Want waarom zou Blackholing alleen mogelijk moeten zijn op Transit-connecties?
Iedere netwerkbeheerder heeft het wel eens omhanden gehad; een DDoS op een IP in het eigen netwerk. En niet iedereen heeft scrubbing mogelijkheden. Daarvoor is RTBH (remote triggered backholing, RFC 7999) een goede oplossing: nog voordat het verkeer naar jouw netwerk komt, het bij de upstream al laten vallen.
Blackholing is inmiddels gemeengoed; ieder netwerk snapt het en past het toe. Maar je ziet dat het veelal alleen met de transit-partijen wordt ingericht. Om kosten te drukken kan een Internet Exchange met peering ook aantrekkelijk zijn. Er ontstaat een mesh aan peers en om de beheerlast in te perken zijn RouteServers ingericht.
Vaak worden de RTBH-communities niet gehonoreerd op de connectie met de routeserver; mogelijk
omdat de RTBH-announcement op een specifiek IP (/32 of /128) van
toepassing is, die dus specifieker zijn dan de regulier toegepaste max-prefix-length
(/24 danwel /48). Een andere reden is omdat het simpelweg vergeten
is.
Mijn missie is om RTBH via Internet Exchanges gemeengoed te maken. Om de kleine netwerken te beschermen tegen complete uitval.
Voor elke IX-deelnemer (op Frys-IX: iedereen die op de RouteServer zit; voor Clue-IX zie
hieronder) wordt eerst een nulmeting gedaan: is
een testadres (een /32 of /128 binnen mijn prefixes) bereikbaar
via het pad naar die deelnemer? Dat meet ik met TTL=1 - ik zit zelf op de
IXP-peering-LAN, dus een deelnemer is altijd precies 1 hop weg. TTL=1 dwingt af dat de
meting uitsluitend over die rechtstreekse hop loopt, niet via een omweg (bijvoorbeeld via
transit).
Daarna wordt datzelfde testadres met de BLACKHOLE-community geadverteerd - niet alleen naar de RouteServer, maar naar al mijn sessies (transit, bilaterale peers, RouteServer), precies zoals een echte RTBH-activatie tijdens een aanval ook zou gaan. Opnieuw gemeten, weer met TTL=1. Een deelnemer die de route accepteert, valt meetbaar weg; een deelnemer die de route negeert, blijft bereikbaar.
Na de meting wordt de testroute weer ingetrokken, en wie wegviel wordt ná een korte wachttijd nóg een keer gemeten: alleen als die ook aantoonbaar terugkomt zodra de route weg is, telt het als gehonoreerd - anders kan het net zo goed een toevallige, ongerelateerde storing zijn geweest.
OK = deelnemer acteert op de blackhole (viel weg, kwam aantoonbaar terug) FAIL = testverkeer bleef doorkomen SKIP = niet betrouwbaar te testen (bv. deelnemer was al onbereikbaar vóór de test, of viel weg zonder bevestigd herstel) INCONSISTENT = deelnemer heeft meerdere interconnects op deze IX die het onderling oneens zijn (bv. één poort blackholet wel, de andere niet)
Op Clue-IX, het peering-VLAN van ColoClue, is (nog) geen route server. De meting is hetzelfde als op Frys-IX: TTL=1 over het Clue-IX-peering-LAN, vanaf hetzelfde testadres, in dezelfde ronde. De lijst met deelnemers komt uit PeeringDB, want Clue-IX publiceert geen IX-F-export. Mijn eigen aansluiting en poorten die in PeeringDB niet operationeel zijn, tellen niet mee.
Het verschil zit in de route. Op Clue-IX bereikt de blackhole de deelnemers niet via een route server, maar via mijn transit (ColoClue, AS8283) en via mijn bilaterale sessies. Een OK betekent hier: het antwoord van de deelnemer valt weg zodra de blackhole ergens actief is. Dat kan de deelnemer zelf doen, maar ook zijn upstream. Wie zijn antwoord via ColoClue terugstuurt, valt al weg omdat ColoClue de blackhole zelf honoreert. De Clue-IX-kolommen laten dus zien of een deelnemer de blackhole via een willekeurig pad honoreert, niet of RTBH via een route server werkt. Daarom zijn ze niet één op één te vergelijken met de Frys-IX-kolommen.
