¿Qué es la base de datos RIPE?
La base de datos RIPE es una base de datos de registro público que almacena información sobre los recursos de numeración de Internet y los objetos técnicos relacionados. Está gestionada por el RIPE NCC, el Registro Regional de Internet que presta servicio a Europa, Oriente Medio y partes de Asia Central. Su finalidad es ayudar a mantener la transparencia, la responsabilidad y la coordinación técnica en todo el internet público.La base de datos incluye registros de espacio de direcciones IPv4 e IPv6, ASN, organizaciones, contactos de red, políticas de enrutamiento, anuncios de rutas, delegaciones de DNS inverso, contactos de seguridad y otra información técnica. Estos registros están organizados como objetos estructurados. Cada objeto tiene un tipo, una clave o identificador único, un conjunto de atributos y uno o más mantenedores que controlan quién tiene permiso para actualizarlo.
Por ejemplo, una asignación de dirección IPv4 puede representarse mediante un inetnum object. An IPv6 allocation may be represented by an inet6num objeto. Un ASN generalmente está representado por un número de sistema autónomo objeto. Una política de rutas BGP puede estar representada por un ruta object for IPv4 or a route6 object for IPv6. A company itself may be represented by an organización objeto, mientras que un contacto técnico puede estar representado a través de un persona o rol objeto.Estos objetos están conectados entre sí. Un bloque de direcciones IP puede hacer referencia a un objeto de organización. El objeto de organización puede estar asociado a contactos administrativos y técnicos. Un objeto de ruta puede vincular un prefijo IP a un ASN. Un objeto de mantenedor puede definir quién tiene permiso para modificar el registro. Esta estructura vinculada es lo que hace que la Base de datos RIPE sea útil tanto para las operaciones técnicas como para la administración de recursos.
Es importante entender que la Base de Datos de RIPE es un sistema de registro y coordinación, no un simple certificado de propiedad. Un registro público puede mostrar la organización responsable de un recurso o la entidad registrada como usuario final, pero el contexto jurídico, contractual y normativo puede ser más complejo. Las empresas no deberían basarse únicamente en una consulta a la base de datos al realizar una transferencia de IPv4 de alto valor, una adquisición, una revisión de una disputa o un proceso importante de diligencia debida. En esas situaciones, la base de datos es una fuente de pruebas importante, pero debería revisarse junto con los procedimientos registrales vigentes, la documentación contractual y el asesoramiento profesional cuando proceda.
RIPE NCC, la comunidad RIPE y la base de datos RIPE
Los términos «RIPE», «RIPE NCC» y «RIPE Database» se utilizan a menudo conjuntamente, pero no significan exactamente lo mismo. RIPE hace referencia a la comunidad más amplia de operadores de redes, proveedores de servicios de internet, especialistas técnicos y otras partes interesadas que participan en el desarrollo y la coordinación de las operaciones de internet en la región. RIPE NCC, o Réseaux IP Européens Network Coordination Centre, es la organización que proporciona servicios de registro y coordinación, incluida la operación de la RIPE Database.
El RIPE NCC es uno de los cinco Registros Regionales de Internet del mundo. Los otros cuatro son ARIN para Estados Unidos, Canadá y partes del Caribe y del Atlántico Norte; APNIC para la región de Asia-Pacífico; LACNIC para América Latina y gran parte del Caribe; y AFRINIC para África y la región del océano Índico. Cada RIR gestiona los recursos de numeración de Internet dentro de su región de servicio conforme a políticas desarrolladas mediante procesos comunitarios.La base de datos de RIPE es, por tanto, una herramienta operativa fundamental para la región del RIPE NCC. Por ejemplo, una empresa que recibe un ASN a través de un LIR patrocinador del RIPE NCC puede tener información introducida o actualizada en la base de datos de RIPE como parte del proceso de registro. Posteriormente, la empresa puede necesitar mantener registros de organización, contactos técnicos, objetos de ruta, autorizaciones RPKI, información de contacto para abusos y datos relacionados con BGP.
Para los operadores de red, la base de datos respalda las decisiones operativas del día a día. Un proveedor de tránsito puede utilizar los datos de los objetos de ruta al crear filtros de prefijos. Un analista de seguridad puede utilizar la base de datos para identificar un contacto de abuso pertinente. Una empresa puede buscar un ASN antes de establecer una relación de peering o de servicios. Un centro de datos puede comprobar los registros de asignación de direcciones durante una revisión de transferencia de IP. Un ingeniero que soluciona problemas relacionados con un anuncio de ruta puede comparar el prefijo IP, el ASN de origen, el objeto de ruta, el estado de RPKI y los requisitos del proveedor ascendente.
