Annoncer son ASN et ses préfixes en BGP
Ce qu'il faut avant de demander une session, les objets RIPE à créer, et à quoi ressemble une configuration côté client.
Annoncer vos propres adresses vous rend indépendant de votre hébergeur : vous pouvez changer de fournisseur sans renuméroter, et être joignable par plusieurs chemins à la fois. C'est une démarche administrative autant que technique.
Ce qu'il faut posséder
- Un numéro d'AS, attribué par le RIPE NCC via un LIR — ou obtenu en devenant vous-même LIR.
- Au moins un préfixe : /24 minimum en IPv4, /48 minimum en IPv6. Plus spécifique ne serait accepté par personne.
- Un objet route ou route6 dans la base RIPE, qui associe le préfixe à votre AS.
- Un ROA signé en RPKI : sans lui, un nombre croissant d'opérateurs rejettent l'annonce.
Le ROA n'est plus optionnel
Le filtrage RPKI s'est généralisé. Un préfixe annoncé sans ROA valide, ou avec un ROA dont la longueur maximale ne correspond pas à ce que vous annoncez, est simplement invisible pour une partie d'Internet — et le diagnostic est pénible, parce que ça marche depuis certains endroits.
Ce qu'on vous demandera
| Élément | Pourquoi |
|---|---|
| Votre numéro d'AS | Pour configurer la session et poser les filtres |
| La liste de vos préfixes | Pour n'accepter que ce qui vous appartient |
| Votre AS-SET, si vous avez des clients | Pour construire le filtre automatiquement depuis la base RIPE |
| Une adresse de contact technique et un contact d'abus | Obligatoire, et utile le jour d'un incident |
| Le débit engagé et le mode de raccordement | Cross-connect ou tunnel |
À quoi ressemble la configuration, côté client
Exemple avec BIRD 2 — à adapter, les adresses sont fictives
router id 203.0.113.1;
protocol bgp fournisseur {
local 198.51.100.2 as 64512;
neighbor 198.51.100.1 as 64500;
ipv4 {
import filter {
# On accepte la route par défaut ou la table complète,
# selon ce qui a été convenu
accept;
};
export filter {
# On n'annonce QUE ses propres préfixes
if net ~ [ 203.0.113.0/24 ] then accept;
reject;
};
};
}Le filtre en sortie avant tout
Un filtre d'export absent ou trop large, c'est le détournement de trafic : votre routeur réannonce à votre fournisseur des préfixes appris ailleurs, et une partie d'Internet se met à passer par vous. C'est arrivé à de très gros opérateurs. Écrivez le filtre en premier, testez-le, et ne l'ouvrez jamais « temporairement ».
Vérifier une fois en ligne
- Un looking glass public montre si votre préfixe est vu depuis d'autres réseaux.
- Les outils du RIPE — RIPEstat, RIS — affichent la visibilité de l'annonce dans le temps.
- Un validateur RPKI confirme que le ROA correspond bien à ce que vous annoncez.
- Un mtr depuis plusieurs points du monde vérifie que le chemin est celui que vous attendiez.
Bloqué malgré tout ? Ouvrez un ticket : on répond en français, et on regarde votre machine si besoin.
Ouvrir un ticket