LINUX.ORG.RU
ФорумTalks

Действия RIPE могут нарушить нормальную работу российского сегмента Интернет

 , ,


3

3

В том время как официальные власти РФ задумались над безопасностью рунет-сегмента, в RIPE решили нанести удар на опережение и с помощью своей власти, попытаться лишить огромного количества Интернет-провайдеров IP-адресов.

Что произошло? Произошло страшное. Иностранная организация RIPE (юридисдикция - Нидерланды) лишила статуса LIR компанию Нетап (Netup LTD), второго по значимости LIR, работающего в российском сегменте Интернет. В течение 1 месяца, если RIPE не изменит своего решения, эти объекты будут удалены из реестра и сети более не будут глобально-маршрутизируемы (т.к. не будут проходить фильтры по префикс-листа, сгенерённым по RIPE'у). Проще говоря, операторы потеряют IP-адреса, а их абоненты останутся без сервиса (и если B2C-сегмент можно посадить за NAT, то с B2B-абонентами становится всё совсем плохо)

Технически, произошло следующее. PI-блоки (объекты inetnum) в райпе потеряли атрибут sponsoring-org, admin-c теперь у них DUMY-RIPE. В PA-блоках видимых изменений нет, к сожаленью их посчитать нельзя.

Да, к сожаленью нельзя точно техническими средствами узнать сколько и какие именно блоки пострадали (т.к. в PA изменений не видно), но вот за то PI посчитать можно, т.к. удаление атрибута sponsoring-org произошло

Скачиваем файл: https://ftp.ripe.net/ripe/dbase/split/ripe.db.inetnum.gz (кто в теме - скачайте его именно сегодня, завтра уже могут быть новые изменения!) Далее, находим в нём сети по следующему критерию last-modified: 2019-03-01, admin-c: DUMY-RIPE, country: RU, status: ASSIGNED PI

Получаем такой результат: https://pastebin.com/DS34mTvW

Далее, рисуем гистограмму с поминутным распределением событий изменения объектов:

$ cat changed-ru-2018-03-01.pi | cut -c 1-16 | uniq -c
   1 2019-03-01T07:46
   1 2019-03-01T08:51
   1 2019-03-01T10:56
   2 2019-03-01T11:53
  10 2019-03-01T11:56
  15 2019-03-01T11:57
  16 2019-03-01T11:58
  16 2019-03-01T11:59
  16 2019-03-01T12:00
  16 2019-03-01T12:01
  17 2019-03-01T12:02
  15 2019-03-01T12:03
  14 2019-03-01T12:04
  14 2019-03-01T12:05
  17 2019-03-01T12:06
  14 2019-03-01T12:07
  15 2019-03-01T12:08
  15 2019-03-01T12:09
  15 2019-03-01T12:10
  15 2019-03-01T12:11
  16 2019-03-01T12:12
  17 2019-03-01T12:13
  16 2019-03-01T12:14
  16 2019-03-01T12:15
  15 2019-03-01T12:16
  15 2019-03-01T12:17
  13 2019-03-01T12:18
  16 2019-03-01T12:19
  17 2019-03-01T12:20
  15 2019-03-01T12:21
  14 2019-03-01T12:22
  16 2019-03-01T12:23
  16 2019-03-01T12:24
  16 2019-03-01T12:25
  15 2019-03-01T12:26
  17 2019-03-01T12:27
   9 2019-03-01T12:28
   2 2019-03-01T12:58
   1 2019-03-01T13:28
   3 2019-03-01T14:28
   4 2019-03-01T16:02

Видно, что скрипт RIPE'а начал работать в 11:56 и закончил в 12:28. Объекты в этом интервале времени с вероятностью близкой к 1 - пострадавшие в результате этого акта к российскому сегменту Интернет.

Список PI-сетей, которые с очень большой долей вероятности попали под раздачу: https://pastebin.com/DS34mTvW

Всего объектов - 490 PI-сетей (в период с 11:56 до 12:28). Желающие могут сделать упражнение по подсчёту кол-ва пострадавших IP-адресов в PI-блоках. Основные пострадавшие - телекомы небольшого и среднего размера, хостинг-провайдеры. PI-блоки относительно просто перенести к другому LIR и часть телекомов, возможно, успеют это сделать до удаления блока из RIPE (если RIPE не изменит решения относительно netup). Судьба тех, кто покупал/арендовал PA-блоки у нетап совсем непонятна в случае если RIPE не изменит своё решение.