Por qué la base de datos de RIPE es importante para las empresas
La base de datos RIPE es importante porque la infraestructura de Internet necesita responsabilidad pública. Cuando una empresa opera un prefijo IP o un ASN, otras redes necesitan una forma fiable de determinar quién es responsable de ese recurso. Esto es especialmente importante cuando se produce un incidente de enrutamiento, un ataque DDoS, una queja por spam, un informe de abuso, un patrón de tráfico sospechoso, un secuestro de BGP, un fallo de conectividad o una investigación de seguridad.
Un registro de la Base de Datos RIPE bien mantenido puede facilitar la identificación y el contacto con una empresa. También puede reducir las dificultades al trabajar con proveedores de tránsito ascendente, puntos de intercambio de Internet, socios de conectividad en la nube, proveedores de mitigación de DDoS y otros operadores de red. Si los registros de una organización están incompletos, son inexactos o están desactualizados, puede sufrir retrasos al intentar anunciar prefijos, validar el enrutamiento BGP, demostrar el control de los recursos, actualizar los contactos o responder a un incidente.
La base de datos también es importante para la gestión de la reputación. Las direcciones IP públicas pueden desarrollar una reputación basada en su uso histórico. Un proveedor de alojamiento, operador de VPN, plataforma de correo electrónico, empresa de servicios en la nube o servicio proxy puede tener que demostrar que cuenta con una estructura organizativa legítima, un contacto de abuso operativo, contactos técnicos claros y registros de enrutamiento correctamente mantenidos. Aunque una entrada en la base de datos de RIPE no garantiza una buena reputación, puede contribuir a una presencia de red más transparente y profesional.Para las organizaciones que utilizan BGP, los objetos de ruta y los registros RPKI precisos son especialmente valiosos. Muchos proveedores ascendentes utilizan la información del registro de enrutamiento para crear filtros de prefijos. Si una red anuncia un prefijo, pero no dispone de un objeto de ruta adecuado o de una autorización de ruta, el proveedor puede rechazar la ruta. Esto puede provocar interrupciones, retrasos en la incorporación o una conectividad global incompleta.
La base de datos RIPE también admite la gobernanza interna. Una empresa puede tener varias personas implicadas en las operaciones de red, el cumplimiento normativo, la gestión jurídica, la facturación, la gestión de abusos y el mantenimiento de la infraestructura. Unas relaciones claras entre los objetos y unos controles de los responsables de mantenimiento pueden ayudar a la empresa a definir quién puede actualizar qué registros. Esto reduce el riesgo de que antiguos empleados, consultores externos o partes no autorizadas mantengan el control de registros críticos de recursos de Internet.
Tipos de objetos importantes de la base de datos RIPE
La base de datos de RIPE contiene muchos tipos de objetos diferentes. Algunos son utilizados principalmente por los administradores del registro, mientras que otros son utilizados habitualmente por los ingenieros de redes y los gestores de recursos IP. Los objetos más importantes para una empresa típica que opera con espacio de direcciones IP públicas y un ASN son el objeto de organización, el objeto de dirección IP, el objeto ASN, el objeto de contacto, el objeto mantenedor y el objeto de ruta.
An organización El objeto representa una entidad jurídica, un titular de recursos, un usuario final u otra organización reconocida implicada en el registro de recursos de numeración de Internet. Puede incluir el nombre de la organización, el tipo, referencias de dirección, referencias de contacto e información del mantenedor. Este objeto ayuda a vincular rangos de direcciones IP y ASN con una organización responsable.
An inetnum un objeto representa un rango de direcciones IPv4. Puede contener el propio rango, un nombre descriptivo, una referencia a la organización, contactos administrativos y técnicos, información de estado, referencias de contactos de abuso y controles del mantenedor. Un inet6num object performs a similar function for IPv6 address space. These records are critical because they identify the network operator or organization associated with an address block.
An número de sistema autónomo El objeto representa un número de sistema autónomo. Puede incluir el ASN, la organización responsable de este, información sobre la política de enrutamiento, referencias a las políticas de importación y exportación, contactos técnicos e información del mantenedor. Una empresa que utilice BGP debe asegurarse de que sus datos relacionados con el ASN sean precisos, porque este registro forma parte del contexto público que rodea la identidad de enrutamiento de la red.
A persona el objeto identifica un contacto individual, mientras que un rol El objeto identifica un contacto funcional, como «Centro de Operaciones de Red», «Departamento de Abusos», «Soporte Técnico» o «Administración de Recursos IP». En muchos casos, los objetos de rol son más prácticos que los contactos personales porque siguen siendo válidos incluso cuando cambia el personal. Una empresa bien gestionada suele utilizar direcciones de rol funcionales para las operaciones de red y la gestión de abusos, en lugar de depender enteramente de los datos personales de un único empleado.
