Аренда IP-блоков для хостеров: нативные /24, LOA и анонс с ROA

Все, кто продаёт VPS на собственных хост-нодах или ведёт сетки сайтов, знают: железо можно докупить в любой момент, а настоящее узкое место — IP-адреса. Сколько VPS выдержит хост-нода и сколько сайтов поместится в сетку, зависит от того, сколько у вас чистых подсетей класса C (/24). IPv4 давно исчерпан, поэтому получить блок сейчас можно только двумя способами: купить через трансфер в RIR или арендовать у владельца. В этой статье речь только об аренде — с позиции оптового покупателя, рассчитывающего на долгий срок: как выбрать блок, какие документы нужны, как анонсировать префикс и с каким аплинком стоит работать долго.

Главное

• Поскольку IPv4 давно исчерпан, хостинг-провайдер может получить IP-блок только двумя способами: купить его через трансфер в RIR или арендовать у владельца.
• Для анонса арендованного IP-блока со своей ASN обычно нужны одновременно LOA, route-объект в IRR и RPKI ROA, а при отсутствии ROA или неверной ASN в ней маршрут в сетях с ROV будет помечен как invalid.
• Перед арендой IP-блока нужно проверить весь блок на наличие в RBL и историю злоупотреблений, данные в базах геолокации и то, является ли он локальным нативным IP.
• Провайдеры без собственной ASN могут использовать несколько IP, вплоть до целой /24, прямо на выделенных серверах IMIDC в Японии, Корее, на Тайване, в США или Москве.
• IMIDC является членом четырёх RIR (RIPE NCC, APNIC, ARIN и AFRINIC) и помогает оформить разрешительные документы: LOA, route-объекты и ROA.

Сначала посчитайте: арендовать, купить или взять IP дата-центра

На NodeSeek и HostLoc многие провайдеры обсуждали один и тот же вопрос: на старте брать выделенные серверы с несколькими IP или получать собственную ASN, арендовать блок и анонсировать его самому? Выбор в основном зависит от масштаба и от того, есть ли у вас компетенции в сетевой эксплуатации.

Наш взгляд такой: если своей ASN пока нет, начните с целой подсети класса C прямо на выделенном сервере IMIDC в Японии, Корее, на Тайване, в США или Москве и запустите бизнес на хост-нодах и сетках сайтов с минимальными затратами. Когда бизнес вырастет, можно подумать о своей ASN и анонсе по BGP. IMIDC также предоставляет услуги BGP, Anycast и ASN, так что позже можно будет плавно перейти на следующий уровень.

LOA, IRR и ROA: за что отвечает каждый

Многие новички путают эти три вещи, а потом получают блок, который не удаётся проанонсировать, или который доступен из одних сетей и недоступен из других. Коротко:

• LOA (Letter of Authorization, письмо-разрешение): бумажный документ, в котором владелец IP разрешает вашей ASN анонсировать конкретный префикс. Обычно в нём указаны владелец, уполномоченная ASN, точный CIDR и срок действия. Многие аплинки проверяют этот документ, прежде чем поднять с вами BGP-сессию.
• Route-объект в IRR: объект route или route6, зарегистрированный в базе RIPE, APNIC, RADB и т. п., который заявляет, что «такая-то ASN может анонсировать такой-то префикс». Многие операторы автоматически строят фильтры по данным IRR, и без регистрации ваш маршрут в части сетей будет просто отброшен.
• RPKI ROA: авторизация с цифровой подписью. Всё больше сетей проверяют источник маршрута (ROV) по ROA. Если ROA нет или в ней указана не та ASN, в сетях с включённой ROV ваш маршрут будет признан invalid.

