S-05

RTBH / ЗАЩИТА L3-L4

Blackhole по вашему анонсу, без звонков и тикетов.

RTBH позволяет пережить объёмную атаку, не отключая канал целиком: вы анонсируете атакуемый адрес с blackhole-community, и трафик на него отбрасывается ещё до вашего порта.

202831:666:0 — дроп у нас, у всех аплинков и на точках обмена. 202831:911:0 — дроп только у транзитов: адрес остаётся доступен у нас и через IX. Для IPv6 принимаем префиксы вплоть до /128 внутри ваших ROA.

Никаких звонков и тикетов — blackhole включается вашим же анонсом. После инцидента обязательно разбираем, что произошло.

ЧТО ВХОДИТ

202831:666:0 — дроп у нас, у всех аплинков и на IX
Приём до /128 внутри ваших ROA-префиксов (IPv6)
Изоляция цели, а не отключение всего канала
Разбор инцидента постфактум — обязателен

СТОИМОСТЬВКЛЮЧЕНО В ТРАНЗИТ

ЗАПРОС НА СТЫК

03 / ПИРИНГ

ОТКРЫТАЯ ПОЛИТИКА

Мы пирим со всеми, у кого есть ASN и желание уменьшить число промежуточных узлов. Соглашения о неразглашении для этого не требуется.

ТРЕБОВАНИЯ

01Зарегистрированная ASN и корректные объекты в IRR (RADb / RIPE)
02Подписанные ROA для анонсируемых префиксов
03Максимальное число префиксов, согласованное на этапе настройки
04Действующий NOC-контакт, который отвечает
05Никаких транзитных анонсов через нашу сессию без согласования

НАПИСАТЬ В PEERING

BGP COMMUNITIES

COMMUNITY	ДЕЙСТВИЕ
`202831:666:0`	BLACKHOLE — drop here, at every upstream and IX (/48–/128 within your ROAs)
`202831:911:0`	BLACKHOLE — transits only, stays reachable here and at IXes
`202831:100:N`	PREPEND ×N (1–3) to transits
`202831:101:N`	PREPEND ×N (1–3) to IXes and peers
`202831:300:0`	DO NOT ANNOUNCE to transits (IXes and peers only)
`202831:301:0`	DO NOT ANNOUNCE to IXes and peers (transits only)
`202831:2:ASN`	INFO — set by us: route learned from customer ASN

Только large communities (RFC 8092): AS202831 32-битная, классические 202831:666 невозможны. Транзиты — GlobalNet и HE, IX — DATA-IX, Piter-IX и Cloudflare. По умолчанию клиентские маршруты уходят в GlobalNet и DATA-IX с препендом ×2. Работают на клиентских IPv6-сессиях BGP-туннелей.

ЧТО В ЯДРЕ

МАРШРУТИЗАЦИЯ: BIRD 3.x на ядрах MSK и FRA
ФИЛЬТРАЦИЯ: prefix-list или origin + RPKI ROV, invalid отбрасывается
АУТЕНТИФИКАЦИЯ: MD5 по запросу, BFD там, где есть смысл
ПРОТОКОЛ: MP-BGP, IPv4 и IPv6 в одной сессии или раздельно
МОНИТОРИНГ: flow-статистика и алерты на смену состояния сессии

10 / ФИЛЬТРЫ

СПИСОК ТОГО, ЧТО МЫ НЕ ПРИНИМАЕМ

У предыдущей версии сайта здесь был список фамилий. Мы заменили его на список префиксов — он полезнее и, в отличие от политики, действительно фильтруется на границе.

010.0.0.0/0 и ::/0Дефолт от клиента — это не анонс, это авария

02BOGON / RFC1918 / RFC6598Серые сети в глобальной таблице не ходят

03RPKI INVALIDОтбрасывается автоматически, без обсуждения

04ПРЕФИКСЫ ДЛИННЕЕ /24 И /48Мы не будем засорять чужие таблицы

05АНОНСЫ БЕЗ ОБЪЕКТА В IRRАплинки фильтруют по AS202831:AS-ALL — без route-объекта маршрут дальше нас не уйдёт

06FULL VIEW ТУДА, ГДЕ СОГЛАСОВАН /24max-prefix существует не для красоты