A mntner El objeto maintainer, abreviado como objeto maintainer, es uno de los controles de seguridad más importantes de la base de datos RIPE. Especifica los requisitos de autenticación y autorización para modificar objetos relacionados. Si un maintainer no está configurado correctamente, la empresa puede perder la capacidad de actualizar sus registros en la base de datos o exponerse a intentos de modificación no autorizados. Las credenciales del maintainer, las contraseñas, las credenciales de API y los procedimientos de autorización deben gestionarse cuidadosamente y nunca exponerse en código fuente público, scripts del lado del navegador o documentación no segura.
A ruta object documents the relationship between an IPv4 prefix and an origin ASN. A route6 el objeto proporciona el registro equivalente para un prefijo IPv6. Por ejemplo, un objeto de ruta puede indicar que 203.0.113.0/24 está previsto que sea anunciado por AS64500. Estos objetos son utilizados habitualmente por proveedores y pares al crear filtros de rutas. Un objeto de ruta no es lo mismo que un anuncio BGP activo, pero constituye una declaración importante de la intención de enrutamiento.
Cómo buscar en la base de datos de RIPE
La base de datos de RIPE se puede consultar a través de su interfaz web, herramientas de consulta de estilo WHOIS y API REST. El método elegido depende del propósito del usuario. Un responsable de negocio puede preferir la interfaz web porque es fácil de leer. Un ingeniero de redes puede utilizar consultas desde la línea de comandos o la API REST para la automatización. Un equipo de seguridad puede utilizar una combinación de búsquedas en la base de datos, herramientas de validación de RPKI, plataformas de monitorización de BGP y sistemas internos de respuesta a incidentes.
Una consulta básica de IP puede mostrar la información de registro asociada a un rango de direcciones IPv4 o IPv6 públicas. Si un usuario busca una dirección IP, la base de datos puede devolver un objeto de rango de direcciones que contenga el rango asignado o adjudicado, el nombre de la red, el código de país, la referencia de la organización, los contactos técnicos, las referencias de los contactos para casos de abuso y la información del mantenedor. Dependiendo del objeto y de las normas de privacidad aplicables, algunos datos de contacto pueden estar ocultos o limitados.
Una consulta de ASN puede mostrar el número de sistema autónomo objeto asociado a una red. Esto puede incluir el propio ASN, una descripción, referencias relevantes a organizaciones, contactos técnicos, información sobre políticas de enrutamiento y datos del mantenedor. Un registro de ASN puede resultar útil al investigar la identidad de enrutamiento de una red o al prepararse para una relación BGP.
Una consulta de rutas puede ayudar a determinar si un prefijo está documentado como anunciado por un ASN concreto. Esto resulta útil cuando un proveedor ascendente solicita un objeto de ruta antes de aceptar un anuncio BGP. También puede ayudar a los ingenieros a diagnosticar por qué se está filtrando, rechazando o tratando como inesperado un prefijo.
Sin embargo, los usuarios deben entender las limitaciones de los datos. Un objeto de ruta no demuestra que la ruta sea actualmente visible en Internet global. No demuestra que todos los proveedores acepten la ruta. Tampoco sustituye a la validación RPKI. Para comprender la visibilidad del enrutamiento en tiempo real, es posible que el usuario deba consultar sistemas de monitorización BGP, recopiladores de rutas, servidores looking glass de proveedores, validadores RPKI o plataformas de inteligencia de enrutamiento.
Del mismo modo, un registro de dirección IP puede mostrar una organización registrada, pero no necesariamente revela todas las empresas que utilizan servicios detrás de esa dirección. Los proveedores de alojamiento, las plataformas en la nube, los servicios VPN y los revendedores pueden operar infraestructura para muchos clientes utilizando un bloque compartido o delegado.
Cómo utilizar la API REST de la base de datos RIPE
Aprende el formato de URI REST, las claves de los objetos, las consultas seguras de solo lectura, las actualizaciones autenticadas, la validación de simulación, los formatos de respuesta y las medidas de seguridad operativas.
La API REST de RIPE Database proporciona acceso programático a los objetos de RIPE Database a través de HTTPS. Es útil para inventarios de activos, herramientas de gestión de redes, portales internos, flujos de trabajo de monitorización y administración controlada de recursos. Cada objeto de RIPE Database tiene un URI de localización único, por lo que una aplicación puede recuperar o gestionar un objeto específico cuando conoce la fuente de la base de datos, el tipo de objeto y la clave primaria.
