Beste NLNOG-ers, Circa drie weken geleden heeft atom86 invalid==reject (RPKI) geïmplementeerd op haar peers en upstreams. Mijn gewaardeerde collega Ralph Dirkse heeft hier een niet te technisch artikel voor gemaakt en op LinkedIn geplaatst: https://www.linkedin.com/pulse/atom86-leveraging-rpki-make-internet-safer-pl... We vertrouwen erop dat velen ons zullen volgen om het internet een veiligere plek te maken ;) Mvg, Robert Heuvel atom86 +31 624590510 +31 207506500 Boeing Avenue 271 1119 PD Schiphol-Rijk
Gefeliciteerd Robert (en team)! En bedankt dat jullie dit gedaan hebben. Zijn er nog spannende dingen naar voren gekomen? Netwerken die een mailtje van jullie hebben gehad omdat ze een verkeerde ROA hadden gemaakt of zoiets? Cheers, Nathalie
Op 4 sep. 2018, om 13:02 heeft Robert Heuvel <RHeuvel@atom86.net> het volgende geschreven:
Beste NLNOG-ers,
Circa drie weken geleden heeft atom86 invalid==reject (RPKI) geïmplementeerd op haar peers en upstreams.
Mijn gewaardeerde collega Ralph Dirkse heeft hier een niet te technisch artikel voor gemaakt en op LinkedIn geplaatst: https://www.linkedin.com/pulse/atom86-leveraging-rpki-make-internet-safer-pl... <https://www.linkedin.com/pulse/atom86-leveraging-rpki-make-internet-safer-place-ralph-dirkse/?published=t>
We vertrouwen erop dat velen ons zullen volgen om het internet een veiligere plek te maken ;)
Mvg,
Robert Heuvel atom86
+31 624590510 +31 207506500 Boeing Avenue 271 1119 PD Schiphol-Rijk
_______________________________________________ NLNOG mailing list NLNOG@nlnog.net <mailto:NLNOG@nlnog.net> http://mailman.nlnog.net/listinfo/nlnog <http://mailman.nlnog.net/listinfo/nlnog>
Natha, Bedankt! Spannende dingen: Job Snijders wees ons er meteen op de ARIN TAL niet automagisch opgenomen is, maar handmatig geladen moet worden in de RPKI validator. Er zijn 3 routerings issues gemeld door klanten van ons: Airmax Italia (ISP) – invalid length AS197650 (Airmax Italia) geeft in de ROA aan dat 185.30.112.0/22 alleen maar als een /22 uit AS197650 mag komen, maar ze annonceren alleen maar /24’s uit die reeks, dus… invalid. Wij hebben deze gewhitelist in onze validator en contact opgenomen met Airmax, maar geen enkele sjoege… Proofpoint (Cybersecurity leverancier(!)) – invalid ASN Proofpoint heeft 3 ASNs AS26211, AS22843 en AS13916. De ROA’s van 67.231.146.0/24 en 67.231.147.0/24 geven aan dat deze uit AS22843 moet komen echter worden deze geannonceerd vanuit AS26211 (eigenlijk een hijack). IP reeksen zijn gewhitelist in onze validator. Via via in contact genomen met mensen van Proofpoint die het intern hebben doorgestuurd naar het netwerkteam welke het zou oppakken. Dit is inmiddels bijna 2 weken geleden….nog niet opgelost. UK2 – AS13213 - Invalid ASN AS13213 annonceert 31.24.227.0/24 van AS197820 terwijl de ROA van aangeeft dat dit alleen maar als /21 (31.24.224.0/21) geannonceerd mag worden vanuit AS197820. Prefix is gewhitelist in onze validator Contact opgenomen met AS13213. Reaktie ontvangen: “We are currently working towards resolving this, there’s just a degree of paperwork involved”. Ik heb aangegeven dat het niet om papierwerk gaat, maar om wat tijd achter de RIPE website (https://www.ripe.net/manage-ips-and-asns/resource-management/certification/r...)... Nog niet opgelost Mvg, Robert From: Nathalie Trenaman <nathalie@ripe.net> Sent: Tuesday, September 4, 2018 1:17 PM To: Robert Heuvel <RHeuvel@atom86.net> Cc: nlnog@nlnog.net Subject: Re: [NLNOG] atom86: invalid==reject (RPKI) Gefeliciteerd Robert (en team)! En bedankt dat jullie dit gedaan hebben. Zijn er nog spannende dingen naar voren gekomen? Netwerken die een mailtje van jullie hebben gehad omdat ze een verkeerde ROA hadden gemaakt of zoiets? Cheers, Nathalie Op 4 sep. 2018, om 13:02 heeft Robert Heuvel <RHeuvel@atom86.net<mailto:RHeuvel@atom86.net>> het volgende geschreven: Beste NLNOG-ers, Circa drie weken geleden heeft atom86 invalid==reject (RPKI) geïmplementeerd op haar peers en upstreams. Mijn gewaardeerde collega Ralph Dirkse heeft hier een niet te technisch artikel voor gemaakt en op LinkedIn geplaatst: https://www.linkedin.com/pulse/atom86-leveraging-rpki-make-internet-safer-place-ralph-dirkse/?published=t<https://emea01.safelinks.protection.outlook.com/?url=https%3A%2F%2Fwww.linkedin.com%2Fpulse%2Fatom86-leveraging-rpki-make-internet-safer-place-ralph-dirkse%2F%3Fpublished%3Dt&data=02%7C01%7C%7Ce89276722f9c464d0bba08d61257ed25%7Cdb27021b05df420391f71dc8f2fa0f3b%7C1%7C0%7C636716566183044865&sdata=GRsReFAn0yxVCOXrCbrWltqGsBbkNL1xyIwnbFz%2FZic%3D&reserved=0> We vertrouwen erop dat velen ons zullen volgen om het internet een veiligere plek te maken ;) Mvg, Robert Heuvel atom86 +31 624590510 +31 207506500 Boeing Avenue 271 1119 PD Schiphol-Rijk _______________________________________________ NLNOG mailing list NLNOG@nlnog.net<mailto:NLNOG@nlnog.net> http://mailman.nlnog.net/listinfo/nlnog<https://emea01.safelinks.protection.outlook.com/?url=http%3A%2F%2Fmailman.nlnog.net%2Flistinfo%2Fnlnog&data=02%7C01%7C%7Ce89276722f9c464d0bba08d61257ed25%7Cdb27021b05df420391f71dc8f2fa0f3b%7C1%7C0%7C636716566183044865&sdata=x4I%2BnxI9RvOGOiztZ%2FkwIdYHCKGHan7ZtlKR6wPPQ7s%3D&reserved=0>
On 04 Sep 2018, at 13:02, Robert Heuvel <RHeuvel@atom86.net> wrote:
Beste NLNOG-ers,
Circa drie weken geleden heeft atom86 invalid==reject (RPKI) geïmplementeerd op haar peers en upstreams.
[...] Hi, Goed voorbeeld doet natuurlijk volgen! BIT kon na al die presentaties op de NLNOG-dag en de aan mij gerichte uitdaging van Niels natuurlijk niet achterblijven. Daarom hebben wij vanochtend onze validatiepolicy op REJECT gezet voor transits en peers. Amper een uur later hadden we ook onze eerste klacht van een klant te pakken. Onze support-afdeling herkende gelukkig gelijk wat er mis was en kwam zelfstandig al tot de conclusie dat het een invalid ROA was, waarbij een verkeerd Chinees ASN een prefix aan het adverteren was. Gevolg: onze klant kon niet meer bij zijn servers in China. Gelukkig snapte hij onze uitleg (geholpen met wat linkjes naar bgp.he.net waarop de validatiefout ook duidelijk weergegeven werd) en was de conclusie dat hij dit met z'n hoster in China gaat opnemen. Bedankt iedereen voor de presentaties en tips, het viel inderdaad best mee om te implementeren ;) groetjes, Teun
On 18 Sep 2018, at 21:59, Teun Vink <teun@teun.tv> wrote:
Goed voorbeeld doet natuurlijk volgen! BIT kon na al die presentaties op de NLNOG-dag en de aan mij gerichte uitdaging van Niels natuurlijk niet achterblijven. Daarom hebben wij vanochtend onze validatiepolicy op REJECT gezet voor transits en peers.
Bedankt voor het delen van je ervaring Teun, en welkom bij de club! :-) Niels
Enjoy the ride ;) R. -----Original Message----- From: NLNOG <nlnog-bounces@nlnog.net> On Behalf Of Teun Vink Sent: Tuesday, September 18, 2018 10:00 PM To: nlnog@nlnog.net Subject: Re: [NLNOG] atom86: invalid==reject (RPKI)
On 04 Sep 2018, at 13:02, Robert Heuvel <RHeuvel@atom86.net> wrote:
Beste NLNOG-ers,
Circa drie weken geleden heeft atom86 invalid==reject (RPKI) geïmplementeerd op haar peers en upstreams.
[...] Hi, Goed voorbeeld doet natuurlijk volgen! BIT kon na al die presentaties op de NLNOG-dag en de aan mij gerichte uitdaging van Niels natuurlijk niet achterblijven. Daarom hebben wij vanochtend onze validatiepolicy op REJECT gezet voor transits en peers. Amper een uur later hadden we ook onze eerste klacht van een klant te pakken. Onze support-afdeling herkende gelukkig gelijk wat er mis was en kwam zelfstandig al tot de conclusie dat het een invalid ROA was, waarbij een verkeerd Chinees ASN een prefix aan het adverteren was. Gevolg: onze klant kon niet meer bij zijn servers in China. Gelukkig snapte hij onze uitleg (geholpen met wat linkjes naar bgp.he.net waarop de validatiefout ook duidelijk weergegeven werd) en was de conclusie dat hij dit met z'n hoster in China gaat opnemen. Bedankt iedereen voor de presentaties en tips, het viel inderdaad best mee om te implementeren ;) groetjes, Teun _______________________________________________ NLNOG mailing list NLNOG@nlnog.net https://emea01.safelinks.protection.outlook.com/?url=http%3A%2F%2Fmailman.nl...
participants (4)
-
Nathalie Trenaman -
Niels Raijer -
Robert Heuvel -
Teun Vink