Об’єкти route в IRR і RADb: чому префікс фільтрують

Об’єкт route є публічним записом, який каже, який номер AS може бути походженням префікса. Аплінк-провайдери будують фільтри у вашій сесії BGP з цих записів, тож префікс без такого об’єкта часто відкидається, ще не дійшовши до ширшого інтернету, навіть якщо його ROA бездоганний. RPKI не замінив реєстрів маршрутизації; більшість мереж досі використовує обидва.

Що таке об’єкт route

Реєстри маршрутизації (IRR) зберігають об’єкти в простому текстовому форматі. Для анонсу важливий об’єкт route:

route:   203.0.113.0/24
origin:  AS64500
descr:   Example Customer GmbH
mnt-by:  EXAMPLE-MNT
source:  RIPE

Він поєднує один префікс з одним AS походження. Якщо блок анонсується з двох ASN, йому потрібні два об’єкти route.

Де вони зберігаються

• База даних RIPE є реєстром для простору в регіоні обслуговування RIPE NCC, і об’єкти route для цього простору належать саме туди. Щоб створити такий об’єкт, потрібні повноваження власника простору адрес, тож сторонній не може зареєструвати ваш блок.
• ARIN і APNIC ведуть реєстри для власного простору: ARIN у межах ARIN Online, для простору за договором з ARIN, а APNIC у своїй Whois Database (ARIN, APNIC).
• RADb, який веде некомерційна організація Merit, є реєстром за передплатою, що зберігає об’єкти для простору з будь-якого регіону. Багато мереж звертаються до нього поряд з регіональними реєстрами, тому він трапляється в багатьох конфігураціях, і тому варто перевірити, що він каже про ваш блок.

Як їх використовує ваш аплінк

Більшість провайдерів автоматично розгортає те, що вам дозволено надсилати, у список префіксів з реєстрів: шукається ваш номер AS або as-set, що містить ваш номер AS і номери ваших клієнтів, і кожен об’єкт route з відповідним походженням стає записом у фільтрі вашої сесії. Це роблять такі інструменти, як bgpq4:

bgpq4 -4 -l allowed AS64500

Якщо в списку, який він виводить, немає вашого префікса, його не буде і у фільтрі вашого аплінка. Фільтри часто перебудовують раз на добу, тож новий об’єкт route може почати діяти лише через стільки часу.

Як перевірити, що кажуть реєстри

whois -h whois.ripe.net -T route 203.0.113.0/24
whois -h whois.radb.net 203.0.113.0/24

Ви шукаєте три речі: об’єкт route з вашим AS походження, відсутність залишених об’єктів route для ASN, який більше не анонсує блок, і однакову картину в регіональному реєстрі та в RADb.

Помилки, через які префікс фільтрують

• Об’єкта route немає взагалі. Найпоширеніша, і причина, чому нова оренда або новий аплінк «не працює» в перший день.
• Неправильне походження. Об’єкт вказує ASN попереднього користувача або вашого провайдера, коли ви анонсуєте самі.
• Залишені старі об’єкти. Вони дозволяють чужим фільтрам приймати анонси вашого блоку з ASN, який більше не повинен їх надсилати. Видаляйте їх, коли закінчується оренда або змінюється провайдер.
• Зміни, які провайдер робить за вас. За BYOIP деякі провайдери самі створюють об’єкт route; AWS, наприклад, самостійно оновлює RADb і зазначає, що ручні зміни з його ASN призводять до збою налаштування (AWS BYOIP).

Об’єкти route і RPKI разом

ROA і об’єкт route описують те саме, префікс і AS, який може бути його походженням, для двох видів перевірки. Тримайте їх узгодженими: змінюйте обидва в одному вікні щоразу, коли змінюється походження, і перевіряйте обидва ззовні власної мережі (RPKI і ROA).

Де тут RTM Networks

Для простору, орендованого в нас, ми в межах оренди створюємо об’єкт route для вашого ASN або ASN вашого провайдера разом з ROA і, коли вам потрібно, листом авторизації, і видаляємо їх, коли оренда закінчується (оренда IPv4).