BGP, ASN и Anycast простыми словами: как получить ASN и блок IP-адресов

Когда бизнес дорастает до определённого масштаба, неизбежно возникают одни и те же задачи: использовать собственные IP-адреса, переезжать между дата-центрами без смены адресации или дать пользователям по всему миру доступ к одному адресу через ближайшую площадку. Всё это держится на BGP, ASN и Anycast. В этой статье мы простым языком объясним эти понятия и пройдём весь путь — от получения ASN и блока IP-адресов до анонса маршрутов.

Главное

• BGP (Border Gateway Protocol) — это протокол, с помощью которого сети обмениваются маршрутной информацией в интернете, а ASN (номер автономной системы) однозначно идентифицирует сеть с собственной политикой маршрутизации.
• Anycast — это анонс одного и того же блока IP-адресов по BGP сразу из нескольких точек, при котором пользователь попадает на ближайший по сети узел; такой подход подходит для сервисов без состояния или с короткими соединениями — DNS, CDN и API-шлюзов.
• Чтобы собственный блок IP-адресов корректно анонсировался, нужны три ключевых элемента: LOA, route-объекты в IRR и RPKI ROA.
• Минимальный префикс, который обычно принимается в глобальной маршрутизации, — /24 для IPv4 и /48 для IPv6.
• IMIDC является членом RIPE NCC, APNIC, ARIN и AFRINIC и консультирует компании по ASN и блокам IP-адресов, а также предлагает анонс по BGP и решения на базе Anycast.

Для кого эта статья / что подготовить

Руководство предназначено для:

• компаний и разработчиков, которые планируют получить собственное адресное пространство (PI/PA-адреса) или собственный ASN;
• сервисов, которым нужно мультихоминг-подключение, резервирование между несколькими площадками или глобальное ускорение через Anycast;
• тех, у кого уже есть блок IP-адресов и кто хочет анонсировать его по BGP со своего сервера или из дата-центра.

Заранее подготовьте: регистрационные документы компании, план сети (зачем нужна независимая политика маршрутизации и к каким аплинкам вы планируете подключаться) и контакты технического специалиста.

Основные понятия

1. BGP — протокол маршрутизации интернета

BGP (Border Gateway Protocol, текущая версия — BGP-4) — это протокол, с помощью которого сети обмениваются маршрутной информацией друг с другом. Каждая сеть по BGP сообщает соседям: «Эти блоки IP-адресов находятся у меня, и до них можно добраться через меня». Глобальная таблица маршрутизации складывается из таких анонсов десятков тысяч сетей.

2. ASN — «номер паспорта» сети в интернете

ASN (Autonomous System Number, номер автономной системы) однозначно идентифицирует сеть, которая управляет собственной политикой маршрутизации. Сегодня стандартом стали 4-байтовые ASN — это примерно 4,2 млрд номеров. Диапазоны 64512–65534 и 4200000000–4294967294 являются приватными: их можно использовать только внутри сети, и они не должны появляться в публичной глобальной таблице маршрутизации.

3. Anycast — один IP, ближайшая точка по всему миру

Anycast — это одновременный анонс одного и того же блока IP-адресов по BGP из нескольких точек. Когда пользователь обращается к такому IP, маршрутизация направляет его на ближайший с точки зрения сети узел. Anycast широко используется в публичных DNS, CDN и сетях очистки трафика от DDoS. Его преимущества:

• пользователь подключается к ближайшему узлу, что снижает задержку;
• при отказе одного узла маршруты автоматически сходятся на остальных;
• атакующий трафик распределяется между несколькими узлами, что повышает устойчивость к DDoS.

Как получить ASN и блок IP-адресов

1. Пять RIR

IANA распределяет IP-адреса и ASN всего мира между пятью региональными интернет-регистратурами (RIR):

Как правило, обращаться следует в RIR, который обслуживает страну регистрации компании или страну, где находится основная часть вашей сети.

2. Способы подачи заявки

1. Стать членом RIR напрямую: например, стать членом APNIC или LIR в RIPE NCC. Это требует членских взносов и самостоятельного ведения объектов в базе данных и подходит компаниям с долгосрочной потребностью в большом количестве адресов.
2. Подать заявку через провайдера, который уже является членом (спонсорство): например, в регионе RIPE NCC конечный пользователь может поручить «спонсирующему LIR» подать запрос на ASN и PI-адреса от его имени — это гораздо проще.

При запросе ASN регистратуры обычно просят обосновать мультихоминг или независимую политику маршрутизации, то есть план установить BGP-сессии с двумя и более вышестоящими сетями.

3. Ситуация с IPv4 и IPv6

IPv4 практически исчерпан во всех RIR. Новые члены, как правило, могут получить лишь небольшой блок через лист ожидания либо купить адреса на рынке передачи IP или взять их в аренду у владельцев. IPv6 же в избытке, новые запросы обычно одобряются без особых сложностей, поэтому планируйте IPv6 параллельно. Учтите, что минимальный префикс, который обычно принимается в глобальной маршрутизации, — /24 для IPv4 и /48 для IPv6.

