En küçük duyurulabilir IP bloğu neden /24? /25 sahibiyseniz seçenekleriniz

Kendi IP bloğunu BGP üzerinden duyurmayı planlayan ekiplerin en sık çarptığı duvar teknik değil, siyasi bir duvardır: bloğunuz /24'ten küçükse küresel internette pratikte görünmez. Yönlendirme çalışır, komşunuz duyuruyu kabul eder, kendi tarafınızdan bakınca her şey doğru görünür — ama trafiğin büyük kısmı size hiç gelmez.

Bu yazı sınırın neden var olduğunu ve /25 ya da daha küçük bir blok elinizdeyse hangi seçeneklerin kaldığını anlatıyor.

Önce terim: "uzun prefix" küçük blok demek

Kafa karışıklığının yarısı terimden çıkıyor. Prefix uzunluğu büyüdükçe blok küçülür:

Kullanılabilir sütunun neden hep üç eksik olduğu ayrı bir konu: yönlendirilen her blokta ağ adresi, yayın adresi ve ağ geçidi baştan gider. "/25'im var" demek 128 adresim var demektir; "/24'ten uzun prefix" ise tam olarak bu ve bundan küçük blokları tarif eder.

Sınır neden var

Küresel yönlendirme tablosu ortak bir kaynaktır. İnternetteki her transit router, dünyadaki bütün duyuruların listesini taşır; tabloya giren her ek prefix, sizin değil herkesin donanımında yer ve işlem gücü tüketir.

Şimdi düşünün: /24 sahibi her kurum bloğunu ikiye bölüp iki ayrı /25 duyursa, tablonun o bölümü bir gecede ikiye katlanırdı. Dörde bölseler dörde. Operatörler bu yüzden kabul ettikleri prefix uzunluğuna sınır koyar ve IPv4 tarafında yaygın sınır /24'tür. Bu tek bir merkezden verilmiş bir karar değil, bağımsız operatörlerin ayrı ayrı uyguladığı bir filtre politikasıdır — ama sonucu tek bir merkezi karar kadar kesindir.

IPv6 tarafında aynı mantıkla yaygın kabul sınırı /48'dir.

Pratik sonuç: kısmi değil, yok

Burada önemli olan, sonucun "daha az trafik" değil "o ağlardan hiç trafik" olmasıdır. Filtre uygulayan bir operatörün müşterileri sizin /25'inizi öğrenmez; trafik, bloğu kapsayan daha geniş bir duyuru varsa oraya gider, yoksa hiç gitmez.

Kendi ağınızdan ve komşu birkaç ağdan test ettiğinizde her şey çalışıyor görünebilir. Bu yüzden /25 duyurusunun işe yaramadığı, genellikle geçiş yapıldıktan ve gerçek kullanıcı trafiği kaybolduktan sonra fark edilir.

Daha spesifik duyurunun gücü, sınırın asıl sebebi

Yönlendirmede kural nettir: bir adrese giden trafik, o adresi kapsayan en uzun prefix'in gösterdiği yola gider. /24 duyurusu varken birisi aynı alandan bir /25 duyurursa, o /25'e düşen trafik yeni yola kayar.

Bu kural iki şeyi aynı anda açıklar. Birincisi, /25 duyurmanın neden cazip göründüğünü: daha spesifik duyuru trafiği kendine çeker. İkincisi, filtrelerin neden bu kadar yaygın olduğunu: aynı mekanizma prefix kaçırma (hijack) saldırılarının da çalışma biçimidir. Uzun prefix filtresi, tablo boyutunu korurken bu saldırı yüzeyini de daraltır.

Aynı sebeple RPKI tarafında ROA kaydınızın maxLength değerini fiilen duyurduğunuz uzunlukta tutmak önemlidir; ayrıntısı RPKI ve ROA nedir yazısında.

Elinizde /25 ya da daha küçük bir blok varsa

Dört seçenek var ve hangisinin uygun olduğu bloğun nasıl parçalandığına bağlı.

1. Kapsayan /24'ün tamamı sizdeyse onu duyurun. İçeride nasıl böldüğünüz sizin ağınızın meselesidir; dışarıya tek bir /24 duyurmanız yeterlidir. En temiz çözüm budur ve çoğu durumda mesele bunun fark edilmemiş olmasıdır.
2. /24'ü elinde tutan taraf duyursun, trafik size tünelle gelsin. Blok başka bir kurumla paylaşılıyorsa, duyuruyu kapsayan bloğun sahibi yapar ve size düşen kısım tünelle iletilir. Bu, BGP koruma kurulumunun aynısıdır; tek fark duyuruyu kimin origin ettiğidir.
3. Adresleri kiralayın. Kendi bloğunuzu duyurmak zorunda değilsiniz. IP kiralama modelinde adresler Datafex ağı üzerinden duyurulur, duyurulabilirlik ve kayıt sorumluluğu bizde kalır; siz rDNS ve yönlendirme tanımlarını panelden yaparsınız.
4. IPv6'ya ağırlık verin. IPv6 tarafında adres kıtlığı yok ve çift yığın (dual-stack) bir kurulum IPv4 ihtiyacınızı belirgin şekilde azaltır. Tek başına IPv4 sorununu çözmez — IPv4'e ihtiyaç duyan istemciler var — ama kaç adrese ihtiyacınız olduğunu küçültür.

"Öyleyse daha büyük bir blok alayım" neden kolay değil

IPv4 adres alanı 4,3 milyar adresle sınırlı ve bu havuz tükendi. Avrupa bölgesinden sorumlu RIPE NCC serbest IPv4 havuzunun bittiğini 25 Kasım 2019'da duyurdu. O tarihten beri tahsisler yalnızca geri dönen adreslerden ve bekleme listesi üzerinden, en fazla /24 büyüklüğünde yapılıyor.

Bu iki sınırın birleşmesi ilginç bir sonuç veriyor: bugün yeni tahsis alabileceğiniz en büyük blok ile küresel tabloda duyurabileceğiniz en küçük blok aynı boyut — /24. Yani pratikte /24, hem tavan hem taban.

Aynı kıtlık, ek IP taleplerinin neden gerekçeyle değerlendirildiğini de açıklıyor: adres bir stok kalemi değil, tahsis kararı. Kaç adrese gerçekten ihtiyacınız olduğunu hesaplarken her alan adı için ayrı IP gerektiği yanılgısına da düşmeyin — SNI sayesinde tek bir adres üzerinde yüzlerce alan adı ve sertifika sorunsuz çalışır.

ASN'iniz var ama bloğunuz küçükse

BGP koruma modeli iki ön koşula birden dayanır: kendi ASN'iniz ve en az /24 büyüklüğünde bir blok. Yalnızca ASN'inizin olması yetmez; duyuracak bir şeyiniz olması gerekir.

Bu durumdaysanız en hızlı yol envanteri çıkarmaktır: elinizdeki prefix'ler, kapsayan blokların kimde olduğu ve hangi hizmetin gerçekten kendi adresine ihtiyaç duyduğu. Bize yazarken bu üçünü paylaşın; hangi seçeneğin uygulanabilir olduğu genellikle ilk bakışta ayrışıyor. Veri merkezi tarafındaki hizmetlerin tamamı ve hangisinin hangi senaryoya oturduğu ise veri merkezi sayfasında duruyor.