Як перевірити блок IP, перш ніж купити або орендувати його

Блок, який на папері виглядає добре, може надійти в чорному списку, з історією викрадень або зареєстрованим на компанію, якої вже не існує. Більшість цього можна перевірити за пів години публічними інструментами, перш ніж щось підписано. Ось сім перевірок, які ми проводимо для кожного блоку, і як провести їх самостійно. У прикладах використано документаційний діапазон 203.0.113.0/24; замініть його на блок, який вам пропонують.

1. Запис у реєстрі

Почніть із того, кого реєстр називає власником блоку і що це за блок.

whois -h whois.ripe.net 203.0.113.0/24

Перевірте у відповіді чотири речі:

• Власник. Організація в записі має бути тією, що продає, або тією, що здає його вам в оренду. Інша назва, ліквідована компанія або назва, змінена після злиття, є найчастішою причиною, чому угода зупиняється (що впливає на ціну).
• Статус. ALLOCATED PA, ASSIGNED PI або LEGACY визначає, хто може тримати блок і чи можна його адреси передавати вашим клієнтам (PA, PI чи legacy).
• Контакт abuse. Це має бути поштова скринька, яку хтось читає.
• Remarks. Примітки про спір, підпризначення або іншу оренду варто з’ясувати, перш ніж іти далі.

2. Чорні списки, адреса за адресою

Запис у списку зазвичай стосується окремих адрес, а не всього блоку, тож перевірте всі 256. Комбінована зона Spamhaus, ZEN, відповідає щодо списків SBL, CSS, XBL і PBL одним DNS-запитом на адресу:

for i in $(seq 0 255); do
  answer=$(dig +short $i.113.0.203.zen.spamhaus.org A)
  [ -n "$answer" ] && echo "203.0.113.$i $answer"
done

Запускайте це через власний резолвер. Spamhaus відхиляє запити, що надходять через великі публічні резолвери, і відповідає на них кодом помилки в діапазоні 127.255.255.x, що не є записом у списку. Його безкоштовні публічні сервери призначені для «low-volume, non-commercial users» (переклад: «користувачів з невеликим обсягом запитів і некомерційних користувачів») і поступово виводяться з ужитку, тож цикл може перестати відповідати; IP and Domain Reputation Checker від Spamhaus перевіряє по одній адресі.

Деякі списки оцінюють більше, ніж адресу. Запис діапазону в Spamhaus видно в циклі як низку адрес у списку. UCEPROTECT вносить цілі виділення на рівні Level 2 і кожну адресу мережі із забагатьма записами на рівні Level 3, а його перевірка показує, який рівень застосовується. Інші важливі списки й інструменти для їх перевірки описано в статті чорні списки IP.

3. Хто його анонсував і коли

Історія маршрутизації показує, які мережі були джерелом анонсу блоку і як довго.

curl -s "https://stat.ripe.net/data/routing-history/data.json?resource=203.0.113.0/24"

Ви хочете бачити одне походження за раз, що відповідає власникам, про яких розповідає продавець. Короткі анонси від сторонніх мереж, особливо коли блок офіційно не використовувався, є ознакою викрадення. Блок, який ніхто не анонсував роками, сам по собі не є проблемою, але саме такі шукають викрадачі, тож запис має бути бездоганним.

4. RPKI у поточному стані

ROA залишаються, доки власник їх не видалить. В оренді це ваш орендодавець, і ROA для ASN попереднього користувача, який ніхто не видалив, зробить ваш анонс invalid (RPKI і ROA). Трансфер у RIPE NCC видаляє ROA продавця, тож створіть свої, щойно він завершиться.

curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64500&prefix=203.0.113.0/24"

Попросіть, щоб кожен ROA, що охоплює блок, видалили або замінили на ROA для вашого ASN чи ASN вашого провайдера до передачі.

5. Де, на думку світу, він розташований

Бази геолокації вирішують, у якій країні здається блок, а від цього залежить, який контент бачать ваші користувачі і які платіжні системи їм довіряють.

curl -s "https://stat.ripe.net/data/maxmind-geo-lite/data.json?resource=203.0.113.0/24"

Це безкоштовні дані MaxMind. Перевірте блок і в інших основних базах, а також чи котрась із них позначає його як простір хостингу або VPN, що може важити більше, ніж країна. Блок, віднесений до неправильної країни, можна виправити, але в усіх базах це може зайняти шість тижнів або більше, тож краще дізнатися зараз, ніж після запуску (геолокація IP).

6. Скарги abuse

Спільнотні бази, як-от AbuseIPDB, збирають повідомлення про атаки з окремих адрес. API AbuseIPDB перевіряє весь /24 одним запитом, за останні 30 днів на безкоштовному обліковому записі:

curl -G https://api.abuseipdb.com/api/v2/check-block \
  --data-urlencode "network=203.0.113.0/24" \
  -d maxAgeInDays=30 \
  -H "Key: $ABUSEIPDB_KEY" \
  -H "Accept: application/json"

Кілька старих повідомлень нормальні для простору, що використовувався; постійний потік з багатьох адрес ні.

7. Історія трансферів

Якщо ви купуєте, запитайте, коли продавець отримав блок. IPv4, отриманий через трансфер, не можна знову передати протягом 24 місяців у регіоні обслуговування RIPE NCC, а адреси з пулу 103/8 APNIC протягом п’яти років після першого видання (правила трансферів у порівнянні). Якщо ви хочете, щоб ваш платіж утримувався, доки реєстр не зафіксує трансфер, його може утримувати ескроу.

Що запитати в продавця або орендодавця

• Коли ви отримали блок і від кого?
• Хто користувався ним останні два роки і для чого?
• Чи є зараз для нього ROA, об’єкти route або об’єкти domain, і хто їх видалить?
• Чи є щось у списках, і що з цим зроблено?
• Для оренди: що станеться з блоком, якщо оренду продовжать, і що договір каже про його повернення?

Де тут RTM Networks

Ми проводимо ці перевірки, перш ніж запропонувати блок, і щодня перевіряємо кожен блок IPv4, який здаємо в оренду, за чорними списками, весь час, поки він у вас (оренда IPv4, купівля IPv4). Якщо вам пропонують блок деінде і ви хочете другу думку, надішліть нам префікс, і ми скажемо, що бачимо.