1 Comprender el formato de URI REST
El formato estándar de URI de objeto es https://rest.db.ripe.net/source/objecttype/key. El fuente identifica la fuente de la base de datos, como RIPE para datos de producción o PRUEBA al utilizar el entorno de pruebas. El tipodeobjeto identifica el objeto de la Base de Datos RIPE, como inetnum, inet6num, número de sistema autónomo, persona, rol, mntner, ruta, o route6. El clave es el identificador principal del objeto.
https://rest.db.ripe.net/source/objecttype/key
La mayoría de los tipos de objetos utilizan un valor de clave primaria. Los objetos de persona y de rol utilizan el nic-hdl valor como su clave. Los objetos route y route6 utilizan una clave combinada: el prefijo de la ruta seguido inmediatamente por el ASN de origen. Por ejemplo, un objeto route para el prefijo 193.0.22.0/23 originado por AS3333 utiliza la clave combinada 193.0.22.0/23AS3333. Utiliza la codificación de URL cuando sea necesario cuando una clave incluya caracteres como barras inclinadas, espacios u otros caracteres reservados de URL.
https://rest.db.ripe.net
Utiliza este endpoint para objetos activos de la base de datos de RIPE y actualizaciones de producción autorizadas.
https://rest-test.db.ripe.net
Utiliza este endpoint para practicar solicitudes y validar la lógica de integración sin cambiar los datos de producción.
2 Comienza con una búsqueda de objetos de solo lectura
La recuperación de solo lectura es el punto de partida más seguro para una integración. El siguiente comando solicita el público número de sistema autónomo objeto para el ASN de ejemplo AS3333 y solicita a la API que devuelva JSON. Sustituye el ASN de ejemplo únicamente por un ASN público real que tengas permiso para consultar. Este comando no crea, modifica ni elimina ningún objeto de base de datos.
curl -H "Accept: application/json" \
"https://rest.db.ripe.net/ripe/aut-num/AS3333.json"Puede solicitar XML utilizando Aceptar: application/xml o utilizando un .xml extensión. Se puede solicitar JSON con Aceptar: aplicación/json o un .json extensión. Si no se especifica el formato de respuesta, la API utiliza XML de forma predeterminada. Las aplicaciones deben solicitar explícitamente su formato preferido para que el comportamiento del análisis sintáctico siga siendo predecible.
3 Buscar datos cuando no se conoce la clave exacta del objeto
Una solicitud de búsqueda es útil cuando se dispone de un ASN, una dirección IP, un prefijo, un identificador de organización u otro valor de búsqueda, pero aún no se conoce el URI exacto del objeto. El ejemplo siguiente busca en la fuente RIPE registros relacionados con AS3333. El flags=no-referenced el parámetro solicita una respuesta simplificada que no incluya objetos referenciados.
curl --get "https://rest.db.ripe.net/search.json" \
--data-urlencode "query-string=AS3333" \
--data-urlencode "source=ripe" \
--data-urlencode "flags=no-referenced".Para una consulta de enrutamiento, limite la respuesta por tipo de objeto. El siguiente ejemplo busca IPv4 ruta objetos asociados con el prefijo de documentación 203.0.113.0/24. Un objeto de ruta documenta la información de enrutamiento prevista; debe evaluarse junto con la visibilidad de BGP en tiempo real y el estado de RPKI antes de tomar una decisión de enrutamiento.
curl --get "https://rest.db.ripe.net/search.json" \
--data-urlencode "query-string=203.0.113.0/24" \
--data-urlencode "type-filter=route" \
--data-urlencode "source=ripe"。4 Usa únicamente POST, PUT y DELETE con la autorización adecuada
La API REST es compatible con PUBLICAR crear un objeto, PON para actualizar un objeto existente, y ELIMINAR para eliminar un objeto. Estas operaciones requieren HTTPS, una autorización correcta y un cuerpo de solicitud o un objeto de destino válidos. El cuerpo de la solicitud para la creación o actualización de objetos es una representación WhoisResource del objeto. Para las solicitudes POST, PUT y DELETE, especifique los adecuados Tipo de contenido y Aceptar encabezados. Las representaciones de objetos compatibles incluyen aplicación/json y application/xml.
Crear un objeto
Usar POST /{source}/{objecttype} para crear un objeto nuevo. Una solicitud correcta devuelve el objeto recién creado y sin filtrar.
Actualizar un objeto
Usar PUT /{source}/{objecttype}/{key} para enviar una nueva versión de un objeto existente.
Eliminar un objeto
Usar ELIMINAR /{source}/{objecttype}/{key} solo cuando ya no se requiera el objeto y la eliminación esté autorizada.
No coloques una clave de API, un valor de autenticación básica, un certificado, una contraseña o una credencial del mantenedor en el HTML de WordPress, JavaScript del front-end, un repositorio Git público, una captura de pantalla o un correo electrónico. Las solicitudes autenticadas deben realizarse desde un servicio seguro del lado del servidor, un ejecutor de automatización controlado o un entorno profesional de gestión de secretos.
