ASN Nasıl Alınır? RIPE NCC, Sponsoring LIR ve Şartlar

Türkiye'deki bir kuruluş için kendi ASN numaranızı almanın yolu RIPE NCC'dir. Başvuru ya doğrudan bir LIR (Local Internet Registry) üyeliğiyle ya da sizin adınıza talebi ileten bir sponsoring LIR aracılığıyla yapılır. Çoğu hosting firması, oyun sunucusu işletmecisi ve küçük ağ için pratik yol sponsoring LIR'dir. Bu yazıda süreci, belgeleri, multihoming konusunu ve başvuru sonrası yapılacak işleri sırayla anlatıyoruz.

ASN nedir, neden gerekir?

ASN (Autonomous System Number), internet üzerinde tek bir yönlendirme politikasıyla yönetilen bir ağı tanımlayan numaradır. BGP oturumu kurmak, kendi IP bloğunuzu anons etmek, birden fazla sağlayıcıyla çalışmak ve sağlayıcı değiştirirken IP'lerinizi taşımak için ASN gerekir.

ASN tek başına yeterli değildir. Pratikte şunlara ihtiyacınız olur:

• Bir ASN (örnek olarak bu yazıda AS64496 kullanıyoruz; bu belgeleme amaçlı bir numaradır).
• Anons edeceğiniz bir IP bloğu (örnek: 192.0.2.0/24 ve 2001:db8::/32).
• BGP konuşabilen bir yönlendirici veya sunucu.
• En az bir, tercihen iki upstream (transit) bağlantısı.

RIPE NCC kapsamı: Türkiye hangi RIR'e bağlı?

Türkiye, RIPE NCC hizmet bölgesindedir. ASN ve IP talepleriniz ARIN veya APNIC'e değil RIPE NCC'ye gider. Başka bir bölgedeki şirketin ASN'i varsa o ASN'i kendi RIR'ı vermiştir. Bu yüzden başvurudan önce hangi RIR'a bağlı olduğunuzu netleştirin.

İki yol: LIR olmak veya sponsoring LIR kullanmak

1. Kendiniz LIR olmak

RIPE NCC üyesi (LIR) olursanız ASN'i doğrudan LIR Portal üzerinden talep edersiniz. Üyelik yıllık ücretlidir ve RIPE NCC'nin üyelik koşulları geçerlidir. Güncel ücret ve koşullar için ripe.net sayfasına bakın. Birden fazla müşteriye IP dağıtacaksanız veya kendi adres planınızı uzun vadede yönetecekseniz anlamlıdır.

2. Sponsoring LIR ile başvuru

Sponsoring LIR, RIPE NCC üyesi bir kuruluştur. Üye olmayan son kullanıcı (end user) adına ASN ve PI (Provider Independent) kaynak taleplerini iletir. Ana noktalar:

• Siz kaynağın sahibi/holder'sınız. Sponsoring LIR sözleşmesel ve idari aracıdır.
• Sponsoring LIR ile sizin aranızda ayrı bir sözleşme ve ücretlendirme vardır. RIPE NCC ile de bir End User Assignment Agreement imzalanır.
• RIPE Database'de kaynağınızın nesnelerinde sponsoring-org alanı sponsoring LIR'ı gösterir.
• Sponsoring LIR'ı değiştirmek mümkündür; ancak ayrılırken kaynaklar sizde kalır, yeni bir sponsoring LIR ile yeni sözleşme yapılır.

Sponsoring LIR seçerken şunlara bakın: RPKI ROA işlemlerini nasıl yönettiğini, RIPE Database nesnelerinde (maintainer) size yetki verip vermediğini, destek süresini ve sözleşme çıkış koşullarını.

Gerekli belgeler ve bilgiler

Sponsoring LIR'ın isteyeceği liste değişebilir. Genel olarak hazırlamanız gerekenler:

• Şirket kayıt belgeleri (ticaret sicil, vergi levhası, imza sirküleri).
• Yetkili kişinin kimlik bilgisi.
• Teknik ve idari iletişim kişileri (e-posta, telefon, adres).
• Kuruluşun RIPE Database'de organisation nesnesi için doğru unvan ve adres bilgisi.
• İmzalı End User Assignment Agreement.
• Yönlendirme politikanız: hangi upstream'lerle çalışacaksınız, kimlerle peering yapacaksınız?
• Planlanan upstream ASN'leri veya bağlantı kanıtı (ör. sağlayıcı ile yapılan sözleşme/yazışma).

Tutarlılık çok önemlidir: şirket unvanı, adres ve iletişim bilgisi tüm belgelerde ve veritabanı nesnelerinde birebir aynı olmalıdır. Uyumsuzluk, başvurunun en sık geri çevrilme nedenidir.

Multihoming şartı

Multihoming, ağınızın en az iki farklı sağlayıcıya (iki farklı upstream AS ya da upstream + peering) bağlı olmasıdır. Tek upstream arkasındaki bir ağın çoğu zaman ayrı bir ASN'e ihtiyacı yoktur, çünkü yönlendirme politikası sağlayıcınınkiyle aynıdır.

RIPE ASN politikası (ripe-679 ve güncellemeleri) zaman içinde değişti. Sonuçta RIPE NCC, ASN talebinin gerçek bir yönlendirme ihtiyacına dayanmasını bekler. Şartın tam metni için ripe.net üzerindeki güncel "Autonomous System (AS) Number Assignment Policies" belgesini kontrol edin. Sponsoring LIR'ınız da formu buna göre doldurur.

