Route-objekt i IRR och RADb: varför ett prefix filtreras

Ett route-objekt är en offentlig post som anger vilket AS-nummer som får vara ursprung för ett prefix. Upstreamleverantörer bygger filtren på din BGP-session utifrån de här posterna, så ett prefix utan ett sådant objekt kastas ofta innan det någonsin når ut på internet, även när dess ROA är perfekt. RPKI har inte ersatt routingregistren; de flesta nät använder fortfarande båda.

Vad ett route-objekt är

Routingregister (IRR) innehåller objekt i ett enkelt textformat. Det som spelar roll för en annonsering är route-objektet:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Det parar ihop ett prefix med ett ursprungs-AS. Annonseras blocket från två ASN behövs två route-objekt.

Var de finns

• RIPE Database är registret för utrymme i RIPE NCC:s serviceregion, och route-objekt för det utrymmet hör hemma där. Att skapa ett kräver behörighet från adressutrymmets innehavare, så en främling kan inte registrera ditt block.
• ARIN och APNIC driver register för sitt eget utrymme: ARIN:s i ARIN Online, för utrymme under ett avtal med ARIN, och APNIC:s i dess Whois Database (ARIN, APNIC).
• RADb, som drivs av Merit, en ideell organisation, är ett prenumerationsregister som har objekt för utrymme från alla regioner. Många nät frågar det vid sidan av de regionala registren, vilket är varför det dyker upp i så många uppsättningar, och varför det är värt att kontrollera vad det säger om ditt block.

Hur din upstream använder dem

De flesta leverantörer expanderar det du får skicka till en lista med prefix, automatiskt, ur registren: ditt AS-nummer, eller ett as-set som listar ditt och dina kunders, slås upp, och varje route-objekt med matchande ursprung blir en post i filtret på din session. Verktyg som bgpq4 gör det:

bgpq4 -4 -l allowed AS64500

Om listan den skriver ut inte innehåller ditt prefix gör inte din upstreams filter det heller. Filter byggs ofta om en gång om dagen, så ett nytt route-objekt kan ta så lång tid på sig att få verkan.

Kontrollera vad registren säger

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Du letar efter tre saker: ett route-objekt med ditt ursprungs-AS, inga kvarlämnade route-objekt för ett ASN som inte längre annonserar blocket, och samma bild i det regionala registret och i RADb.

Misstag som får ett prefix filtrerat

• Inget route-objekt alls. Det vanligaste, och skälet till att en ny hyra eller en ny upstream ”inte fungerar” första dagen.
• Fel ursprung. Objektet anger den förra användarens ASN, eller din leverantörs när du annonserar det själv.
• Gamla objekt som ligger kvar. De låter någon annans filter godta annonseringar av ditt block från ett ASN som inte längre borde skicka dem. Ta bort dem när en hyra upphör eller en leverantör byts.
• Ändringar som leverantören gör åt dig. Med BYOIP skapar vissa leverantörer route-objektet själva; AWS, till exempel, uppdaterar RADb på egen hand och säger att manuella ändringar som anger dess ASN får provisioneringen att misslyckas (AWS BYOIP).

Route-objekt och RPKI tillsammans

En ROA och ett route-objekt beskriver samma sak, prefixet och det AS som får vara dess ursprung, för två sorters kontroll. Håll dem i takt: ändra båda i samma fönster när ursprunget ändras, och kontrollera båda utifrån ditt eget nät (RPKI och ROA).

Var RTM Networks passar in

För utrymme som hyrs av oss skapar vi route-objektet för ditt ASN, eller din leverantörs, som en del av hyran, tillsammans med ROA:n och, när du behöver en, Letter of Authorization, och vi tar bort dem när hyran upphör (hyr IPv4).