Анонс блока IP-адресов через провайдера

Получив ASN и блок IP-адресов, нужно, чтобы вышестоящий провайдер анонсировал ваши маршруты в остальной интернет. Для этого есть несколько ключевых шагов.

1. LOA (письмо-разрешение)

LOA (Letter of Authorization) — документ, который выдаёт владелец блока IP-адресов и которым он разрешает провайдеру (или его аплинку) анонсировать определённый префикс. Вышестоящие сети обычно сверяют LOA с данными о владельце в базе RIR.

2. Route-объекты в IRR

IRR (Internet Routing Registry) — это набор публичных баз данных маршрутизации. Вам нужно создать объекты route / route6 в базе RIR или в IRR, например RADB, где указано, что «этот префикс анонсируется этим ASN». Многие аплинки автоматически строят фильтры по данным IRR, поэтому без route-объекта ваш анонс могут отклонить. Примеры запросов:

whois -h whois.radb.net 203.0.113.0/24
whois -h whois.radb.net -- '-i origin AS64500'

3. RPKI ROA

RPKI с помощью криптографических сертификатов проверяет, кто вправе анонсировать тот или иной префикс. В личном кабинете члена RIR создайте для префикса ROA (Route Origin Authorization), указав ASN, которому разрешено его анонсировать, и максимальную длину префикса. Всё больше операторов отбрасывают маршруты, не прошедшие проверку RPKI (статус Invalid), поэтому без корректного ROA ваши маршруты вполне могут оказаться недоступны из части интернета. Проверить владельца префикса можно так:

whois -h whois.apnic.net 203.0.113.0

4. Пример настройки BGP на сервере

Если провайдер предоставляет вам BGP-сессию, анонсировать префикс с Linux-сервера можно с помощью BIRD 2. ASN и IP в примере — зарезервированные для документации значения; замените их реальными параметрами от провайдера:

apt install -y bird2

Пример /etc/bird/bird.conf:

router id 192.0.2.10;

protocol device { }

protocol static announce_v4 {
  ipv4;
  route 203.0.113.0/24 unreachable;
}

protocol bgp upstream {
  local 192.0.2.10 as 64500;
  neighbor 192.0.2.1 as 64496;
  ipv4 {
    import none;
    export where net = 203.0.113.0/24;
  };
}

Перезагрузите конфигурацию и проверьте состояние сессии:

systemctl restart bird
birdc show protocols
birdc show route export upstream

Состояние Established означает, что BGP-сессия поднята. Помните, что адреса из блока, которые вы реально используете, нужно ещё настроить на сетевом интерфейсе — только тогда ваши сервисы станут доступны.

Частые вопросы (FAQ)

Можно ли анонсировать свой блок IP-адресов без собственного ASN?

Да. Некоторые провайдеры могут анонсировать ваш блок от своего ASN. Достаточно предоставить LOA и соответствующим образом настроить записи в IRR и ROA. Это удобно тем, кто пока не планирует получать собственный ASN.

Сколько времени занимает получение ASN?

Зависит от RIR и полноты документов. Если всё в порядке, обычно от нескольких рабочих дней до нескольких недель. Вступление в члены RIR занимает больше времени.

Подходит ли Anycast для любого сервиса?

Anycast лучше всего подходит для сервисов без состояния или с короткими соединениями — DNS, CDN, API-шлюзов. Для долгих соединений и сервисов с состоянием нужна дополнительная проработка архитектуры, чтобы при изменении маршрутов соединения не переключались на другой узел.

Что делать, если после анонса мои IP недоступны из некоторых регионов?

Сначала проверьте, что ROA охватывает правильный ASN и длину префикса и что объекты в IRR вступили в силу. Затем с помощью публичных инструментов, например bgp.tools, или Looking Glass посмотрите, как ваши маршруты распространяются по миру.

Итоги

BGP связывает сети между собой, ASN идентифицирует сеть, а Anycast позволяет обслуживать пользователей по одному адресу из ближайшей точки мира. LOA, объекты в IRR и RPKI ROA — три ключевых шага для корректного анонса собственных IP. IMIDC является членом RIPE NCC, APNIC, ARIN и AFRINIC, консультирует по вопросам ASN и блоков IP-адресов, предлагает анонс по BGP и решения на базе Anycast, а также поддерживает подключение серверов и колокейшна в нескольких дата-центрах. Поскольку процесс требует ручной проверки документов, при необходимости создайте тикет в клиентском центре — наша техническая команда, работающая 24/7, уточнит с вами все детали.

Читайте также

• Чем нативный IP отличается от IP дата-центра?
• Как привязать несколько IP-адресов к Linux-серверу
• Руководство по защите от DDoS-атак