Så kontrollerar du ett IP-block innan du köper eller hyr det

Ett block som ser bra ut på papperet kan komma med en post på en blocklista, med en historik av kapningar, eller registrerat på ett bolag som inte längre finns. Det mesta av det går att kontrollera på en halvtimme med öppna verktyg, innan något skrivs under. Det här är de sju kontroller vi gör på varje block, och hur du gör dem själv. Exemplen använder dokumentationsintervallet 203.0.113.0/24; byt ut det mot blocket du erbjuds.

1. Registerposten

Börja med vem registret säger innehar blocket, och vilken sorts block det är.

whois -h whois.ripe.net 203.0.113.0/24

Kontrollera fyra saker i svaret:

• Innehavaren. Organisationen i posten ska vara den som säljer, eller den som hyr ut det till dig. Ett annat namn, ett upplöst bolag eller ett namn som ändrades vid en fusion är den vanligaste orsaken till att en affär kör fast (vad som påverkar priset).
• Statusen. ALLOCATED PA, ASSIGNED PI eller LEGACY avgör vem som får inneha blocket och om dess adresser får gå till dina kunder (PA, PI eller legacy).
• Abuse-kontakten. Den ska vara en brevlåda som någon läser.
• Anmärkningar. Noteringar om en tvist, en undertilldelning eller en annan hyra är värda en fråga innan du går vidare.

2. Blocklistor, adress för adress

En listning gäller oftast enskilda adresser, inte hela blocket, så kontrollera alla 256. Spamhaus kombinerade zon, ZEN, svarar för listorna SBL, CSS, XBL och PBL i en DNS-fråga per adress:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Kör det genom din egen resolver. Spamhaus vägrar frågor som kommer via de stora publika resolvrarna och besvarar dem med en felkod i intervallet 127.255.255.x, vilket inte är en listning. Dess kostnadsfria publika servrar är för ”low-volume, non-commercial users” (översättning: användare med liten volym och icke-kommersiellt bruk) och håller på att fasas ut, så loopen kan sluta svara; Spamhaus IP and Domain Reputation Checker slår upp en adress i taget.

Vissa listor bedömer mer än adressen. En listning av ett intervall hos Spamhaus syns i loopen som en rad listade adresser i följd. UCEPROTECT listar hela allokeringar på Level 2 och varje adress i ett nät med för många listningar på Level 3, och dess kontrollverktyg visar vilken nivå som gäller. De andra listorna som spelar roll, och verktygen som kontrollerar dem, finns i IP-svartlistning.

3. Vem som har annonserat det, och när

Routinghistoriken visar vilka nät som har varit ursprung för blocket, och hur länge.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Det du vill se är ett ursprung i taget, som stämmer med de innehavare säljaren berättar om. Korta annonseringar från orelaterade nät, särskilt medan blocket officiellt var oanvänt, är kännetecknet för en kapning. Ett block som ingen har annonserat på flera år är inget problem i sig, men det är precis vad kapare letar efter, så posten bör vara vattentät.

4. RPKI som det ser ut nu

ROA:er ligger kvar tills innehavaren tar bort dem. Vid en hyra är det din uthyrare, och en ROA för den förra användarens ASN som ingen tog bort gör din annonsering invalid (RPKI och ROA). En överföring hos RIPE NCC tar bort säljarens ROA:er, så skapa dina så snart den är klar.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Be att varje ROA som täcker blocket tas bort eller ersätts med en för ditt ASN, eller din leverantörs, före överlämnandet.

5. Var världen tror att det finns

Geolokaliseringsdatabaser avgör i vilket land ett block verkar finnas, och det avgör vilket innehåll dina användare ser och vilka betalsystem som litar på dem.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Det är MaxMinds kostnadsfria data. Slå upp blocket i de andra stora databaserna också, och kontrollera om någon av dem märker det som hosting- eller VPN-utrymme, vilket kan väga tyngre än landet. Ett block som placerats i fel land kan rättas, men i alla databaser kan det ta sex veckor eller mer, så det är bättre att veta det nu än efter lanseringen (IP-geolokalisering).

6. Abuse-anmälningar

Communitydrivna databaser som AbuseIPDB samlar anmälningar om attacker från enskilda adresser. AbuseIPDB:s API kontrollerar ett helt /24 i en förfrågan, över de senaste 30 dagarna med ett kostnadsfritt konto:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Några gamla anmälningar är normalt för utrymme som har använts; en jämn ström från många adresser är det inte.

7. Överföringshistorik

Om du köper, fråga när säljaren fick blocket. IPv4 som tagits emot genom en överföring kan inte överföras igen på 24 månader i RIPE NCC:s serviceregion, och adresser ur APNIC:s pool 103/8 inte på fem år efter att de först delades ut (överföringsregler jämförda). Vill du att din betalning hålls inne tills registret har registrerat överföringen kan en escrow hålla den.

Vad du ska fråga säljaren eller uthyraren

• När fick du blocket, och av vem?
• Vem har använt det de senaste två åren, och till vad?
• Finns det ROA:er, route-objekt eller domain-objekt för det nu, och vem tar bort dem?
• Är något listat, och vad gjordes åt det?
• Vid en hyra: vad händer med blocket om hyran förlängs, och vad säger avtalet om att ta tillbaka det?

Var RTM Networks passar in

Vi gör de här kontrollerna innan vi erbjuder ett block, och vi kontrollerar varje IPv4-block vi hyr ut mot blocklistor varje dag så länge du har det (hyr IPv4, köp IPv4). Erbjuds du ett block någon annanstans och vill ha en andra bedömning, skicka oss prefixet så berättar vi vad vi ser.