IRR route objekti i RADb: zašto se prefiks filtrira

Route objekat je javni zapis koji kaže koji AS broj sme da bude poreklo prefiksa. Upstream provajderi iz tih zapisa prave filtere na Vašoj BGP sesiji, pa se prefiks bez njega često odbacuje pre nego što uopšte stigne do šireg interneta, čak i kada mu je ROA savršen. RPKI nije zamenio registre rutiranja; većina mreža i dalje koristi oba.

Šta je route objekat

Registri rutiranja (IRR) drže objekte u jednostavnom tekstualnom formatu. Za najavu je važan route objekat:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

On povezuje jedan prefiks sa jednim AS-om porekla. Ako se blok najavljuje sa dva ASN-a, potrebna su mu dva route objekta.

Gde se nalaze

• RIPE baza podataka je registar za prostor u servisnom regionu RIPE NCC-a, i route objekti za taj prostor pripadaju tamo. Za pravljenje jednog potrebno je ovlašćenje nosioca adresnog prostora, pa nepoznata osoba ne može da registruje Vaš blok.
• ARIN i APNIC vode registre za sopstveni prostor: ARIN-ov u okviru ARIN Online, za prostor pod ARIN ugovorom, a APNIC-ov u njegovoj Whois bazi podataka (ARIN, APNIC).
• RADb, koji vodi neprofitna organizacija Merit, jeste registar uz pretplatu koji drži objekte za prostor iz bilo kog regiona. Mnoge mreže ga proveravaju uz regionalne registre, i zato se pojavljuje u toliko postavki, i zato vredi proveriti šta kaže o Vašem bloku.

Kako ih Vaš upstream koristi

Većina provajdera ono što smete da šaljete automatski pretvara u listu prefiksa iz registara: traži se Vaš AS broj, ili as-set koji navodi Vaš i AS-ove Vaših klijenata, i svaki route objekat sa odgovarajućim poreklom postaje stavka u filteru na Vašoj sesiji. To rade alati kao što je bgpq4:

bgpq4 -4 -l allowed AS64500

Ako lista koju ispiše ne sadrži Vaš prefiks, neće ga sadržati ni filter Vašeg upstream-a. Filteri se često ponovo prave jednom dnevno, pa novom route objektu može toliko trebati da počne da deluje.

Kako da proverite šta kažu registri

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Tražite tri stvari: route objekat sa Vašim AS-om porekla, da nisu ostali route objekti za ASN koji više ne najavljuje blok, i istu sliku u regionalnom registru i u RADb-u.

Greške zbog kojih se prefiks filtrira

• Nema nikakvog route objekta. Najčešća greška, i razlog što novi zakup ili novi upstream prvog dana „ne radi“.
• Pogrešno poreklo. Objekat navodi ASN prethodnog korisnika, ili ASN Vašeg provajdera kada najavljujete sami.
• Ostavljeni stari objekti. Oni dozvoljavaju tuđim filterima da prihvate najave Vašeg bloka sa ASN-a koji više ne bi trebalo da ih šalje. Uklonite ih kada se zakup završi ili se promeni provajder.
• Izmene koje provajder pravi umesto Vas. Kod BYOIP-a neki provajderi sami prave route objekat; AWS, na primer, sam ažurira RADb i navodi da ručne izmene koje navode njegov ASN dovode do neuspeha postavljanja (AWS BYOIP).

Route objekti i RPKI zajedno

ROA i route objekat opisuju istu stvar, prefiks i AS koji sme da bude njegovo poreklo, za dve vrste provere. Održavajte ih usklađenim: menjajte oba u istom prozoru kad god se poreklo promeni, i proverite oba van sopstvene mreže (RPKI i ROA).

Gde se uklapa RTM Networks

Za prostor zakupljen od nas pravimo route objekat za Vaš ASN, ili ASN Vašeg provajdera, kao deo zakupa, zajedno sa ROA i, kad god Vam zatreba, Letter of Authorization, a uklanjamo ih kada se zakup završi (zakup IPv4).