| Netwerk | AS | Frys-IX | Clue-IX* | ||
|---|---|---|---|---|---|
| v4 | v6 | v4 | v6 | ||
| DNS-OARC-112 | AS112 | FAIL | FAIL | – | – |
| Hyonix | AS931 | FAIL | FAIL | – | – |
| PEER-1 | AS1031 | FAIL | FAIL | – | – |
| Not SURF Net | AS1101 | FAIL | FAIL | – | – |
| SURF | AS1103 | FAIL | INCONSISTENT | – | – |
| VANCIS | AS1126 | FAIL | FAIL | – | – |
| xTom GmbH | AS3214 | OK | FAIL | – | – |
| Obenet | AS3399 | FAIL | FAIL | – | – |
| PUSHPKT-OU | AS3920 | SKIP | SKIP | – | – |
| DaKnObNET | AS4601 | FAIL | SKIP | – | – |
| S3 Company | AS4849 | FAIL | FAIL | – | – |
| Inter.link | AS5405 | FAIL | FAIL | – | – |
| NerdNet | AS5418 | FAIL | – | – | – |
| ZET.NET | AS6204 | FAIL | FAIL | – | – |
| Netrouting | AS6206 | OK | – | – | – |
| EDGOO NETWORKS | AS6424 | FAIL | FAIL | – | – |
| Hurricane Electric | AS6939 | FAIL | FAIL | – | – |
| Netwerkvereniging ColoClue | AS8283 | OK | OK | OK | OK |
| IPng Networks GmbH | AS8298 | OK | OK | OK | OK |
| Accenture Backbone | AS8315 | FAIL | FAIL | – | – |
| WOBCOM | AS9136 | FAIL | FAIL | – | – |
| Hop179 | AS11967 | FAIL | FAIL | – | – |
| BIT BV | AS12859 | OK | OK | – | – |
| Cloudflare | AS13335 | OK | OK | – | – |
| Blockinetic | AS13849 | SKIP | SKIP | – | – |
| DELTA Fiber - AS15435 | AS15435 | FAIL | FAIL | – | – |
| OVHcloud | AS16276 | SKIP | SKIP | – | – |
| Sentia Labs | AS16278 | FAIL | FAIL | – | – |
| InterBox Internet | AS16298 | FAIL | FAIL | – | – |
| imput | AS16909 | FAIL | FAIL | – | – |
| Teraswitch Inc | AS20326 | FAIL | FAIL | – | – |
| WD6.net B.V. | AS20495 | FAIL | FAIL | – | – |
| Fundaments | AS20559 | OK | OK | – | – |
| Association Gitoyen | AS20766 | FAIL | FAIL | – | – |
| Previder BV | AS20847 | FAIL | FAIL | – | – |
| Akamai Technologies | AS20940 | OK | OK | – | – |
| eww ag / ITandTEL | AS21013 | FAIL | SKIP | – | – |
| Infopact Netwerk & Communicatie | AS21221 | FAIL | FAIL | – | – |
| TeleData GmbH | AS21263 | FAIL | FAIL | – | – |
| Pfalzkom | AS21473 | FAIL | FAIL | – | – |
| SG.GS | AS24482 | FAIL | FAIL | – | – |
| Hetzner Online | AS24940 | SKIP | SKIP | – | – |
| IP-Max SA | AS25091 | FAIL | FAIL | – | – |
| NPO (Nederlandse Publieke Omroep) | AS25182 | SKIP | SKIP | – | – |
| CUBEPATH | AS26141 | FAIL | FAIL | – | – |
| Mihail Fedorov | AS26954 | FAIL | FAIL | – | – |
| KAWAII | AS27523 | FAIL | FAIL | – | – |
| FIORD | AS28917 | – | FAIL | – | – |
| IELO | AS29075 | FAIL | FAIL | – | – |
| ISC F-ROOT AMS1 | AS30132 | FAIL | FAIL | – | – |
| Trans-IX | AS30870 | FAIL | FAIL | – | – |
| no ack hosting network | AS30893 | FAIL | – | – | – |
| Meanie | AS31019 | FAIL | FAIL | – | – |
| Duocast | AS31477 | FAIL | FAIL | – | – |
| GNM | AS31500 | FAIL | FAIL | – | – |
| Edge Connect | AS32437 | FAIL | – | – | – |
| Valve Corporation | AS32590 | FAIL | FAIL | – | – |
