Come ottenere un assegnazione IPv6 /48 da RIPE NCC: Guida completa

Nell'architettura di rete moderna, fare affidamento sugli operatori di servizi Internet (ISPs) a monte per lo spazio IPv6 assegnato dinamicamente o non portabile crea un blocco del fornitore, complica il recupero da disastri e ostacola il multi-homing neutrale per i carrier.

An IPv6 /48 è ampiamente riconosciuto nei network di trasporto globale e nei punti di scambio Internet (IXP) come il limite di assegnazione minimo per il routing BGP pubblico. Sebbene i limiti di indirizzamento IPv6 si estendano fino a /64 (la distribuzione standard in un'unica sottorete con SLAAC), i fornitori di livello 1 e gli sistemi autonomi filtrano universalmente i prefissi più lunghi di /48 (tali come) /56 o /64) per proteggere le tabelle di instradamento globale dall'espansione illimitata.

Acquistando una distribuzione indipendente di IPv6 direttamente attraverso la RIPE NCC (Réseaux IP Européens Network Coordination Centre), un'organizzazione ottiene:

1. Indipendenza del Provider (PI): Libertà di cambiare i vettori di trasporto o i fornitori a monte senza riassegnare gli indirizzi interni delle reti, dell'infrastruttura o dei servizi periferici.
2. BGP Multi-homing vero: La capacità di pubblicizzare la tua rotta a due o più fornitori di trasporto contemporaneamente, ottimizzando la latenza e il failover.
3. Sicurezza e fiducia decentralizzati: Controllo amministrativo diretto sulla validazione dell'origine crittografica (RPKI ROA) e sul DNS inverso (ip6.arpa) delega.

Comprensione delle politiche RIPE NCC: Allocazioni vs. Assegnazioni

Prima di inviare richieste, è essenziale comprendere la distinzione terminologica definita dalle politiche di assegnazione e distribuzione degli indirizzi IPv6 del RIPE NCC:

• Assegnazioni (PA – Provider Aggregatable): Blocchi destinati a essere suddivisi e distribuiti ulteriormente a clienti a valle o unità aziendali interne. Questi vengono di solito rilasciati ai Local Internet Registries (LIR), a partire da /29 o /32.
• Compiti (PI - Indipendente dal fornitore): Blocchi assegnati direttamente a un'organizzazione End User per la propria infrastruttura operativa dedicata. Questi prefissi non possono essere ulteriormente sottoposti a terze parti.

Per un'organizzazione, un homelab o un'azienda che cerca una soluzione autonoma /48, cercherai principalmente un assegnazione Indipendente dal Provider (PI), registrata sotto un inet6num oggetto con stato di PI ASSEGNATO (o) ASSEGNATO-DAL-LIR a seconda della struttura del contratto).

Scegliere il proprio percorso: Iscrizione diretta LIR vs. Sponsorizzazione LIR

Il RIPE NCC consente due meccanismi per gli utenti finali per proteggere le risorse:

Raccomandazione: Regole critiche: 1. Restituisci SOLO il testo tradotto grezzo. 2. MAI restituire riempitivi conversazionali, saluti o spiegazioni (ad esempio, NON dire "Ecco la traduzione:", "Ecco la traduzione"). 3. NON incapsulare l'output in formato markdown (ad esempio, ```html o ```). 4. Mantieni la stessa struttura HTML esatta, i placeholder, i shortcode, le variabili e i numeri. La violazione di queste regole romperà l'elaborazione del sistema. /29–/32 aggregazioni, contrattare un LIR Sponsor è l'approccio standard e più economico per ottenere un /48.

Requisiti obbligatori

Per qualificarsi per un assegnazione di indirizzi IPv6 in base ai criteri della RIPE NCC, l'entità richiedente deve soddisfare tre requisiti principali:

A. Dimostrazione dell'intento di Multi-Homing

Le politiche del RIPE NCC richiedono che un Utente Finale che richiede un prefisso indipendente dimostri l'intenzione di multi-homing il prefisso. Questo è evidenziato da:

• Operare o acquisire un numero di sistema autonomo (ASN).
• Fornire accordi di peering o transit attivi o in programma con almeno due sistemi autonomi distinti.

