Obiecte route IRR și RADb: de ce este filtrat un prefix

Un obiect route este o înregistrare publică ce spune ce număr AS poate origina un prefix. Furnizorii upstream construiesc filtrele de pe sesiunea dvs. BGP din aceste înregistrări, așa că un prefix fără un astfel de obiect este adesea aruncat înainte să ajungă vreodată în internetul larg, chiar și când ROA-ul său este perfect. RPKI nu a înlocuit registrele de rutare; majoritatea rețelelor le folosesc încă pe amândouă.

Ce este un obiect route

Registrele de rutare (IRR) țin obiecte într-un format text simplu. Cel care contează pentru un anunț este obiectul route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

El asociază un prefix cu un AS de origine. Dacă blocul este anunțat de pe două ASN-uri, îi trebuie două obiecte route.

Unde se află

• RIPE Database este registrul pentru spațiul din regiunea de servicii a RIPE NCC, iar obiectele route pentru acel spațiu își au locul acolo. Crearea unuia cere autoritatea deținătorului spațiului de adrese, așa că un străin nu vă poate înregistra blocul.
• ARIN și APNIC au registre pentru propriul spațiu: al ARIN în ARIN Online, pentru spațiul sub un acord ARIN, și al APNIC în Whois Database (ARIN, APNIC).
• RADb, administrat de Merit, o organizație nonprofit, este un registru pe bază de abonament care ține obiecte pentru spațiu din orice regiune. Multe rețele îl interoghează alături de registrele regionale, de aceea apare în atâtea configurări și de aceea merită verificat ce spune despre blocul dvs.

Cum le folosește upstreamul

Majoritatea furnizorilor extind automat, din registre, ceea ce aveți voie să trimiteți într-o listă de prefixe: se caută numărul dvs. AS sau un as-set care îl listează pe al dvs. și pe ale clienților dvs., iar fiecare obiect route cu o origine corespunzătoare devine o intrare în filtrul de pe sesiunea dvs. Instrumente precum bgpq4 fac asta:

bgpq4 -4 -l allowed AS64500

Dacă lista afișată nu vă conține prefixul, nici filtrul upstreamului nu îl va conține. Filtrele sunt adesea reconstruite o dată pe zi, așa că un obiect route nou poate avea nevoie de atât până să intre în vigoare.

Verificarea a ceea ce spun registrele

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Căutați trei lucruri: un obiect route cu AS-ul dvs. de origine, niciun obiect route rămas pentru un ASN care nu mai anunță blocul și aceeași imagine în registrul regional și în RADb.

Greșeli din cauza cărora un prefix este filtrat

• Niciun obiect route. Cea mai frecventă și motivul pentru care o închiriere nouă sau un upstream nou „nu funcționează” în prima zi.
• Originea greșită. Obiectul numește ASN-ul utilizatorului anterior sau pe al furnizorului, când îl anunțați singur.
• Obiecte vechi lăsate pe loc. Le permit filtrelor altcuiva să accepte anunțuri ale blocului dvs. de pe un ASN care nu ar mai trebui să le trimită. Eliminați-le când se încheie o închiriere sau se schimbă un furnizor.
• Modificări făcute de furnizor pentru dvs. Prin BYOIP, unii furnizori creează singuri obiectul route; AWS, de exemplu, actualizează singur RADb și spune că modificările manuale care îi numesc ASN-ul fac provizionarea să eșueze (BYOIP la AWS).

Obiectele route și RPKI împreună

Un ROA și un obiect route descriu același lucru, prefixul și AS-ul care îl poate origina, pentru două tipuri de verificare. Țineți-le sincronizate: schimbați-le pe amândouă în aceeași fereastră ori de câte ori se schimbă originea și verificați-le pe amândouă din afara propriei rețele (RPKI și ROA).

Unde se încadrează RTM Networks

Pentru spațiul închiriat de la noi, creăm obiectul route pentru ASN-ul dvs. sau al furnizorului dvs. ca parte a închirierii, împreună cu ROA-ul și, ori de câte ori aveți nevoie, Letter of Authorization, și le eliminăm când se încheie închirierea (închiriere IPv4).