5 Validar primero los cambios con una ejecución en seco
Usa el dry-run=true parámetro de consulta para validar una solicitud POST, PUT o DELETE propuesta sin realizar la actualización. Esta es la forma preferida de probar la estructura de la solicitud, el contenido del objeto y el comportamiento de autorización antes de realizar cualquier cambio en producción. El ejemplo siguiente está dirigido intencionadamente al endpoint de prueba y utiliza valores de marcador de posición. Solo debe adaptarlo un administrador autorizado que trabaje con un objeto de prueba válido y credenciales seguras.
curl -X PUT \
-H "Content-Type: application/json" \
-H "Accept: application/json" \
--data @object.json \
"https://rest-test.db.ripe.net/test/person/EXAMPLE-TEST?dry-run=true"Lo opcional sin formato El parámetro se puede utilizar cuando una aplicación necesita conservar el formato proporcionado en la solicitud, incluidos los espacios y los saltos de línea. Para las solicitudes de eliminación, el parámetro opcional razón Se puede proporcionar el parámetro para documentar por qué se está eliminando el objeto. Una ejecución en seco valida la solicitud, pero no crea, actualiza ni elimina el objeto de destino.
6 Interpretar códigos de estado HTTP y respuestas de API
Las aplicaciones cliente deben utilizar los códigos de estado HTTP para determinar el resultado de una operación y deben leer el cuerpo de la respuesta cuando se produce un error. El cuerpo de la respuesta se devuelve en el formato JSON o XML solicitado. Una respuesta de actualización correcta contiene el objeto tal como aparece en la base de datos después de la operación, lo que resulta útil cuando una aplicación necesita una confirmación inmediata del resultado almacenado.
7 Plan de codificación y latencia de actualización
Las respuestas de la API REST se devuelven en UTF-8. Los objetos de la base de datos de RIPE se almacenan utilizando el juego de caracteres Latin-1, por lo que el contenido de la solicitud debe utilizar UTF-8 sin dejar de estar dentro de los caracteres válidos de Latin-1. Si es necesario convertir un carácter no compatible, el servicio puede sustituirlo por un signo de interrogación y devolver una advertencia. Después de una operación de escritura, realice una consulta de seguimiento o confíe en la respuesta de mutación correcta para confirmar lo que se ha almacenado.
Es posible que las actualizaciones de la base de datos no sean visibles inmediatamente en las operaciones de consulta y búsqueda. El retraso máximo documentado puede ser de hasta diez segundos. Los objetos no jerárquicos, como los objetos de persona, rol y organización, suelen ser visibles más rápidamente. Los tipos de objetos jerárquicos, incluidos los objetos inetnum, inet6num, route, route6 y domain, pueden tardar varios segundos en aparecer en búsquedas posteriores. Por lo tanto, la automatización en producción debe incluir una lógica de reintento y no debe considerar que un resultado de consulta inmediato sin coincidencias demuestra que una actualización realizada correctamente ha fallado.
Cómo los objetos de ruta de la base de datos RIPE respaldan el filtrado BGP
BGP es el protocolo de enrutamiento que permite a los Sistemas Autónomos intercambiar información de accesibilidad a través de Internet. Cuando una empresa anuncia un prefijo IPv4 o IPv6, su proveedor ascendente debe decidir si acepta esa ruta. Para reducir el riesgo de fugas de rutas, secuestro de prefijos, anuncios accidentales e incumplimientos de políticas, muchos proveedores utilizan filtros de enrutamiento.
Un objeto de ruta es una de las entradas que pueden admitir este proceso de filtrado. El objeto indica que un prefijo concreto debe ser originado por un ASN concreto. Por ejemplo, si una empresa opera AS64500 y anuncia 203.0.113.0/24, un objeto de ruta puede documentar esa relación. Un proveedor puede utilizar el objeto de ruta al crear un filtro de prefijos que permita al ASN anunciar únicamente ese prefijo esperado.Esto no significa que todos los proveedores utilicen la misma política de filtrado. Algunos proveedores utilizan ampliamente los objetos de ruta IRR. Otros dependen en mayor medida de RPKI. Muchos utilizan una combinación de RPKI, datos de IRR, reglas de política internas, contratos con clientes, límites de prefijos y revisión manual. Por lo tanto, una empresa no debería asumir que crear un objeto de ruta garantiza automáticamente la aceptación de la ruta en todas partes.El mejor enfoque operativo es coordinarse con el proveedor ascendente antes del anuncio. La empresa debería confirmar qué prefijos se anunciarán, qué ASN los originará, si el proveedor requiere objetos de ruta IRR, si se requieren ROA de RPKI, cuál es la longitud máxima de prefijo permitida y si el proveedor tiene algún proceso de registro de rutas o de emisión de tickets.