B. Presenza legale all'interno della Regione Servizio RIPE NCC

Il candidato (l'organizzazione End User) deve essere legalmente costituito all'interno del territorio dei servizi RIPE (che comprende l'Europa, il Medio Oriente e parti dell'Asia centrale). Se si contratta tramite un LIR di supporto, l'accordo di sponsorizzazione richiede:

• Documentazione del registro aziendale ufficiale (ad esempio, Certificato di costituzione, KVK, Handelsregister, estratto della Companies House).
• Prova di presenza operativa o infrastrutturale se richiesto da un ente madre internazionale.

Piano di indirizzamento tecnico

Devi essere preparato a formulare uno schema di indirizzamento base che dimostri che il /48 sarà utilizzato su segmenti di rete (ad esempio, router periferici, DMZ, servizi interni, gateway VPN, tunnel punto-punto) entro 12 mesi.

Ciclo di vita dell'acquisizione passo dopo passo

1.Passo 1: Creare un account RIPE NCC e gli oggetti Maintainer:Stabilire l'identità nel database Whois RIPE

Inizia creando un profilo amministrativo sul RIPE NCC Access Portal. Una volta autenticato, costruisci gli oggetti base del database Whois:

• persona o ruolo oggetto: Definisce i contatti amministrativi e tecnici (incluso l'indirizzo email e postale).
• mntner (Oggetto del mantenimento) Protegge gli oggetti con l'autenticazione (SSO, chiave PGP o hash della password). Ogni oggetto successivo (inet6num, route6, dominio) farà riferimento a questo maintainer.
• organizzazione oggetto: Rappresenta l'entità giuridica che detiene la risorsa IP.

2.Passaggio 2: Coinvolgere un LIR di supporto ed eseguire l'accordo:Delegare formalmente l'applicazione a un registro attivo.

Seleziona un LIR di Sponsorizzazione stabilito. Sarai obbligato a eseguire l'accordo standardizzato per l'assegnazione dell'utente finale RIPE.

Questo contratto vincola legalmente la vostra organizzazione alle politiche RIPE e conferma che, se l'accordo di sponsorizzazione termina senza trasferimento a un nuovo sponsor, le risorse tornano all'NCC RIPE.

3.Passaggio 3: Invio della domanda formale e del piano della sottorete：Invia la giustificazione tecnica tramite il portale LIR.

Il LIR che ti sponsorizza invia la richiesta di risorsa attraverso il portale RIPE LIR. I parametri principali inviati includono:

• Lunghezza prefisso di destinazione: /48
• Holder Org ID e handles del mantenitore (autore della manutenzione, mnt-rotte, domini-mnt)
• Dettagli del multi-homing upstream: Target Origin ASN e nomi di almeno due provider di trasito o peer di IXP.
• Piano di assegnazione della subnet di alto livello (es. 10 a 50) /64 sottoreti distribuite in più posizioni).

4.Passo 4: Revisione del biglietto e generazione del prefisso：I Hostmasters di RIPE validano e assegnano il prefisso.

I Hostmasters di RIPE valutano la richiesta in base alle linee guida politiche vigenti (di solito entro 1 a 3 giorni lavorativi). In caso di approvazione:

• RIPE assegna un blocco non assegnato dal loro pool riservato (ad esempio, 2a0f:...::/48 o 2a10:...::/48).
• La corrispondente inet6num L'oggetto viene creato nel database globale RIPE Whois con i propri handle di maintainer e organizzazione collegati.

5.Passaggio 5: Validazione RPKI, oggetti di routing e delega DNS:Integrità della rotta sicura prima della pubblicità.

Accedi al pannello RIPE LIR o Access per stabilire:

• ROA RPKI (Autorizzazione di origine del percorso): Collegare criptograficamente assegnato /48 alla tua ASN di origine con MaxLength /48.
• route6 Oggetto: Crea l'oggetto registry di instradamento nel RIPE IRR (Internet Routing Registry) per garantire che i filtri di prefisso upstream automatici permettano le tue annunci.
• Delega DNS inverso: Indica la corrispondente ip6.arpa oggetto dominio ai tuoi nameserver autoritativi.

Configurazioni tecniche post-assegnazione

Una volta che il prefisso è visibile nel database Whois, eseguire le seguenti attività operative per rendere il blocco utilizzabile su tutto Internet.