Источники информации: https://forum.nag.ru/index.php?/topic/147608-netap-bolshe-ne-lir/
https://t.me/enogtalk/41102


А можно для тех кто не копенгаген слегка объяснить мотивы ripe? Или они из серии «мы о$$$ели, ну и что?»

praseodim ★★★★★
()
Ответ на: комментарий от praseodim

По ссылке, где опубликовано письмо от нетап клиентам https://dobriy-samarit.livejournal.com/585280.html написано:

Продолжаю информировать Вас о сложившейся конфликтной ситуации между нашей организацией и RIPE. Еще раз приношу свои извинения за доставленное беспокойство в связи с рассылкой RIPE о необходимости заключения договора с LIR. Данная рассылка произошла по причине денонсирования RIPE соглашения с нашей организацией из-за подлога регистрационных документов одним из наших клиентов, которые мы переслали в RIPE (нарушение пункта 9.4.h стандартного соглашения https://www.ripe.net/publications/docs/ripe-673).

srg666
() автор топика
Ответ на: удаленный комментарий

Разбираться надо, что произошло. Я вот совсем не в курсе этой кухни, но может это выглядит как то, что у жадных детей отобрали то, что у них и не должно было быть? слова sponsored как бы намекают.

praseodim ★★★★★
()
Ответ на: комментарий от praseodim

sponsoring-org это нормальный атрибут для PI-блока

srg666
() автор топика
Ответ на: комментарий от srg666

Данная рассылка произошла по причине денонсирования RIPE соглашения с нашей организацией из-за подлога регистрационных документов одним из наших клиентов, которые мы переслали в RIPE (нарушение пункта 9.4.h стандартного соглашения https://www.ripe.net/publications/docs/ripe-673).

Можно сначала, почему вообще документы клиентов пересылались в ripe и как netup должна была проверять их подлинность? И почему из-за одного клиента всех нагибают?

Пока прочитал

if the Member provides the RIPE NCC with falsified or misleading data or provides the RIPE NCC repeatedly with incorrect data.

Я конечно понимаю, что погуглив и почитав можно во всем разобраться, но все-таки если не сложно, краткий ликбез бы не помешал. Пока что в упор не пойму, кроме того что был заключен довольно жесткий договор с ripe.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 2)
Ответ на: комментарий от praseodim

RIPE распределяет IP-адреса в Европе (Россия относится к Европе, а не к Азии с точки зрения принадлежности к RIR). RIPE не работает напрямую с клиента, они работают через LIR-ов (локальный Интернет регистратор), для того чтобы не рассылать десятки тысяч платёжек, а получать агрегированные платежи за IP-шники от LIR-ов

Т.е. LIR-ы по факту ничего не делают, а только лишь агрегируют платежи и пересылают бумажки туда-сюда (от ripe к клиенту и обратно). Да это такие цифровые спекулянты, которые делают деньги из воздуха.

srg666
() автор топика
Ответ на: комментарий от srg666

Добавлю, я непонимаю какая связь между регистратором доменных имен (LIR) и распределением IP-адресов? Регистратор регистриует символьные имя на какие-то IP в интернете, но и что дальше?

praseodim ★★★★★
()
Ответ на: комментарий от praseodim

LIR занимается не регистрацией доменов, а регистрацией сетей(IP-адресов) в RIPE. У каждого оператора есть свои адреса (или чужие, не суть). Адресов мало (2^32, по факту меньше из-за мультикаста, резерва и прочей байды), RIPE даёт сети LIR-ы, те дают их клиентам(операторам)

Некоторые операторы сами становятся LIR'ами, но тогда надо платить годовой взнос (2000 евро или около того, не помню точно) - при большом кол-ве IP-адресов это выгодно, при малом - нет

srg666
() автор топика
Ответ на: комментарий от srg666

RIPE не работает напрямую с клиента, они работают через LIR-ов (локальный Интернет регистратор), для того чтобы не рассылать десятки тысяч платёжек, а получать агрегированные платежи за IP-шники от LIR-ов

Спасибо, стало понятнее. Я почему-то путал с регистраторами доменных имен, хотя знал, что ripe - это про IP-адреса.