Un error común es configurar primero BGP y ocuparse de los registros de rutas después. Esto puede provocar retrasos porque el proveedor puede rechazar el anuncio hasta que los datos de registro estén completos. Un proceso mejor consiste en preparar el objeto de ruta, crear o validar el ROA, verificar los registros del ASN y de la organización, configurar después la sesión BGP y realizar pruebas controladas.
Base de datos de RIPE y RPKI: similares pero diferentes
La base de datos RIPE y la RPKI están relacionadas con la seguridad del enrutamiento, pero desempeñan funciones diferentes. La base de datos RIPE contiene información de registro y de políticas de enrutamiento mantenida públicamente. La RPKI, o infraestructura de clave pública de recursos, es un marco criptográfico utilizado para crear autorizaciones de origen de rutas.
Un objeto de ruta puede indicar que un prefijo IP específico está destinado a originarse desde un ASN específico. Una ROA autoriza criptográficamente a un ASN a originar un prefijo específico y también puede definir la longitud máxima del prefijo que puede anunciarse. Las redes que realizan la validación del origen de las rutas mediante RPKI pueden utilizar las ROA para clasificar las rutas recibidas como válidas, no válidas o no encontradas.
Por ejemplo, una organización puede poseer un prefijo IPv6 y operar un ASN. Puede crear un objeto route6 en la Base de Datos de RIPE para documentar el ASN de origen previsto. También puede crear una ROA que autorice a ese ASN a anunciar el prefijo. El objeto route6 puede facilitar el filtrado basado en IRR, mientras que la ROA permite la validación criptográfica del origen de la ruta.Los dos deben mantenerse de forma coherente. Si el objeto de ruta apunta a un ASN, pero la ROA autoriza otro ASN, los proveedores ascendentes y los operadores de red pueden observar señales contradictorias. Si la ROA tiene una longitud máxima de prefijo incorrecta, los anuncios legítimos más específicos pueden marcarse como no válidos. Si un objeto de ruta está obsoleto, un proveedor que utilice filtros basados en IRR puede rechazar un anuncio que, por lo demás, sería legítimo.
Las organizaciones deberían revisar sus objetos de ruta y ROA siempre que cambien los acuerdos relativos a los ASN, pasen de un LIR patrocinador a otro, transfieran recursos IPv4, reestructuren su empresa, añadan un nuevo proveedor ascendente o modifiquen su política de anuncio de prefijos. Los registros de enrutamiento deberían tratarse como datos operativos vivos, no como tareas de configuración puntuales.
Uso de la API REST de la base de datos de RIPE
La API REST de la base de datos de RIPE permite a los sistemas de software recuperar y, cuando cuentan con la autorización adecuada, gestionar objetos de la base de datos de RIPE mediante solicitudes programáticas. La API puede ser útil para organizaciones que operan muchas redes, mantienen grandes carteras de recursos IP, ejecutan sistemas de monitorización, crean portales para clientes o necesitan integrar datos del registro en flujos de trabajo internos.
Un flujo de trabajo sencillo de una API REST puede comenzar con una solicitud de búsqueda. El sistema envía una consulta para un ASN, una dirección IP, un prefijo, un identificador de organización, un nombre de red u otro valor conocido. La base de datos devuelve datos estructurados, normalmente en formato JSON o XML. A continuación, la aplicación puede analizar el resultado y mostrar los atributos relevantes a un operador o comparar el resultado con los registros internos.
Por ejemplo, un proveedor de servicios en la nube puede utilizar consultas de solo lectura a la API para comprobar si existe un ASN proporcionado por un cliente y si los registros de enrutamiento públicos coinciden con la información de incorporación. Un sistema de seguridad de red puede utilizar consultas a la API para identificar un contacto de abuso registrado para un rango de direcciones. Una plataforma de gestión de recursos IP puede comparar su inventario interno con los registros de registro públicos para identificar contactos desactualizados u objetos de ruta ausentes.
La API debe utilizarse de forma responsable. Los sistemas automatizados deben evitar un volumen excesivo de consultas, gestionar los errores correctamente y no considerar un único resultado de la base de datos como una prueba completa de titularidad, autorización o estado del enrutamiento activo. Un flujo de trabajo sólido puede combinar los resultados de la API de RIPE Database con la validación de RPKI, datos de monitorización de BGP, contratos internos, verificación de clientes y revisión manual.