| Hivane | AS34019 | FAIL | FAIL | – | – |
| Eweka Internet Services | AS34343 | OK | OK | – | – |
| IMATRIX | AS34612 | SKIP | – | – | – |
| Mismelink Networks | AS34696 | OK | OK | – | – |
| FogNet - iFog GmbH | AS34927 | FAIL | INCONSISTENT | – | – |
| RelAix Networks | AS34953 | FAIL | FAIL | – | – |
| PLINQ | AS35224 | FAIL | – | – | – |
| DDFR IT Infra & Security B.V. | AS35467 | FAIL | FAIL | – | – |
| Tempest Hosting, LLC | AS36231 | FAIL | OK | – | – |
| ZAP-Angola | AS37645 | FAIL | FAIL | – | – |
| Virtual Technologies and Solutions | AS37721 | FAIL | FAIL | – | – |
| Abantu Cloud Africa (Pty) Ltd | AS37739 | OK | – | – | – |
| HostIn | AS38965 | FAIL | FAIL | – | – |
| Blacknight Internet Solutions | AS39122 | FAIL | FAIL | – | – |
| Syntura Group Limited | AS39326 | FAIL | FAIL | – | – |
| 31173 Services | AS39351 | FAIL | FAIL | – | – |
| TNGNET B.V. | AS39521 | SKIP | SKIP | – | – |
| UC Systems | AS39563 | FAIL | FAIL | – | – |
| ADES | AS39637 | OK | OK | – | – |
| Eurofiber | AS39686 | FAIL | FAIL | – | – |
| CJ2 Hosting | AS39704 | OK | FAIL | – | – |
| MLaB NL | AS41047 | FAIL | FAIL | – | – |
| FREETRANSIT | AS41051 | FAIL | FAIL | – | – |
| Institute for Pyrotechnical Cleaning | AS41666 | FAIL | FAIL | – | – |
| Prolocation | AS41887 | OK | OK | – | – |
| Nextpertise | AS41960 | OK | OK | – | – |
| InterRacks | AS42093 | FAIL | FAIL | – | – |
| e-Quest IT Diensten | AS42707 | OK | FAIL | – | – |
| DataFiber | AS42755 | FAIL | FAIL | – | – |
| NFOrce Internet Services :: 43350 | AS43350 | SKIP | SKIP | – | – |
| OSSO | AS43366 | FAIL | SKIP | – | – |
| H2B IT Solutions | AS43414 | FAIL | FAIL | – | – |
| AS43668 LLC | AS43668 | FAIL | FAIL | – | – |
| firstcolo | AS44066 | FAIL | FAIL | – | – |
| Bakker IT | AS44103 | FAIL | FAIL | – | – |
| SPL B.V. | AS44299 | FAIL | – | – | – |
| MoeDove Global | AS44324 | – | FAIL | – | – |
| 2Hip Consultancy | AS44439 | SKIP | – | – | – |
| Geely Europe | AS44529 | FAIL | FAIL | – | – |
| SkyLink Data Center | AS44592 | FAIL | FAIL | – | – |
| ERITAP | AS44854 | FAIL | FAIL | FAIL | – |
| BytePark | AS45009 | OK | OK | – | – |
| Net Solutions Macau | AS47674 | SKIP | – | – | – |
| Sunoaki Network Backbone | AS47778 | – | FAIL | – | – |
| SC Web Software Development SRL | AS47836 | SKIP | FAIL | – | – |
| DigiTurunc | AS48011 | SKIP | SKIP | – | – |
| CLDIN | AS48635 | FAIL | FAIL | – | – |
| VibeGAMES B.V. | AS48925 | FAIL | – | – | – |
| Asimo Networks | AS49127 | OK | OK | – | – |
| i3D.net | AS49544 | FAIL | FAIL | – | – |
| Tube-Hosting | AS49581 | FAIL | FAIL | – | – |
| CoreRoute UG (haftungsbeschränkt) | AS49585 | FAIL | FAIL | – | – |
| NEAR IP | AS49600 | FAIL | FAIL | – | – |
| Speakup BV | AS49627 | OK | – | – | – |
| Alsycon AS49870 | AS49870 | SKIP | FAIL | – | – |
