BGP Lookup & RPKI Check
BGP looking glass показывает, как глобальная система маршрутизации видит IP-префикс — кто его анонсирует, насколько широко он виден и авторизован ли источник его маршрута записью ROA. Введите IP-адрес, CIDR-префикс или номер AS и прочитайте ответ из живых данных маршрутизации, собранных по всему миру.
Последнее обновление:
Проблема маршрутизации, за которой нужно следить постоянно? Следите бесплатно с myeventwatch — оповещения об истечении и простоях, карта не нужна.
Что на самом деле проверяет BGP lookup
У интернета нет центральной карты. Каждая сеть — каждая автономная система, или AS, — сообщает соседям, до каких IP-префиксов она может добраться, соседи передают новость дальше, а глобальная таблица маршрутизации — это просто сумма этих анонсов в том виде, как их слышат коллекторы, разбросанные по миру. BGP lookup спрашивает эти коллекторы, что они сейчас слышат об одном префиксе: какая AS его анонсирует, то есть какая сеть заявляет, что она его дом, и по каким путям пойдёт трафик. Это совсем другой вопрос, чем кому блок принадлежит на бумаге: реестры говорят, кто должен анонсировать префикс, а таблица маршрутизации говорит, кто реально делает это сейчас, — и когда они расходятся, ваш трафик подчиняется таблице.
Видимость — второй сигнал на этой странице, и она ловит другой класс проблем. Здоровый, хорошо связанный префикс видят почти все пиры коллекторов; префикс, который видят лишь немногие, либо очень новый, либо намеренно локальный, либо течёт или фильтруется там, где не должен. Показанное здесь число — сколько пиров RIS видят префикс из всех отчитывающихся — превращает вопрос «мой маршрут уже снаружи?» из догадки в цифру. Отметки первого и последнего появления дополняют картину: префикс, впервые увиденный сегодня, — это изменение, а не устойчивое состояние.
RPKI: авторизован ли источник?
Анонсы — это заявления, и десятилетиями ничто не мешало любой сети заявлять любой префикс — случайно, из-за опечатки в фильтре или намеренно, при угоне. RPKI — это исправление: владелец префикса публикует Route Origin Authorisation, ROA, с указанием номеров AS, которым разрешено его анонсировать, и максимальной длины префикса, которую они могут анонсировать. Валидаторы сравнивают каждый анонс с этими ROA и помечают его как valid, invalid или unknown. Эта страница показывает этот вердикт вместе с самими ROA. Valid означает, что ROA покрывает именно этот источник. Invalid означает, что ROA существует, но не авторизует то, что анонсируется, — классическая сигнатура ошибочно выпущенного анонса или настоящего угона, — и это стоит расследовать немедленно. Unknown означает, что ни одна ROA не покрывает префикс: это обычное дело, пока не сбой, но открытое приглашение, которое владельцу стоит закрыть.
Связанные инструменты: проверка распространения DNS, когда имя разрешается по-разному в разных местах, сканер портов, когда маршрут в порядке, а служба не отвечает, и сопроводительное руководство как проверять маршруты BGP и RPKI с разобранным примером чтения путей, видимости и вердиктов ROA вместе.
Источники данных и атрибуция: данные маршрутизации поступают из RIPEstat, API данных RIPE NCC, построенного на коллекторах RIPE RIS, которые пирятся с сетями по всему миру и записывают анонсы, которые слышат; валидация RPKI выполняется Routinator по якорям доверия пяти региональных реестров. Данные маршрутизации меняются каждую минуту, поэтому результаты — это снимок на момент проверки, кэшируемый лишь ненадолго.
Пять фактов, которые показывает эта страница
| ASN источника | Номер автономной системы, анонсирующей префикс, — сеть, заявляющая в глобальной таблице, что она его дом. |
| Анонсируется | Слышат ли коллекторы сейчас хоть какой-то анонс префикса; неанонсируемый префикс недостижим из публичного интернета. |
| Видимость RIS | Сколько пиров коллекторов RIPE RIS видят префикс, из всех отчитывающихся, — почти полная видимость является здоровой нормой. |
| AS-путь | Последовательность автономных систем, через которые анонс прошёл до коллектора, читается справа налево, от источника к коллектору. |
| Статус RPKI | Авторизует ли ROA анонс: valid — покрыт, invalid — ROA есть, но она не разрешает этот источник или длину, unknown — ни одна ROA его не покрывает. |
Часто задаваемые вопросы
Что можно ввести — IP, префикс или ASN?
Всё три. Одиночный IP-адрес отображается на префикс, который его покрывает, и ищется этот префикс. CIDR-префикс вроде 1.1.1.0/24 ищется напрямую. Номер AS вроде AS13335 возвращает имя владельца сети, сколько префиксов она анонсирует, выборку из них и счётчики её апстримов, даунстримов и уникальных соседей.
Мой префикс показан как не анонсируемый. Что это значит?
Ни один коллектор RIS сейчас не слышит его анонса, поэтому у публичного интернета нет маршрута к нему. Обычные причины — проблема роутера или сессии на источнике, анонс, отфильтрованный апстримом, очень свежее изменение, ещё не разошедшееся, или просто запрос выделенного, но неиспользуемого блока. Сначала проверьте BGP-сессии роутера источника, затем спросите апстрима, принимает ли он префикс и передаёт ли его дальше.
RPKI говорит invalid. Мой префикс угнали?
Invalid означает, что ROA покрывает префикс, но не авторизует видимый анонс — AS источника нет в списке, или анонсированный префикс длиннее максимальной длины ROA. Самая частая причина — операционная, а не злонамеренная: новый источник или более специфичный анонс развернули, не обновив ROA. Если анонс ваш и намеренный, исправьте или переопубликуйте ROA; если AS источника вообще не ваша, считайте это возможным угоном и срочно свяжитесь с владельцем префикса и своими апстримами.
Почему видимость меньше общего числа пиров?
Некоторые коллекторы пирятся с сетями, которые никогда не несут этот маршрут, — префикс, анонсируемый только регионально, отфильтрованный политикой, или настолько новый, что ещё не дошёл до каждой сессии. Небольшой недобор нормален, особенно для IPv6 и более специфичных префиксов. Видимость, близкая к нулю, у префикса, который должен быть глобальным, — тревожный сигнал: анонс покидает источник, но не распространяется.
Насколько свежи данные и кэшируются ли они?
RIPEstat непрерывно агрегирует данные коллекторов RIS, а эта страница читает их в момент проверки через чекер sysosx, который кэширует результат лишь ненадолго, чтобы соблюдать вежливые лимиты запросов, — кэшированный ответ помечается как таковой. Изменения маршрутов могут появляться в данных коллекторов минутами позже, даже когда уже действуют на реальный трафик, поэтому перепроверьте вскоре после изменения, а не считайте один снимок окончательным.