Para solicitudes de solo lectura, una herramienta de línea de comandos como cURL puede ser suficiente. Un desarrollador puede enviar una solicitud GET al endpoint de búsqueda, definir un valor de búsqueda, aplicar un filtro de origen y solicitar una respuesta JSON. La respuesta puede analizarse posteriormente en Python, PHP, JavaScript, Go, Java o cualquier otro lenguaje de programación capaz de leer JSON.Al trabajar con actualizaciones de objetos, el riesgo es mayor. Los cambios en objetos de rutas, contactos, registros de organizaciones o responsables pueden afectar al enrutamiento en producción, a la respuesta ante incidentes y a la continuidad del negocio. Las operaciones de escritura requieren la autorización adecuada a través del responsable pertinente o del proceso de registro correspondiente. Las credenciales deben almacenarse de forma segura en el servidor o en un sistema aprobado de gestión de secretos. Nunca deben incluirse en el HTML del sitio web, JavaScript del frontend, repositorios públicos, almacenamiento local del navegador, capturas de pantalla, plantillas de correo electrónico ni archivos de configuración sin cifrar.
Una empresa también debería establecer procedimientos de gestión de cambios. Antes de actualizar un objeto de ruta o un registro relacionado con ASN, el ingeniero responsable debería verificar el prefijo previsto, el ASN de origen, el estado de RPKI, los requisitos del proveedor ascendente, la cadena de autorización y el posible impacto del cambio. En las organizaciones más grandes, una revisión por parte de una segunda persona puede ayudar a prevenir errores accidentales en las políticas de enrutamiento.
Calidad de los datos de la base de datos RIPE y errores comunes
La calidad de los datos es una de las cuestiones más importantes de la Base de Datos RIPE. Una empresa puede tener recursos IP legítimos y un ASN activo, pero si los objetos asociados están desactualizados, son incoherentes o se mantienen de forma deficiente, la empresa aún puede enfrentarse a problemas técnicos y operativos.Un error común es utilizar los datos personales de los empleados como único contacto técnico o administrativo. Los empleados cambian de puesto, dejan las empresas, cambian de dirección de correo electrónico o no están disponibles durante los incidentes. Un objeto de función, como un contacto del Centro de Operaciones de Red o del Servicio de Abusos, suele ser más duradero. La empresa puede actualizar a las personas que desempeñan la función sin tener que modificar todos los objetos de recursos vinculados.
Otro error común es no actualizar la información de la organización después de un cambio de nombre legal, una adquisición, una fusión o una reestructuración corporativa. Si cambia la entidad legal asociada a un ASN o a un bloque de IP, es posible que los registros del registro deban revisarse. La empresa debe coordinarse con su LIR patrocinador o proveedor de servicios de registro en lugar de asumir que un cambio legal interno se refleja automáticamente en los registros públicos de Internet.Algunas organizaciones también crean objetos de ruta, pero no los mantienen. Pueden añadir un nuevo proveedor ascendente, cambiar un ASN, transferir un prefijo o modificar su diseño de BGP sin actualizar los registros de enrutamiento. Esto puede crear una discrepancia entre la política de ruta prevista y la información de la base de datos pública.
Un problema relacionado es tratar los objetos de ruta IRR y las ROA de RPKI como intercambiables. No lo son. Ambos pueden ser útiles, y cada uno puede ser requerido por diferentes proveedores o sistemas de validación. Un proceso moderno de seguridad del enrutamiento debería revisar ambos.
Por último, las organizaciones deben proteger cuidadosamente el acceso de los mantenedores. Los controles del mantenedor asociados a un objeto pueden determinar quién puede actualizarlo. Perder el acceso a un mantenedor puede dificultar futuras actualizaciones. Compartir las credenciales del mantenedor de forma insegura puede crear un riesgo de seguridad inaceptable. Las empresas deben documentar la propiedad, almacenar las credenciales de forma segura y mantener un proceso interno claro para la recuperación del acceso y los cambios autorizados.
Base de datos RIPE, transferencias de IPv4 y diligencia debida de recursos
La base de datos de RIPE es especialmente relevante durante una transferencia de IPv4. Antes de adquirir espacio de direcciones IPv4, el comprador debe examinar los registros públicos asociados al prefijo. Esto puede incluir el objeto de dirección actual, la referencia de la organización, el nombre de la red, el estado del recurso, los contactos técnicos, el contacto de abuso, los objetos de ruta y los detalles del mantenedor.
El objetivo no es simplemente confirmar que el prefijo existe. El comprador debe determinar si la información de registro parece coherente, si el bloque de direcciones contiene objetos de rutas existentes, si su uso histórico puede generar problemas de reputación y si el proceso de transferencia puede gestionarse correctamente a través del proceso de registro pertinente.