| Worldstream BV | AS49981 | OK | OK | – | – |
| RedSwitches EU | AS50049 | FAIL | FAIL | – | – |
| Caribbean Telecom S.A | AS50118 | – | FAIL | – | – |
| AVUR | AS50272 | FAIL | FAIL | – | – |
| Sewan Nederland BV | AS50522 | OK | OK | – | – |
| LWLcom | AS50629 | FAIL | FAIL | – | – |
| ITS HOSTED | AS50655 | FAIL | FAIL | – | – |
| Free-IX Remote | AS50869 | FAIL | FAIL | – | – |
| BACKBONE.direct | AS50917 | – | FAIL | – | – |
| H4Hosting B.V. | AS51050 | OK | OK | – | – |
| Hugo REGIBO | AS51345 | OK | OK | – | – |
| One.com | AS51468 | FAIL | FAIL | – | – |
| Oranjekoek | AS51517 | FAIL | – | – | – |
| ProcoliX | AS51758 | FAIL | FAIL | – | – |
| ParadoxNetworks Limited | AS52025 | FAIL | FAIL | – | – |
| Gentlent GmbH | AS52112 | FAIL | FAIL | – | – |
| Fastly, Inc. | AS54113 | FAIL | FAIL | – | – |
| Dynamic Quantum Networks | AS54148 | FAIL | FAIL | – | – |
| Netskope | AS55256 | FAIL | – | – | – |
| Serverside.com | AS55285 | OK | OK | – | – |
| Nicola von Thadden | AS56368 | FAIL | FAIL | – | – |
| HostCircle AS56504 | AS56504 | FAIL | – | – | – |
| WARIAN | AS56911 | FAIL | FAIL | – | – |
| Vertebratus B.V. | AS57032 | FAIL | FAIL | – | – |
| HOSTKEY B.V. | AS57043 | FAIL | FAIL | – | – |
| Robert van der Meulen | AS57048 | – | FAIL | – | – |
| F2X Operator B.V. | AS57112 | FAIL | – | – | – |
| Telehouse | AS57344 | SKIP | FAIL | – | – |
| NetIX Communications | AS57463 | FAIL | FAIL | – | – |
| Ian Chilton | AS57483 | – | FAIL | – | – |
| FiberXpress | AS57717 | – | SKIP | – | – |
| CBWS | AS57758 | FAIL | FAIL | – | – |
| XINDI ♻ | AS57984 | – | – | OK | OK |
| X2com BV | AS58075 | FAIL | FAIL | – | – |
| ColoCenter | AS58291 | OK | FAIL | – | – |
| INNETRA | AS58349 | FAIL | – | – | – |
| Balkan Internet Exchange | AS59900 | FAIL | – | – | – |
| 3W Infra B.V. | AS60144 | FAIL | FAIL | – | – |
| 0xDEADBEEF AS60326 | AS60326 | FAIL | FAIL | – | – |
| LiteServer | AS60404 | FAIL | FAIL | – | – |
| PNO Solutions | AS60431 | FAIL | FAIL | – | – |
| Alpine North Networks | AS60557 | OK | OK | – | – |
| HorizonTelecom | AS60880 | FAIL | FAIL | – | – |
| Ssmidge Technologies | AS60900 | OK | OK | – | – |
| Bitency B.V. | AS61029 | FAIL | FAIL | – | – |
| Exascale | AS61049 | FAIL | FAIL | – | – |
| MaxiTEL Telecom B.V. | AS61349 | OK | OK | – | – |
| Rogier Krieger | AS61421 | – | – | OK | OK |
| moji-netrix edge network | AS62000 | SKIP | SKIP | – | – |
| SpectraIP B.V. | AS62068 | – | FAIL | – | – |
| Clouvider | AS62240 | FAIL | FAIL | – | – |
| WJY Limited | AS62246 | – | FAIL | – | – |
| Vital Network Group | AS62296 | FAIL | FAIL | – | – |
| GTHost | AS63023 | FAIL | FAIL | – | – |
| Macarne - AS64289 | AS64289 | FAIL | FAIL | – | – |
| EventInfra | AS64404 | FAIL | FAIL | – | – |
| Global Secure Layer | AS137409 | – | OK | – | – |