Pratik öneri:

1. Başvurudan önce en az iki upstream ile yazışmış veya sözleşme yapmış olun.
2. Her upstream için BGP oturum bilgilerini (komşu ASN, IP) not edin.
3. Başvuruda yönlendirme politikanızı açık yazın. Örnek: "AS64500 ve AS64501 ile transit, tüm prefix'ler iki yönden anons edilecek."

Adım adım başvuru akışı

1. Sponsoring LIR veya LIR yolunu seçin. Maliyet, destek ve sözleşme koşullarını karşılaştırın.
2. Belgeleri toplayın. Yukarıdaki listeyi tek klasörde hazırlayın.
3. Organisation ve person nesneleri oluşturulur. Maintainer (mnt-by) ve yetkilendirme (parola/SSO) yapısı kurulur.
4. Talep RIPE NCC'ye iletilir. Sponsoring LIR portal üzerinden başvuruyu gönderir.
5. RIPE NCC doğrulaması. Ek bilgi isteyebilir; sorulara hızlı cevap verin.
6. ASN atanır ve aut-num nesnesi oluşur. Atama sonrası nesnenin içeriğini kendiniz tamamlarsınız.
7. IP bloğu temin edin. IPv4 için RIPE NCC'nin kendi havuzu tükendi; IPv4'ü genellikle transfer yoluyla veya sağlayıcınızdan alırsınız. IPv6 PI/allocation, sponsoring LIR üzerinden alınabilir.
8. RPKI ROA ve route nesnelerini oluşturun, ardından BGP oturumunu kurun.

ASN'in 16-bit mi 32-bit mi olacağı konusunda da not düşelim: RIPE NCC varsayılan olarak 32-bit ASN verir. 16-bit talebi özel olarak yapılır ve stok durumuna bağlıdır; gerçek ihtiyacınız yoksa 32-bit sorun çıkarmaz.

ASN sonrası: RIPE Database nesneleri

Atamadan sonra whois ile mevcut durumu kontrol edin:

whois -h whois.ripe.net AS64496
whois -h whois.ripe.net -r -T route 192.0.2.0/24

Örnek bir aut-num nesnesi (belgeleme değerleriyle):

aut-num:   AS64496
as-name:   EXAMPLE-NET
org:       ORG-EX1-RIPE
descr:     Example Network
import:    from AS64500 accept ANY
import:    from AS64501 accept ANY
export:    to AS64500 announce AS-EXAMPLE
export:    to AS64501 announce AS-EXAMPLE
admin-c:   EX1-RIPE
tech-c:    EX1-RIPE
status:    ASSIGNED
mnt-by:    EXAMPLE-MNT
source:    RIPE

Not: status ve diğer alanlar RIPE tarafından yönetilir; sizin değiştirebildiğiniz alanlar import/export, iletişim ve açıklamalardır. Ayrıca as-set nesnesi (ör. AS-EXAMPLE) oluşturup müşterilerinizi veya downstream ASN'lerinizi buraya ekleyebilirsiniz. Upstream'ler prefix filtrelerini genellikle bu AS-SET üzerinden üretir.

Prefix için route (IPv4) ve route6 (IPv6) nesneleri gerekir:

route:     192.0.2.0/24
origin:    AS64496
mnt-by:    EXAMPLE-MNT
source:    RIPE

RPKI ROA oluşturma ve doğrulama

ROA, hangi ASN'in hangi prefix'i anons etmeye yetkili olduğunu kriptografik olarak belirtir. Sponsoring LIR altındaki kaynaklarda ROA'yı kimin yönettiğini baştan konuşun; bazı sponsoring LIR'lar bunu sizin adınıza yapar. Örnek ROA:

• Prefix: 192.0.2.0/24
• Origin ASN: AS64496
• Max length: /24

Doğrulama için Routinator gibi bir validator kullanılabilir:

routinator validate --asn 64496 --prefix 192.0.2.0/24

Çıktıda "valid" görmelisiniz. "not found" ROA'nın henüz yayılmadığını, "invalid" ise ASN veya max length uyumsuzluğunu gösterir.

Sık yapılan hatalar ve çözümleri

ASN aldıktan sonra anons için hangi altyapı?

Kendi ağ cihazınız yoksa BGP'yi bir sunucuda da çalıştırabilirsiniz. Nixcon'un BGP destekli VDS'inde (AS40368) kendi ASN'inizle ve IP bloğunuzla BGP oturumu kurabilirsiniz. Seçenekler DDoS korumasız anons, DDoS korumalı anons ve full routing table şeklindedir. ASN ve prefix sahipliği RPKI ROA ile RIR/IRR kayıtlarından otomatik doğrulanır, ASN'iniz AS-NIXCON AS-SET'ine eklenir ve kurulum otomatiktir. Ayrıntılar için BGP destekli VDS sunucular sayfasına bakabilirsiniz.

Anonsunuz yayıldıktan sonra Nixcon looking glass üzerinden İzmir, Frankfurt ve ABD noktalarından rotanızı, ping ve traceroute sonuçlarını sorgulayabilirsiniz.

Kontrol listesi

• [ ] Hangi RIR'a bağlı olduğunuzu doğruladınız (Türkiye: RIPE NCC).
• [ ] LIR veya sponsoring LIR yolunu seçtiniz.
• [ ] Şirket belgeleri ve iletişim kişileri hazır.
• [ ] En az iki upstream ile görüşme yaptınız.
• [ ] Yönlendirme politikanızı yazdınız.
• [ ] aut-num, as-set, route/route6 nesnelerini hazırladınız.
• [ ] RPKI ROA oluşturuldu ve doğrulandı.
• [ ] BGP oturumu ve anons looking glass ile test edildi.