Creazione del IRR route6 Oggetto

Fornitori di trasporti generano filtri predefiniti utilizzando strumenti come bgpq4 chiedendo ai database IRR (RIPE, RADB, NTT). Senza un'accurata route6 oggetto, le tue sessioni BGP verranno rifiutate o filtrate.

route6:         2a0f:xxxx:xxxx::/48
descr:          Produzione Anycast e Routing principale
origin:         AS65530
mnt-by:         YOUR-MNT
source:         RIPE

Implementazione di RPKI ROA

RPKI (Resource Public Key Infrastructure) previene gli attacchi di falsificazione delle rotte BGP e le configurazioni errate.

• Nella Pannello di controllo per l'accesso alla NCC RIPE -> Pannello di controllo RPKI:
  • Imposta ASN di origine: Il tuo ASN operativo (ad esempio, AS65530).
  • Imposta Prefisso: 2a0f:xxxx:xxxx::/48.
  • Imposta Lunghezza massima: 48 (Importante: Evitare di impostare la lunghezza massima a /64 a meno che non sia specificamente richiesto, le configurazioni con lunghezza massima flessibili aprono superfici di attacco per i sequestri di sottoprefissi).

Stabilire il peering BGP in upstream

Annuncia il tuo prefisso aggregato ai tuoi vicini BGP in upstream utilizzando motori di routing dinamico (ad esempio, BIRD2, FRRouting, Junos o Cisco IOS-XR).

Esempio: frammento di configurazione BIRD 2

Esempio: frammento di configurazione BIRD 2

protocollo static {
    ipv6;
}
    # Instradare l'intero /48 a buco nero localmente per prevenire i cicli
    percorso 2a0f:xxxx:xxxx::/48 buco nero;
}

filter export_to_transit {
    # Annunciare solo l'esatto /48 allocazione
    se (net = 2a0f:xxxx:xxxx::/48) {
        accetta;
    }
    rifiuta;
}

protocollo bgp upstream_transit_a {
    as locale 65530; vicino 2001:db8:100::1 come 64496;
    ipv6 {
        importa tutti;
        esporta filter export_to_transit;
    };
}

Indirizzo e Architettura di Sottorete per un /48

An IPv6 /48 prefisso fornisce un 16-bit subnet field, concedendo esattamente 65.536 distinti /64 sottoreti. Perché gli segmenti utente finale IPv6 standard, le VLAN e i pool VPN dovrebbero sempre utilizzare un /64 per mantenere la compatibilità con le specifiche RFC, la scoperta dei vicini e il trasferimento hardware, un /48 fornisce un enorme spazio per il design gerarchico strutturato:

  Prefisso globale (48 bit)       ID di sottorete (16 bit)     ID dell'interfaccia (64 bit)
[ 2a0f : xxxx : xxxx ] : [     Sito / VLAN / Pod     ] : [ Host / EUI-64 / SLAAC ]

• 0000–00FF (Primi 256 subnet): Infrastruttura principale, collegamenti dei router punto-punto e loopbacks.
• 0100–0FFF: Reti locali aziendali interne, segmenti amministrativi, VLAN dei server.
• 1000–7FFF: Cluster di produzione accessibili al pubblico, controller di ingresso, servizi anycast.
• 8000–FFFF: Tunnel di siti remoti, sedi distaccate e sovrapposizioni dinamiche wireguard/IPsec.

Errori comuni e ricordi sulla conformità

1. Non mantenimento delle relazioni con il sponsor: Se il tuo LIR di sponsorizzazione smette di operare o non paghi la tariffa annuale di manutenzione, il RIPE NCC inizia un periodo di grazia per l'annullamento dello sponsor. Devi trasferire l'assegnazione a un nuovo sponsor entro il periodo specificato (tipicamente 30-60 giorni), altrimenti l'assegnazione verrà revocata e restituita al pool libero.
2. Durata degli annunci più lunga di /48: Prova a de-aggiungere il tuo /48 in due /49s o quattro /50per l'ingegneria del traffico su tutta la rete Internet falliranno; quasi tutti i carrier di trasito di Tier-1 e Tier-2 filtrano attivamente le annunce IPv6 più piccole di /48.
3. Ignorare le deleghe DNS inverso: Omissione della configurazione del record PTR in ip6.arpa può causare fallimenti nella consegna della posta in uscita, rifiuti di autenticazione e timeout di connettività da parte degli strumenti di sicurezza aziendali che applicano il DNS inverso confermato in avanti (FCrDNS).