Por ejemplo, un comprador puede descubrir que un bloque IPv4 tiene objetos de ruta activos asociados a un ASN que ya no se utilizará después de la transferencia. Es posible que el comprador deba coordinar la eliminación o sustitución de esos registros, crear nuevos objetos de ruta para su propio ASN y actualizar las ROA de RPKI antes de anunciar el prefijo desde su red.
El comprador también debería tener en cuenta la reputación del correo electrónico y de la seguridad. Es posible que un rango de IP público se haya utilizado para alojamiento, entrega de correo electrónico, servicios proxy, servicios VPN u otras cargas de trabajo. Si el bloque ha estado asociado con abusos, spam, malware o tráfico sospechoso, el nuevo operador puede tener que dedicar tiempo a restaurar su reputación después de la transferencia. La base de datos de RIPE no proporciona un historial completo de reputación, pero puede ayudar a identificar a operadores anteriores y puntos relevantes para continuar la investigación.Un proceso profesional de transferencia de IPv4 debería incluir, por tanto, la diligencia debida en los registros, la verificación legal, la planificación técnica, la preparación de la seguridad del enrutamiento, la revisión del contrato y la validación posterior a la transferencia. La base de datos de RIPE constituye una base valiosa para este proceso, pero debería utilizarse junto con otras fuentes de información.
Cómo deben las empresas mantener sus registros en la base de datos de RIPE
Una empresa debería tratar el mantenimiento de la Base de Datos RIPE como una responsabilidad operativa continua. El enfoque más eficaz consiste en asignar una responsabilidad interna clara. Un equipo o función designada debería ser responsable de supervisar los cambios en los datos de la empresa, los recursos IP, los ASN, los contactos, los objetos de ruta y los registros RPKI.La empresa debería revisar periódicamente sus registros públicos. Debería confirmar que los nombres de las organizaciones están actualizados, que se puede contactar con los contactos técnicos, que los contactos de abuso están supervisados, que se puede acceder a los controles del mantenedor, que los objetos de ruta coinciden con los anuncios BGP reales y que las ROA de RPKI son coherentes con la política de enrutamiento.
Una revisión es especialmente importante antes de realizar cambios importantes en la red. Si la empresa añade un segundo proveedor de tránsito, se traslada a un nuevo centro de datos, cambia su arquitectura BGP, adquiere un nuevo bloque IPv4, recibe recursos IPv6, cambia su LIR patrocinador o reestructura su entidad jurídica, los registros del registro regional deben revisarse como parte del plan del proyecto. Las empresas que no cuentan con conocimientos internos sobre recursos de Internet pueden trabajar con un LIR patrocinador, un consultor de redes, un proveedor de servicios gestionados o un ingeniero de BGP experimentado. El objetivo no es simplemente completar un formulario del registro. El objetivo es garantizar que los registros legales, los registros técnicos, la política de enrutamiento, los controles de seguridad y los procesos operativos funcionen conjuntamente.
La base de datos de RIPE forma parte de tu infraestructura de Internet
La Base de Datos RIPE es mucho más que una herramienta pública de consulta. Es un registro central de direcciones IP, prefijos IPv6, ASN, registros de enrutamiento, organizaciones, contactos y mantenedores en la región de servicio del RIPE NCC. Para las empresas que operan infraestructura pública de Internet, sus registros pueden influir en la aceptación del enrutamiento, la respuesta ante incidentes, el cumplimiento normativo, la gestión de recursos IP y la reputación de la red.
Una presencia debidamente mantenida en la base de datos de RIPE favorece la transparencia y la confianza técnica. Ayuda a los proveedores de tránsito a entender qué prefijos se espera que anuncie una red. Ayuda a los equipos de seguridad a identificar los contactos pertinentes. Ayuda a las empresas a validar los recursos antes de una transferencia de IPv4. Ayuda a los operadores de red a mantener información coherente sobre ASN, objetos de ruta y RPKI.Las empresas deben utilizar la base de datos con cuidado y tener presentes sus limitaciones. Un objeto de la base de datos no garantiza la visibilidad de BGP en tiempo real, la propiedad legal ni la calidad de la reputación. Es una parte importante de un proceso más amplio de gestión de la infraestructura de internet. El modelo operativo más sólido combina objetos precisos de la base de datos de RIPE con una configuración correcta de BGP, ROA de RPKI válidos, acceso seguro al mantenedor, documentación organizativa actualizada, una gestión fiable de los abusos y una supervisión continua.
Para cualquier empresa que utilice un ASN del RIPE NCC, recursos IPv4, prefijos IPv6 o enrutamiento BGP, mantener registros precisos en la base de datos del RIPE debe considerarse una responsabilidad fundamental de la gestión de la red.