IPv4 Bloğu Kiralama ve Satın Alma: /24, LOA, IP İtibarı

IPv4 bloğu kiralama, satın alma veya transfer ederek kendi IP'lerinizi BGP ile anons etmek istiyorsanız bilmeniz gereken ilk kural şudur: internette güvenle anons edilebilen en küçük IPv4 bloğu /24'tür (256 adres). Kiralama mı satın alma mı daha mantıklı, LOA nedir ve bloğun itibarı nasıl kontrol edilir; hepsini aşağıda uygulanabilir adımlarla anlatıyoruz.

IPv4 bloğuna neden ihtiyaç duyulur?

Kendi ASN'iniz varsa ve upstream'inizin bloğuna bağımlı kalmak istemiyorsanız, kendi IP bloğunuz size taşınabilirlik sağlar. Sağlayıcı değiştirseniz de adresleriniz değişmez. Hosting firmaları, oyun sunucusu işletenler, mail altyapısı kuranlar ve çoklu sağlayıcıya (multihoming) geçmek isteyen ağlar için bu önemli bir avantajdır.

IPv4 havuzları RIR'lerde (RIPE NCC, ARIN, APNIC vb.) tükendiği için yeni blok almanın yolu artık ikinci el pazar: kiralama, satın alma (transfer) veya bir LIR'den tahsis/atama talebi.

/24 neden minimum anons boyutu?

IPv4'te /24'ten küçük prefix'ler (örneğin /25, /26) pratikte global tabloda yayılmaz. Nedenleri:

• Filtreleme standardı: RFC 7454 (BGP Operations and Security) gibi iyi uygulama belgeleri, IPv4'te /24'ten uzun prefix'lerin filtrelenmesini önerir. IPv6 için karşılığı /48'dir. Birçok transit sağlayıcı ve IXP bunu uygular.
• Yönlendirme tablosu büyüklüğü: Her ek prefix, yönlendiricilerin RAM ve TCAM/FIB kaynağını tüketir. Daha küçük parçalara izin vermek tabloyu şişirir.
• RPKI ve maxLength: ROA'larda maxLength değeri /24'ün ötesine geçmemelidir; geçse bile çoğu ağ o prefix'i zaten düşürür.

Pratik sonuç: /25 veya /26 satın alıp kendi ASN'inizle anons edemezsiniz. Küçük bloklar ancak upstream'in kendi bloğundan alt-tahsis olarak kullanılır ve upstream'in anonsu altında yaşar. Bağımsız BGP anonsu için en az bir /24 gerekir. Aynı sebeple IPv4 transferlerinde de pazarın fiilî asgari birimi /24'tür.

Kiralama, satın alma ve transfer farkı

Satın alma/transferde kurallar RIR'a göre değişir. Örneğin bazı bölgelerde ihtiyaç gerekçesi istenir, bazılarında tahsis edilen blokların transfer edilebilmesi için bekleme süresi vardır. İşleme başlamadan önce ilgili RIR'ın güncel transfer politikasını okuyun; broker sözleşmesi bu politikaların yerine geçmez.

Kısa vadeli ihtiyaçta, test amaçlı veya bütçesini yeni oturtan projelerde kiralama; uzun vadeli, çekirdek altyapı için satın alma genelde daha tutarlıdır.

LOA (Letter of Authorization) nedir?

LOA, bir IP bloğunun sahibinin, belirli bir ASN'in veya sağlayıcının o bloğu anons etmesine yazılı izin verdiğini gösteren belgedir. Kiralama senaryosunda kiracı adına blok sahibi tarafından imzalanır; upstream de bunu prefix sahipliğini doğrulamak için kullanır.

İyi bir LOA şunları içerir:

• Blok sahibinin tam unvanı ve iletişim bilgileri
• Prefix (ör. 192.0.2.0/24) ve anons edecek origin ASN (ör. AS64496)
• Yetki verilen taraf (kiracı ve/veya upstream)
• Başlangıç tarihi ve geçerlilik süresi
• İmza, imzalayanın adı ve unvanı

Örnek içerik:

LETTER OF AUTHORIZATION

Date: 2025-01-15
Holder: Example Holder Ltd.
Prefix: 192.0.2.0/24
Authorized origin ASN: AS64496
Authorized to announce via: AS64511 (Upstream Example)
Valid until: 2026-01-15

We, Example Holder Ltd., authorize the above ASN to originate
the listed prefix. Registry objects (inetnum, route) match this letter.

Name / Title: A. Yilmaz, Director
Signature: ______________

Belgenin RIR kaydıyla tutarlı olması şarttır: inetnum içindeki organizasyon, LOA'daki unvanla aynı olmalı. Günümüzde birçok ağ LOA'yı tek başına yeterli saymaz; RPKI ROA ve IRR route object doğrulamasını da ister.

Anons öncesi kayıtları hazırlama

Blok sahibi (veya yetkilendirilmiş taraf) şu iki kaydı oluşturmalıdır.

1. IRR route objesi:

route:   192.0.2.0/24
origin:  AS64496
mnt-by:  EXAMPLE-MNT
source:  RIPE

2. RPKI ROA: RIR portalında (ör. RIPE NCC LIR Portal) prefix 192.0.2.0/24, origin AS64496, maxLength 24 olarak oluşturulur.