| ACE CDN | AS139341 | OK | FAIL | – | – |
| Virtical Operations | AS197191 | FAIL | FAIL | – | – |
| Tuxis | AS197731 | FAIL | FAIL | – | – |
| AS197754 | AS197754 | – | FAIL | OK | FAIL |
| Lancom | AS199081 | OK | – | – | – |
| Gcore | AS199524 | SKIP | SKIP | – | – |
| Go-Trex | AS199752 | FAIL | FAIL | – | – |
| Piotr Chrzanowski | AS199763 | – | FAIL | – | – |
| KeenSystems B.V. | AS199939 | FAIL | OK | – | – |
| NetOne NL | AS200132 | OK | OK | OK | OK |
| CyberNetworks | AS200232 | OK | OK | – | – |
| BITTERBAL | AS200995 | FAIL | FAIL | – | – |
| BlackGATE | AS201290 | FAIL | FAIL | – | – |
| Theo Holroyd | AS201616 | – | SKIP | – | – |
| R van der Meijden | AS201723 | FAIL | – | – | – |
| VoIPGRID | AS201791 | FAIL | FAIL | – | – |
| BODEGA-HOSTING | AS202019 | OK | – | – | – |
| Ursin Filli | AS202427 | – | OK | – | – |
| bgp.rodeo | AS202585 | OK | OK | OK | OK |
| EXAGROUP | AS202827 | – | FAIL | – | – |
| Quanza | AS202932 | FAIL | FAIL | – | – |
| Alexandre Roux | AS203062 | FAIL | FAIL | – | – |
| FrysLÂN | AS203291 | OK | OK | – | – |
| COLOBIX | AS203410 | FAIL | – | – | – |
| Jan-Eric Ortgies | AS204003 | FAIL | FAIL | FAIL | FAIL |
| AXIC(Axivora Connect LtD) | AS204539 | FAIL | FAIL | – | – |
| Internalhost | AS204729 | FAIL | FAIL | – | – |
| Voiped Wholesale | AS204805 | FAIL | FAIL | – | – |
| Mans Ziesel | AS205079 | – | FAIL | – | FAIL |
| Muilties Network | AS205329 | – | FAIL | – | – |
| Sdnbucks | AS205755 | FAIL | FAIL | – | – |
| FogNet Spain | AS205920 | – | FAIL | – | – |
| Lungu Stefan Gabriel | AS205941 | OK | OK | – | – |
| Amarutu Technology Ltd. | AS206264 | SKIP | FAIL | – | – |
| Gerdriaan Mulder | AS206292 | – | FAIL | – | – |
| Libernet | AS206389 | SKIP | – | – | – |
| Technoberg Beheer B.V. | AS206521 | FAIL | FAIL | – | – |
| OpenFiber NL | AS207176 | FAIL | FAIL | – | – |
| Stichting Internet Archive | AS207315 | FAIL | FAIL | – | – |
| Fiber Operator | AS207375 | OK | OK | – | – |
| routing.cafe | AS207487 | FAIL | FAIL | – | – |
| RDKIT | AS207489 | FAIL | – | – | – |
| nl-bluefiber | AS207777 | FAIL | – | – | – |
| Darius Jockel | AS207792 | – | FAIL | – | – |
| Elia Kessler | AS207907 | – | FAIL | – | – |
| ServCity | AS207994 | FAIL | FAIL | – | – |
| Hermann Lienstromberg | AS208059 | FAIL | FAIL | – | – |
| Redacted Networks | AS208608 | SKIP | – | – | – |
| Velorum B.V. | AS209267 | FAIL | FAIL | – | – |
| white2net | AS209768 | OK | – | – | – |
| Enki Multimedia | AS209823 | FAIL | FAIL | – | – |
| Cylo | AS209870 | SKIP | – | – | – |
| Fexxio Digital | AS210320 | OK | OK | OK | OK |
| AVS ISP | AS210464 | FAIL | FAIL | – | – |
| bgptransit.eu | AS210645 | – | FAIL | – | – |
| Kamatari Online | AS210732 | FAIL | – | – | – |
| ROKR Services BV | AS210890 | FAIL | FAIL | – | – |
| devplayer0 | AS211024 | – | FAIL | – | – |