Но если там десятки тысяч клиентов, то как можно требовать ответственности за любого из этих клиентов, еще интереснее как в самой ripe выяснили, что данные клиента были сфальсифицрованы.

Чего-то начинает пахнуть, что тут не просто недоразумение с данными, а какое-то шкодничество было за которое огребли. Какое именно - хз.

praseodim ★★★★★
()
Последнее исправление: praseodim (всего исправлений: 3)
Ответ на: комментарий от srg666

RIPE рассылает письма с требованием к клиентам NetUP оформиться LIR-ами? Больше LIR — больше взносов? Штука евро не лишняя?

imul ★★★★★
()
Ответ на: комментарий от praseodim

А может быть всё это ради того чтобы нарушить работу определённых предприятий в РФ, которые используют белые адреса, выданные этим LIR-ом (например для связи с другими подразделениями, в том числе зарубежом(внутри РФ обычно серьёзные конторы заказывают l2/l3-vpn) ), особенно если они живут на IP-шниках из PA-блоков...

Это всё лишь предположение ни на чём не основанное

srg666
() автор топика
Ответ на: комментарий от imul

рассылает письма с требованием либо стать лиром, либо отдать свои PI-блоки на поддержку какому-нибудь другому лиру

судьба PA-блоков вообще не понятна в этой ситуации

srg666
() автор топика
Ответ на: комментарий от dk-

У него просто печет, что кто-то не произвел материальной ценности, а заработал больше него.

t184256 ★★★★★
()
Ответ на: комментарий от srg666

Административная работа с десятками тысяч клиентов это ни разу не безделье-спекуляции. Это важный и непростой труд.

dk-
()
Ответ на: комментарий от dk-

ок, пусть будет так. но всё равно - сам netup ни сколько не жалко, этих лиров вагон и маленькая тележка, а вот конечные пользователи IP-адресов могут очень сильно пострадать.

srg666
() автор топика

Починил: Админы интернета могут поломать интернет.

dem ★★
()

ЯННП, но уверен, что это даст хороший повод начать выть и биться в истереке депутатов на тему внешней угрозы.

user42 ★★
()

Иностранная организация RIPE (юридисдикция - Нидерланды) лишила статуса

«А не отменят санкции — отключим газ» ©.

quickquest ★★★★★
()

IP-адрес в итоге кому принадлежит? Конечному потребителю или LIR-у? Т.е. клиентам этого NetUP достаточно сменить LIR-а и все их адреса останутся при них?

Legioner ★★★★★
()
Ответ на: комментарий от Legioner

IP-адрес в итоге кому принадлежит?

это очень тонкий юридический вопрос. хз как это правильно называется. по факту, лир оплачивает райпу за клиента, но при этом сообщает в райп кому адреса выделены (со всеми бумагами)

Т.е. клиентам этого NetUP достаточно сменить LIR-а и все их адреса останутся при них?

Для тех, у кого PI-блоки - да. Их можно относительно легко трансферить между лирами, они небольшие и выдаются одну «конечному клиенту» Для тех у кого кусочки PA-блоков - вообще не понятно. Т.к. история с PA-блоками такая. PA-блок, например /16 получает у райпа(раньше было так)/покупает на рынке(сейчас это так) и этот блок становится типа его. Из него он нарезает inetnum'ы уже в сторону конечных потребителей. В чём проблема - PA-блок он неделим (трансфернуть его можно целиком), нельзя его кусочки раздать разным лирам. Т.е. кому в итоге отойдут PA-блоки в случае ликвидации лира не понятно, видимо RIPE'у (офигеть как удобно - лир скупал его на рынке за огромные деньги, потом раз и прикрыть лира за какое-нибудь нарушение, лир в итоге теряет гигантские суммы)

srg666
() автор топика

Как оказалось, выгнали на мороз не одного ЛИРа, работающего в рунете, а сразу двух

https://forum.nag.ru/index.php?/topic/103122-registraciya-as-i-poluchenie-ip-... http://web.archive.org/web/20190302202900/https://forum.nag.ru/index.php?/top...