Kayıtlar yayılınca doğrulayın:

# Kayıt sahibi ve route objesi
whois -h whois.ripe.net 192.0.2.0/24

# RPKI doğrulaması (RIPEstat API)
curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS64496&prefix=192.0.2.0/24"

# Routinator kuruluysa
routinator validate --asn AS64496 --prefix 192.0.2.0/24

Sonuç valid olmalıdır. invalid görürseniz anons edildiğinde ROV uygulayan ağlar tarafından düşürülür.

IP itibarı kontrolü: satın almadan önce şart

İkinci el bir blok, önceki kullanıcının geçmişini taşır. Spam, botnet veya phishing için kullanılmış bir /24, mail teslimatınızı ve bazı servislere erişiminizi bozabilir. Sözleşmeyi imzalamadan önce şunlara bakın:

1. Kara listeler: Spamhaus (ZEN ve DROP listesi), SpamCop, Barracuda ve benzerlerinde blok genelinde örnekleme yapın. Spamhaus DROP'ta yer alan bir bloğu kesinlikle almayın.
2. Routing geçmişi: Bloğun geçmişte hangi ASN'lerce anons edildiğine bgp.tools, bgp.he.net veya RIPEstat üzerinden bakın. Sık sahip değiştiren ya da şüpheli ASN'lerle anılan bloklar risklidir.
3. Eski ROA'lar: Önceki sahibin ROA'sı hâlâ duruyorsa, sizin ASN'iniz için anons invalid olur. Satıcıdan eski ROA'nın silinmesini isteyin.
4. Geolocation: IP'nin coğrafi konum veritabanlarındaki ülkesi sizi etkiler. geofeed (RFC 8805) yayınlayarak düzeltmeyi hızlandırabilirsiniz.
5. Bogon kontrolü: Blok bogon veya rezerve listelerinde olmamalı.

Örnek DNSBL tarama betiği (kendi recursive resolver'ınızı kullanın):

#!/bin/bash
# 192.0.2.0/24 içinden örnek adresleri kara listelerde sorgular
for host in 1 10 100 200; do
  ip="192.0.2.$host"
  rev=$(echo "$ip" | awk -F. '{print $4"."$3"."$2"."$1}')
  for bl in zen.spamhaus.org bl.spamcop.net; do
    r=$(dig +short A "$rev.$bl" | head -1)
    [ -n "$r" ] && echo "$ip LISTED on $bl ($r)"
  done
done

Not: Spamhaus, 8.8.8.8 gibi büyük açık resolver'lardan gelen sorguları engeller ve 127.255.255.254 gibi hata kodları döndürebilir. Bu bir listelenme değildir; sorguyu kendi resolver'ınızdan yapın.

Yaygın hatalar ve çözümleri

• /25 veya /26 anons etmek: Prefix global tabloda görünmez. Çözüm: En az /24 kullanın.
• LOA'daki unvan ile RIR kaydı uyuşmuyor: Doğrulama reddedilir. Çözüm: inetnum ve org kayıtlarını güncel tutun, LOA'yı bunlara göre yazın.
• ROA maxLength fazla geniş: Yetkisiz alt-prefix anonslarına (hijack) açık kalırsınız. Çözüm: Anons ettiğiniz uzunlukla aynı maxLength kullanın.
• Route objesi yok: Birçok upstream filtre listesini IRR'dan üretir, anonsunuz filtrelenir. Çözüm: Route objesini önceden oluşturun.
• İtibarı kontrol etmeden satın almak: Mail ve servis sorunları çıkar. Çözüm: Sözleşmeye itibar/temizlik koşulu ekletin, delist işlemleri için süre tanıyın.
• Anonsu hemen production'a almak: Çözüm: Önce test servisi üzerinden yayılımı kontrol edin, mail için IP'leri kademeli ısıtın.

Anons sonrası doğrulama

Anons başladıktan sonra prefix'in dünyadan nasıl göründüğünü kontrol edin. Nixcon'un herkese açık looking glass'ı (lg.nixcon.com.tr) ile İzmir, Frankfurt ve ABD noktalarından BGP rota, ping ve traceroute sorguları yapabilirsiniz. Ayrıca RIPEstat veya bgp.tools'ta origin ASN'in doğru göründüğünü ve prefix'in RPKI durumunun valid olduğunu teyit edin.

Nixcon ile kendi bloğunuzu anons etmek

Kendi ASN'iniz ve IP bloğunuz hazırsa, Nixcon'un BGP destekli VDS sunucularında bloğunuzu doğrudan sunucudaki BGP oturumundan anons edebilirsiniz. Kiralık bloklarda da ASN ve prefix sahipliği RPKI ROA ile resmi RIR/IRR kayıtları üzerinden otomatik doğrulanır; ASN'iniz AS-NIXCON AS-SET'ine eklenir ve kurulum otomatiktir. DDoS korumasız veya korumalı anons ile full routing table seçeneklerinden ihtiyacınıza uyanı seçebilirsiniz.

Saldırı riski yüksek bir blok kullanıyorsanız, GRE tüneli içinde BGP ile temiz trafik alan DDoS koruma ve firewall çözümüne de göz atın.

Kontrol listesi

1. İhtiyacınızı belirleyin: kiralama mı, satın alma mı?
2. Blok en az /24 mü?
3. RIR politikasını ve transfer şartlarını doğrulayın.
4. İtibar, routing geçmişi ve eski ROA kontrolünü yapın.
5. LOA, route objesi ve ROA'yı hazırlayın.
6. valid sonucunu alın, anonsu test edin.
7. Geolocation ve rDNS ayarlarını tamamlayın.