição ou outro aluguer merecem uma pergunta antes de avançar.

2. Blocklists, endereço a endereço

Uma listagem diz normalmente respeito a endereços individuais, não ao bloco inteiro, por isso verifique os 256. A zona combinada da Spamhaus, ZEN, responde pelas suas listas SBL, CSS, XBL e PBL numa consulta DNS por endereço:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Execute-o através do seu próprio resolver. A Spamhaus recusa consultas que chegam pelos grandes resolvers públicos e responde-lhes com um código de erro no intervalo 127.255.255.x, que não é uma listagem. Os seus servidores públicos gratuitos destinam-se a "low-volume, non-commercial users" (tradução: «utilizadores de baixo volume e não comerciais») e estão a ser descontinuados, pelo que o ciclo pode deixar de responder; o IP and Domain Reputation Checker da Spamhaus consulta um endereço de cada vez.

Algumas listas avaliam mais do que o endereço. Uma listagem de um intervalo pela Spamhaus aparece no ciclo como uma sequência de endereços listados. A UCEPROTECT lista alocações inteiras no Level 2 e todos os endereços de uma rede com demasiadas listagens no Level 3, e o seu verificador mostra que nível se aplica. As outras listas que importam, e as ferramentas que as verificam, estão em IP em blacklists.

3. Quem o anunciou, e quando

O histórico de encaminhamento mostra que redes originaram o bloco, e durante quanto tempo.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

O que quer ver é uma origem de cada vez, correspondente aos titulares que o vendedor lhe indica. Anúncios curtos de redes sem relação, sobretudo enquanto o bloco estava oficialmente sem uso, são a marca de um desvio. Um bloco que ninguém anuncia há anos não é um problema em si, mas é exatamente o que os autores de desvios procuram, por isso o registo deve ser irrepreensível.

4. O RPKI tal como está

Os ROA ficam até o titular os remover. Num aluguer, esse é o seu locador, e um ROA para o ASN do utilizador anterior que ninguém removeu tornará o seu anúncio invalid (RPKI e ROA). Uma transferência no RIPE NCC remove os ROA do vendedor, por isso crie os seus assim que estiver concluída.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Peça que todos os ROA que cobrem o bloco sejam removidos ou substituídos por um para o seu ASN, ou o do seu fornecedor, antes da entrega.

5. Onde o mundo pensa que está

As bases de dados de geolocalização decidem em que país um bloco parece estar, e isso decide que conteúdos os seus utilizadores veem e que sistemas de pagamento confiam neles.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Esses são os dados gratuitos da MaxMind. Consulte o bloco também nas outras bases de dados principais, e verifique se alguma o classifica como espaço de alojamento ou de VPN, o que pode pesar mais do que o país. Um bloco colocado no país errado pode ser corrigido, mas em todas as bases de dados isso pode demorar seis semanas ou mais, pelo que é melhor sabê-lo agora do que depois do lançamento (geolocalização IP).

6. Denúncias de abuso

Bases de dados comunitárias como a AbuseIPDB recolhem denúncias de ataques a partir de endereços individuais. A API da AbuseIPDB verifica um /24 inteiro num só pedido, nos últimos 30 dias com uma conta gratuita:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Algumas denúncias antigas são normais para espaço que esteve em uso; um fluxo constante a partir de muitos endereços não é.

7. Histórico de transferências

Se está a comprar, pergunte quando o vendedor recebeu o bloco. O IPv4 recebido por transferência não pode voltar a ser transferido durante 24 meses na região de serviço do RIPE NCC, e os endereços do pool 103/8 da APNIC durante cinco anos depois de terem sido entregues pela primeira vez (as regras de transferência comparadas). Se preferir que o seu pagamento fique retido até o registo registar a transferência, um escrow pode retê-lo.

O que perguntar ao vendedor ou ao locador

• Quando recebeu o bloco, e de quem?
• Quem o usou nos últimos dois anos, e para quê?
• Existem agora ROA, objetos route ou objetos domain para ele, e quem os vai remover?
• Há alguma coisa listada, e o que foi feito a esse respeito?
• Num aluguer: o que acontece ao bloco se o aluguer for renovado, e o que diz o contrato sobre a sua recuperação?

Onde entra a RTM Networks

Fazemos estas verificações antes de propor um bloco, e verificamos todos os blocos IPv4 que alugamos contra blocklists todos os dias enquanto os tiver (alugar IPv4, comprar IPv4). Se lhe estão a propor um bloco noutro lado e quer uma segunda opinião, envie-nos o prefixo e dizemos-lhe o que vemos.