Kako preveriti blok IP, preden ga kupite ali najamete

Blok, ki je na papirju videti v redu, lahko pride na črni listi, z zgodovino ugrabitev ali registriran na podjetje, ki ne obstaja več. Večino tega je mogoče z javnimi orodji preveriti v pol ure, preden se karkoli podpiše. To je sedem preverjanj, ki jih opravimo pri vsakem bloku, in kako jih opravite sami. Primeri uporabljajo dokumentacijski obseg 203.0.113.0/24; zamenjajte ga z blokom, ki vam je ponujen.

1. Zapis v registru

Začnite s tem, kdo je po podatkih registra imetnik bloka in kakšne vrste blok je.

whois -h whois.ripe.net 203.0.113.0/24

V odgovoru preverite štiri stvari:

• Imetnik. Organizacija v zapisu naj bo tista, ki prodaja, ali tista, ki vam ga daje v najem. Drugačno ime, prenehano podjetje ali ime, spremenjeno ob združitvi, je najpogostejši razlog, da se posel zatakne (kaj vpliva na ceno).
• Status. ALLOCATED PA, ASSIGNED PI ali LEGACY določa, kdo sme imeti blok in ali smejo njegovi naslovi iti vašim strankam (PA, PI ali legacy).
• Kontakt za zlorabe. To naj bo poštni predal, ki ga nekdo bere.
• Opombe (remarks). Opombe o sporu, poddodelitvi ali drugem najemu so vredne vprašanja, preden nadaljujete.

2. Črne liste, naslov za naslovom

Vpis se običajno nanaša na posamezne naslove, ne na cel blok, zato preverite vseh 256. Združena cona Spamhaus, ZEN, odgovarja za njegove sezname SBL, CSS, XBL in PBL z eno poizvedbo DNS na naslov:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Zaženite ga prek lastnega razreševalnika (resolver). Spamhaus zavrne poizvedbe, ki pridejo prek velikih javnih razreševalnikov, in nanje odgovori s kodo napake v obsegu 127.255.255.x, ki ni vpis. Njegovi brezplačni javni strežniki so za „low-volume, non-commercial users“ (prevod: uporabnike z majhnim obsegom, nekomercialne uporabnike) in se postopoma ukinjajo, zato zanka morda ne bo več odgovarjala; Spamhausov IP and Domain Reputation Checker poišče po en naslov naenkrat.

Nekateri seznami presojajo več kot naslov. Vpis obsega pri Spamhaus se v zanki pokaže kot zaporedje navedenih naslovov. UCEPROTECT na ravni 2 navaja cele dodelitve, na ravni 3 pa vse naslove omrežja s preveč vpisi, njegovo orodje za preverjanje pa pokaže, katera raven velja. Drugi pomembni seznami in orodja, ki jih preverjajo, so v črne liste IP.

3. Kdo ga je objavljal in kdaj

Zgodovina usmerjanja pokaže, katera omrežja so bila izvor bloka in kako dolgo.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Videti želite en izvor naenkrat, ki se ujema z imetniki, o katerih vam govori prodajalec. Kratke objave nepovezanih omrežij, zlasti v času, ko blok uradno ni bil v uporabi, so znak ugrabitve. Blok, ki ga nihče ni objavljal več let, sam po sebi ni težava, a je natanko to, kar iščejo ugrabitelji, zato mora biti zapis brezhiben.

4. Trenutno stanje RPKI

ROA ostanejo, dokler jih imetnik ne odstrani. Pri najemu je to vaš najemodajalec, in ROA za ASN prejšnjega uporabnika, ki ga ni nihče odstranil, bo vašo objavo naredil neveljavno (RPKI in ROA). Prenos pri RIPE NCC odstrani prodajalčeve ROA, zato svojega ustvarite takoj, ko je končan.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Zahtevajte, da se pred predajo vsak ROA, ki pokriva blok, odstrani ali zamenja z ROA za vaš ASN ali ASN vašega ponudnika.

5. Kje ga vidi svet

Baze geolokacije določajo, v kateri državi se zdi, da je blok, to pa določa, katero vsebino vidijo vaši uporabniki in kateri plačilni sistemi jim zaupajo.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

To so brezplačni podatki MaxMind. Blok poiščite tudi v drugih glavnih bazah in preverite, ali ga katera označuje kot prostor gostovanja ali VPN, kar lahko šteje več kot država. Blok, umeščen v napačno državo, je mogoče popraviti, a v vseh bazah lahko to traja šest tednov ali več, zato je bolje, da to veste zdaj kot po zagonu (geolokacija IP).

6. Prijave zlorab

Skupnostne baze, kot je AbuseIPDB, zbirajo prijave napadov s posameznih naslovov. API AbuseIPDB preveri cel /24 z eno zahtevo, pri brezplačnem računu za zadnjih 30 dni:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Nekaj starih prijav je za prostor, ki je bil v uporabi, običajno; stalen tok z mnogih naslovov ni.

7. Zgodovina prenosov

Če kupujete, vprašajte, kdaj je prodajalec blok prejel. IPv4, prejetega s prenosom, v regiji storitev RIPE NCC 24 mesecev ni mogoče znova prenesti, naslovov iz bazena APNIC 103/8 pa ne pet let po prvi dodelitvi (primerjava pravil za prenose). Če želite, da se vaše plačilo zadrži, dokler register ne zabeleži prenosa, ga lahko hrani escrow.

Kaj vprašati prodajalca ali najemodajalca

• Kdaj ste prejeli blok in od koga?
• Kdo ga je uporabljal v zadnjih dveh letih in za kaj?
• Ali zanj zdaj obstajajo ROA, objekti route ali objekti domain in kdo jih bo odstranil?
• Ali je kaj na črni listi in kaj je bilo storjeno glede tega?
• Pri najemu: kaj se zgodi z blokom, če se najem podaljša, in kaj pogodba pravi o vrnitvi?

Kje nastopi RTM Networks

Ta preverjanja opravimo, preden blok ponudimo, vsak blok IPv4, ki ga damo v najem, pa vsak dan preverjamo na črnih listah, dokler ga imate (najem IPv4, nakup IPv4). Če vam blok ponujajo drugje in želite drugo mnenje, nam pošljite predpono in povedali vam bomo, kaj vidimo.