| GoFiber Ltd | AS211041 | FAIL | FAIL | – | – |
| A1 Internet B.V. | AS211251 | FAIL | – | – | – |
| PP-Networks Solutions, IT | AS211358 | – | FAIL | – | – |
| Innovation Harbor B.V. | AS211588 | FAIL | FAIL | – | – |
| OXAR B.V. | AS211623 | FAIL | FAIL | – | – |
| Stefan Nagel Elektrotechnik | AS211635 | – | FAIL | – | – |
| Connectium | AS211713 | FAIL | OK | – | – |
| Bernardus Jansen | AS211840 | – | – | – | OK |
| RoyaleHosting | AS212477 | OK | OK | – | – |
| PLTFRMS | AS212591 | FAIL | FAIL | – | – |
| AS212635 Network | AS212635 | – | – | OK | OK |
| LUJE.net | AS212855 | FAIL | FAIL | FAIL | FAIL |
| ROUTE64.ORG | AS212895 | FAIL | FAIL | – | – |
| Clyvo Networks | AS213028 | OK | FAIL | – | – |
| Serverion | AS213035 | – | OK | – | – |
| BittenBytes | AS213052 | OK | OK | – | – |
| Lynqia Network | AS213409 | – | OK | – | – |
| colocatel-inc | AS213438 | FAIL | – | – | – |
| Robert Weir | AS213576 | OK | OK | – | – |
| InterEdge B.V. | AS213753 | FAIL | FAIL | – | – |
| Martinus Buijs trading as BuijsIT | AS213822 | FAIL | FAIL | – | – |
| AltStack | AS213959 | FAIL | FAIL | – | – |
| tim427.net | AS214380 | FAIL | FAIL | FAIL | FAIL |
| 214757 - Jakub Krsa | AS214757 | FAIL | – | – | – |
| Stocade | AS214809 | FAIL | FAIL | – | – |
| Mitchell van der Velden | AS214810 | – | – | SKIP | SKIP |
| Kireshki | AS214946 | – | FAIL | – | – |
| Emil Jakob Brücher-Herpel | AS214958 | – | – | – | OK |
| V6OnlyNet | AS215017 | FAIL | FAIL | – | – |
| NetNext | AS215212 | FAIL | FAIL | – | – |
| 215248 - Bastiaan Mathijs Brink | AS215248 | FAIL | FAIL | FAIL | FAIL |
| LowPing NL | AS215296 | FAIL | OK | FAIL | OK |
| Elimalko Saado | AS215473 | – | FAIL | – | – |
| Lucas van Beek | AS215577 | – | FAIL | – | – |
| InformatiQ | AS215605 | FAIL | FAIL | – | – |
| Marlon Alkan | AS215665 | – | FAIL | – | – |
| Ferox Hosting | AS215680 | – | FAIL | – | – |
| Dotnet | AS215685 | – | FAIL | – | – |
| Edgevana, Inc. | AS215724 | FAIL | – | – | – |
| Marnix Bouhuis | AS215737 | – | FAIL | OK | FAIL |
| TMW Global Networks | AS215828 | FAIL | FAIL | – | – |
| Erwin Paal | AS215842 | – | – | – | OK |
| baragoon networks | AS215887 | – | FAIL | – | – |
| Frumentum Media | AS216107 | FAIL | FAIL | – | – |
| Aristo Networks | AS216265 | SKIP | FAIL | – | – |
| NetDev Network | AS216333 | FAIL | FAIL | – | – |
| SIEKMAN-AS | AS218506 | – | FAIL | – | INCONSISTENT |
| DEBIE-AS | AS218634 | – | – | FAIL | OK |
| Barbonetworks | AS218772 | FAIL | FAIL | FAIL | FAIL |
| Expeditioner Network | AS218836 | OK | OK | OK | OK |
| FIOD | AS218916 | FAIL | FAIL | – | – |
| Agile Solutions Provider | AS328748 | OK | OK | – | – |
| ByteDance | AS396986 | FAIL | FAIL | – | – |
| AS403001 | AS403001 | FAIL | FAIL | – | – |
Geen netwerken die aan dit filter voldoen.