Второго вообще за косяк в названии компании-клиента, т.е. придирка на лицо, за то сколько это головняка доставит для российских операторов...

srg666
() автор топика
Ответ на: комментарий от srg666

Мы выяснили что печать на нашем договоре с клиентом от одной организации:

COMPANY NAME UK LIMITED

а директор подписавший договор от другой организации:

COMPANY NAME LTD

Когда проверяли в реестре Директора и компанию, не обратили внимания на то что это разные организации но с одинаковым COMPANY NAME....

Это не «косяк в названии компании-клиента», а без пяти минут подделка документов.

Deleted
()
Последнее исправление: Deleted (всего исправлений: 1)

Давно пора разогнать эту банку с пауками, на самом деле.

Суть всего этого шума, на самом деле, скорее всего такова - по-честному, если контора владеющая PI закрывается, то LIR обязан вернуть PI RIPE'у.

Отечественный же е-бизнес, как водится, с большой вероятностью решил развести тупых забугорных лохов, и скорее всего хронически занимался тем, что не сообщал о закрытии контор с PI, не возвращал PI, а чтобы RIPE не прочухал - оплачивал как бы за мертвенького клиента. Что интересно, это совпало с тщательно рапространяемыми воплями (даже на ЛОРе этот бред был) про то, как «IPv4 закончились 111!!!!111» Ну и на фоне этого хайпа наверно сдавали в аренду эти PI кусками там, или ещё как, разумеется втридорога, «IPv4 закончились» же.

Ну вот и получили, наконец, по шапке.

ЗЫ: Тут в 100500й раз можно процитировать одно из правил ведения IT-бизнеса в РФ - «Никогда и ничего не регистрируйте и не покупайте у российских регистраторов!».

Stanson ★★★★★
()
Ответ на: комментарий от Stanson

Обычно конторы(операторы) не закрываются, а продаются другим операторам, тем самым у закрывшейся конторы появляется правоприемник и он имеет право (по правилам RIPE) сделать трансфер всех ресурсов купленного оператора себе.

Это такая же история как и с материальными активами - они переходят тому, кто стал провоприемником

srg666
() автор топика
Ответ на: комментарий от srg666

Обычно конторы(операторы) не закрываются, а продаются другим операторам, тем самым у закрывшейся конторы появляется правоприемник и он имеет право (по правилам RIPE) сделать трансфер всех ресурсов купленного оператора себе.

Не все конторы - операторы. Да и нормальные операторы брезгуют покупать IP-адреса в РФ. А большинство вообще тупо регистрируются как LIR и сами себя обслуживают, это копейки же, за спокойствие и гарантию того, что IP у тебя не отберут.

При покупке оператором другого оператора очень часто проще забить на IP-адреса, нежели искать концы, особенно если это PA.

ЗЫ: Я провайдер, если чо.

Stanson ★★★★★
()
Ответ на: комментарий от Stanson

99% покупателей IP-адресов в РФ это операторы и датацентры (датацентры это тоже операторы, просто хосты у них не CPE-шки клиентов, а серваки).

При покупке оператором другого оператора очень часто проще забить на IP-адреса, нежели искать концы, особенно если это PA.

Лет 5-7 назад - да, а сейчас IPv4 на вес золота. Если оператор работает в B2B сегменте или есть бизнес, связанный с услугами хостинга/colo, то каждая /24 на счету и концы искать можно и нужно.

srg666
() автор топика
Ответ на: комментарий от Stanson

Да и нормальные операторы брезгуют покупать IP-адреса в РФ

большинство «чешских» LIR'ов работают исключительно на российский сегмент :) а истинно европейские лиры (а не выходцы из РФ) особо не заморачиваются с клиентами из РФ ибо это тот еще гемор с валютным контролем и прочей ерундой

вот и получается, что либо работаешь с официально российскими лирами или псевдоевропейскими (где все(это обычно 1-2-3) сотрудники говорят на русском), либо становишься лиром сам (и платишь взносы в валюте)

srg666
() автор топика
Ответ на: комментарий от srg666

99% покупателей IP-адресов в РФ это операторы и датацентры (датацентры это тоже операторы, просто хосты у них не CPE-шки клиентов, а серваки).

Только вот они не покупают IP-адреса у подобных контор.

Лет 5-7 назад - да, а сейчас IPv4 на вес золота.

