Objetos route IRR e RADb: porque é que um prefixo é filtrado

Um objeto route é um registo público que diz que número AS pode originar um prefixo. Os fornecedores upstream constroem os filtros da sua sessão BGP a partir destes registos, pelo que um prefixo sem um é muitas vezes descartado antes de chegar à Internet em geral, mesmo quando o seu ROA é perfeito. O RPKI não substituiu os registos de encaminhamento; a maioria das redes continua a usar ambos.

O que é um objeto route

Os registos de encaminhamento (IRR) guardam objetos num formato de texto simples. O que importa para um anúncio é o objeto route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Associa um prefixo a um AS de origem. Se o bloco for anunciado a partir de dois ASN, precisa de dois objetos route.

Onde estão

• A RIPE Database é o registo para o espaço na região de serviço do RIPE NCC, e os objetos route para esse espaço pertencem-lhe. Criar um exige a autoridade do titular do espaço de endereçamento, pelo que um estranho não pode registar o seu bloco.
• A ARIN e a APNIC mantêm registos para o seu próprio espaço: o da ARIN dentro do ARIN Online, para espaço ao abrigo de um contrato com a ARIN, e o da APNIC na sua Whois Database (ARIN, APNIC).
• O RADb, gerido pela Merit, uma organização sem fins lucrativos, é um registo por subscrição que guarda objetos para espaço de qualquer região. Muitas redes consultam-no a par dos registos regionais, e é por isso que aparece em tantas configurações, e porque vale a pena verificar o que diz sobre o seu bloco.

Como o seu upstream os usa

A maioria dos fornecedores expande o que está autorizado a enviar numa lista de prefixos, automaticamente, a partir dos registos: o seu número AS, ou um as-set que lista o seu e os dos seus clientes, é consultado, e cada objeto route com uma origem correspondente passa a ser uma entrada no filtro da sua sessão. Ferramentas como o bgpq4 fazem isto:

bgpq4 -4 -l allowed AS64500

Se a lista que imprime não contiver o seu prefixo, o filtro do seu upstream também não o terá. Os filtros são muitas vezes reconstruídos uma vez por dia, pelo que um novo objeto route pode demorar esse tempo a produzir efeito.

Verificar o que dizem os registos

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Procura três coisas: um objeto route com o seu AS de origem, nenhum objeto route deixado para trás para um ASN que já não anuncia o bloco, e o mesmo quadro no registo regional e no RADb.

Erros que levam um prefixo a ser filtrado

• Nenhum objeto route. O mais comum, e a razão por que um novo aluguer ou um novo upstream «não funciona» no primeiro dia.
• A origem errada. O objeto indica o ASN do utilizador anterior, ou o do seu fornecedor quando é a sua rede que o anuncia.
• Objetos antigos deixados no lugar. Permitem que os filtros de outros aceitem anúncios do seu bloco a partir de um ASN que já não os devia enviar. Remova-os quando um aluguer termina ou um fornecedor muda.
• Edições que o fornecedor faz por si. Com BYOIP, alguns fornecedores criam eles próprios o objeto route; a AWS, por exemplo, atualiza o RADb por sua conta e diz que alterações manuais com o seu ASN fazem falhar o aprovisionamento (BYOIP na AWS).

Objetos route e RPKI em conjunto

Um ROA e um objeto route descrevem a mesma coisa, o prefixo e o AS que o pode originar, para dois tipos de verificação. Mantenha-os em sintonia: altere ambos na mesma janela sempre que a origem mudar, e verifique ambos a partir de fora da sua própria rede (RPKI e ROA).

Onde entra a RTM Networks

Para espaço que nos aluga, criamos o objeto route para o seu ASN, ou o do seu fornecedor, como parte do aluguer, juntamente com o ROA e, sempre que precisar, a carta de autorização, e removemo-los quando o aluguer termina (alugar IPv4).