На LowEndTalk и NANOG это обсуждали не раз: LOA — бумажный документ, который легко подделать, а ROA выпускает RIR, и её можно проверить. По-настоящему профессиональный арендодатель настраивает все три сразу, а не просто присылает PDF. В сообществе RIPE обсуждали и практику, когда аплинк анонсирует префиксы клиента от его имени; вывод: это нормальный бизнес, если и ROA, и IRR разрешают правильную исходную ASN. Кроме того, для одного префикса может одновременно существовать несколько ROA с разными исходными ASN, поэтому при миграции можно сначала поднять новый анонс, а потом снять старый — без простоя.

Здесь и проявляется ценность членства во всех четырёх RIR. IMIDC — член RIPE NCC, APNIC, ARIN и AFRINIC, наши IP-ресурсы выделены официально через RIR, и их происхождение прозрачно. Если вам нужны LOA, route-объекты или ROA, IMIDC поможет их оформить, и не придётся искать настоящего владельца через цепочку посредников.

Что стоит за блоком: репутация, геолокация и история

Больше всего провайдеры на форумах жалуются не на цену, а на «грязные» блоки. Предыдущий арендатор рассылал спам или сканировал сети и оставил за собой шлейф записей в чёрных списках; или в базах IP-геолокации блок до сих пор числится в другой стране и у него высокий fraud score — сайты из сетки плохо индексируются, а клиенты VPS без конца пишут тикеты.

Перед тем как брать блок, проверьте три вещи:

1. Чёрные списки и история злоупотреблений: пакетно проверьте весь блок по основным RBL, например Spamhaus, и посмотрите на соседние блоки. Загрязнение в той же /16 тоже может вам навредить.
2. Базы геолокации: такие базы, как MaxMind и IPinfo, обновляются с задержкой, поэтому недавно переданный блок некоторое время может показывать старую страну. Добросовестный аплинк сам отправит исправления, а не оставит вас разбираться с поставщиками баз.
3. Нативность: нативные IP-блоки в Японии, Корее, на Тайване и в США — плюс для сеток сайтов и клиентов хост-нод, которым нужна «местная идентичность». У IMIDC есть дата-центры во всех этих регионах и локальные нативные IP; на московском узле также есть линии CN2 с прямым подключением к материковому Китаю и обратный маршрут, удобный для пользователей из Китая. В качестве дополнения доступны нативные и резидентные IP (домашний ШПД) в Индонезии и Вьетнаме.

Признаки добросовестного аплинка: обработка abuse и KYC

Некоторых провайдеров раздражает строгий аплинк: требует KYC, пересылает жалобы клиентам ниже по цепочке. Но посмотрите с другой стороны: аплинк, который никогда не обрабатывает abuse, рано или поздно получит блокировку целых блоков в RBL или их отзыв владельцем. Тогда все клиенты вашей хост-ноды разом окажутся офлайн — почти то же самое, что внезапное исчезновение аплинка.

Аплинк, который серьёзно относится к abuse-жалобам и запросам на отслеживание, защищает репутацию всей подсети класса C, а требование KYC к клиентам делает ваш реселлинг законным и стабильным в долгосрочной перспективе. Командам с сетками сайтов напомним: под сеткой сайтов здесь понимается законная работа с множеством сайтов с соблюдением местного законодательства и правил поисковых систем и платформ, а не дорвеи с парсингом чужого контента и не black-hat SEO. Чистому блоку — чистый контент.

Чек-лист закупки и приёмки (для хостинг-провайдеров)

Получив блок или выделенный сервер с целой подсетью, пройдитесь по списку ниже пункт за пунктом и сохраните результаты:

• [ ] Сверьте префикс с договором: CIDR, количество адресов и данные шлюза должны совпадать
• [ ] Через whois проверьте RIR, в которой зарегистрирован блок, и убедитесь, что данные inetnum или NetRange понятны
• [ ] Проверьте, есть ли в IRR соответствующий route-объект и правильная ли исходная ASN
• [ ] С помощью инструмента проверки RPKI убедитесь, что статус ROA для префикса — valid
• [ ] Если планируете анонс со своей ASN, проверьте срок действия LOA и уполномоченную ASN
• [ ] Пакетно проверьте весь блок по RBL и выборочно — соседние блоки
• [ ] Выборочно проверьте страну и город в нескольких базах геолокации и запишите fraud score
• [ ] Уточните, можно ли настраивать rDNS самостоятельно или это сделает аплинк
• [ ] Со стороны хост-ноды проверьте, работает ли IPMI/KVM, ставятся ли Virtualizor, PVE, SolusVM или Convoy и корректно ли привязываются несколько IP
• [ ] Запустите mtr, проверьте прямой и обратный маршруты и убедитесь, что IP не заблокированы в материковом Китае
• [ ] Выясните, как пересылаются abuse-тикеты и как на них отвечают
• [ ] Пропишите в договоре условия продления, отзыва и переноса

Частые вопросы

Можно ли анонсировать арендованный IP-блок со своей ASN?

Да, если у вас есть своя ASN и аплинк готов поднять с вами BGP. Владелец должен предоставить LOA и указать вашу ASN как исходную в route-объекте IRR и в RPKI ROA. IMIDC поможет подготовить эти документы; для оценки конкретных задач свяжитесь с нашим отделом продаж.

Для сетки сайтов нужно несколько подсетей класса C. Сколько IP можно получить на один сервер?

Выделенные серверы IMIDC поддерживают несколько IP, вплоть до целой /24. В Японии, Корее, на Тайване и в США доступны локальные нативные IP. Для подбора комбинации из нескольких подсетей класса C под ваш проект обратитесь в поддержку.

Что делать, если новый арендованный блок определяется в другой стране?

Обычно это значит, что базы геолокации ещё не обновились. Сначала убедитесь, что данные whois и geofeed верны, затем отправьте исправления в базы вроде MaxMind и IPinfo. Сроки применения у всех разные, и добросовестный аплинк поможет вам отследить процесс.

Почему аплинк требует KYC для перепродажи VPS?

KYC и обработка abuse защищают репутацию всего IP-блока. Чем строже контроль у аплинка, тем ниже риск, что ваш блок целиком попадёт в чёрный список или будет отозван, — именно на это и стоит смотреть при выборе долгосрочного аплинка.

Найдите IP-аплинк для долгосрочного сотрудничества

IMIDC (Rainbow Network Limited) работает с 2014 года, обслужила более 5000 клиентов, управляет 9 дата-центрами, располагает IP-ресурсами в 24 странах и является членом всех четырёх крупных RIR. Мы предлагаем выделенные серверы на SSD, аплинк 10 Гбит/с и защиту от DDoS в дата-центрах уровня Tier3+ с питанием 2N и гарантией доступности 99,9%, а также многоязычную поддержку 24/7 и бесплатный перенос. Если вы ищете серверы для хост-нод или сеток сайтов в Японии, Корее, Москве, на Тайване или в США либо вам нужны целые подсети класса C, свяжитесь с отделом продаж или поддержкой, чтобы обсудить оптовое и долгосрочное сотрудничество: https://www.imidc.com

Связанные услуги

• Аренда нативных IP и IPv4 | Япония, Гонконг, Корея, США
• BGP-анонс и Anycast IP: хостинг со своим ASN

Читайте также

• Зачем нужна собственная ASN и IP-блок
• BGP, Anycast и ASN: введение
• Как привязать несколько IP к серверу Linux

Источники

• https://lists.ripe.net/pipermail/members-discuss/2019-November/003478.html
• https://kb.leaseweb.com/kb/network-services/how-to-create-route-object-and-roa-records/
• https://ipv4center.com/blog/what-are-roa-loa-ipv4-leasing-transfers
• https://dev.to/kohanevich/the-ipv4-leasing-mistakes-that-will-cost-you-thousands-2i69
• https://lowendtalk.com/discussion/comment/4820199/
• https://ipinfo.io/compare/maxmind-alternative