Да-да, конечно-конечно.

Если оператор работает в B2B сегменте или есть бизнес, связанный с услугами хостинга/colo, то каждая /24 на счету и концы искать можно и нужно.

Нахера, если тебе любая европейская контора организует эту /24 без проблем? Тут в самый разгар воплей «IPv4 кончились!!!1111» /20 без проблем получили, а уж /24 вообще фигня.

Stanson ★★★★★
()
Ответ на: комментарий от Stanson

ЗЫ: Я провайдер, если чо.

Скажи пожалуйста, а где можно посмотреть список LIR провайдеров?
Если не вообще то хотябы по Петербургу.

torvn77 ★★★★★
()
Последнее исправление: torvn77 (всего исправлений: 1)
Ответ на: комментарий от srg666

большинство «чешских» LIR'ов работают исключительно на российский сегмент :) а истинно европейские лиры (а не выходцы из РФ) особо не заморачиваются с клиентами из РФ ибо это тот еще гемор с валютным контролем и прочей ерундой

Гемор это у нас, но, к счастью, платить отсюда несколько проще чем получать валюту сюда. И европейские лиры ничего против бабла из РФ не имеют.

вот и получается, что либо работаешь с официально российскими лирами или псевдоевропейскими (где все(это обычно 1-2-3) сотрудники говорят на русском),

Даже эти «псевдоевропейские» - и то лучше чем официально российские.

либо становишься лиром сам (и платишь взносы в валюте)

Это что, проблема, что-ли? Вот, даже повод теперь есть, самому стать LIR'ом.

Stanson ★★★★★
()
Ответ на: комментарий от Stanson

Дайте пожалуйста линк. Как вы сами написали, многие операторы становятся LIR'ами ради получения IP для себя любимых. На гугле находятся цены +/- как у российских барыг, например вот одна из первых ссылок в гугле http://ipv4trade.eu/ipv4-pricing/

srg666
() автор топика
Ответ на: комментарий от srg666

Вот дешевле: http://ip-as.ru/ - контора зарегистрирована в Чехии. Принимает платежи в рублях, но из-за Чехии приходится возиться с валютным контролем.

AEP ★★★★★
()
Ответ на: комментарий от Stanson

Почему то в твой вариант когда накосячили мелкие конторы с документами верится больше. Чем в вариант «Бусурмане опять плохое против задумали.»

Behem0th ★★★★★
()

Так получается это не действие «на опережение» а банальное нарушение соглашения. Журналисты во все дырки пихают «дискриминацию» насчёт «белой и пушистой» России?

unixnik ★★★★★
()
Ответ на: комментарий от unixnik

Так получается это не действие «на опережение» а банальное нарушение соглашения. Журналисты во все дырки пихают «дискриминацию» насчёт «белой и пушистой» России?

Ни одна СМИ не привела статистику о подобных случаях в отношении других LIR. Может быть это вообще обычное дело. Хотя бы статистику проверок, а не их результатов.

Короче просто инфоповод. Расходимся.

P.S.: вообще, внезапный контроль, это сама по себе так себе стратегия. Тут RIPE выступает буками. Если бы они свою работу делали нормально, а не от случая к случаю - то не было бы и проблемы. Сначала приучают, что контроля нет вообще, а потом - тара-па-пам. Подобная стратегия довольно проста - без постоянного контроля любой может расслабится, и расслабляется. Это естественно. Это даже не психология, а поведение животных. Т.е. любая инспекция может оказаться фатальной.

Поэтому отбеливать эти наши две конторы может и не стоит, но и RIPE защищать особого смысла нет.

kostyarin_ ★★
()
Ответ на: комментарий от udhv

если операторы понесут от этого финансовые потери, то увеличат стоимость на инет, а сейчас чтобы торговать водкой надо подключаться к какой-то залупной системе, которая её учитывает от изготовителя до покупателя, т.е. у продавцов и посредников увеличатся затраты (т.к. операторы поднимут цены) и в итоге они поднимут цену на водку

srg666
() автор топика
Ответ на: комментарий от kostyarin_

внезапный контроль, это сама по себе так себе стратегия

Вроде бы у них сменилось руководство. То ли решили ужесточить контроль навсегда, то ли разово.

question4 ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.