Louer un bloc d'adresses IPv4 : prix, réputation, RPKI et annonce BGP

Sans engagement : le bloc se loue au mois. Selon la façon dont il est livré, quelques adresses servent au réseau lui-même : posé sur un réseau local, un /29 laisse 5 adresses à vos machines, une fois l'adresse de réseau, celle de diffusion et la passerelle comptées.

Depuis l'épuisement de 2019, le RIPE NCC ne distribue plus que des adresses récupérées, un seul /24 par nouveau membre, sur liste d'attente. Le reste s'achète sur le marché secondaire.

Acheter suppose d'être membre du RIPE NCC (LIR) ou de passer par un membre, de financer le bloc d'un coup, puis d'en gérer le transfert. La location évite ces trois étapes : vous payez au mois, et la taille du bloc suit vos besoins.

Source : RIPE NCC, « The RIPE NCC has run out of IPv4 Addresses », 25 novembre 2019

• Un serveur de mail : une adresse qui n'a servi qu'à vous ne partage la réputation de personne, et son reverse DNS (PTR) pointe vers votre domaine.
• Un VPN ou des accès distants filtrés par adresse chez vos partenaires, vos banques ou vos fournisseurs d'API.
• Une plateforme SaaS ou des services exposés : une adresse par client ou par service, pour isoler et filtrer.
• Garder vos adresses quand vous changez d'hébergeur : avec votre propre AS et une LOA, le bloc vous suit.

• Les listes de blocage : le bloc ne doit figurer sur aucune liste anti-spam majeure. Les outils publics de réputation le vérifient en quelques secondes.
• L'origine : la base du RIPE indique qui détient le bloc et depuis quand.
• Le RPKI : une ROA doit autoriser l'AS qui annonce le bloc, sinon une partie d'Internet peut le rejeter.
• Pour un serveur de mail : le reverse DNS, et les enregistrements SPF, DKIM et DMARC de votre domaine.

Chez nous, les blocs sont enregistrés au RIPE, issus de ressources opérateur à l'origine traçable, non blacklistés et protégés par RPKI, et le reverse DNS (PTR) de chaque adresse est configurable.

Le RPKI permet au titulaire d'un bloc de publier, signée, la liste des AS autorisés à l'annoncer : c'est la ROA. Les opérateurs qui valident le RPKI rejettent les annonces qui ne correspondent pas à la ROA.

Résultat : un tiers ne peut plus détourner votre bloc en l'annonçant à votre place. À l'inverse, un bloc annoncé par un AS que la ROA n'autorise pas devient injoignable depuis une partie d'Internet. C'est le premier point à régler quand vous annoncez un bloc depuis votre propre AS.

Si vous avez votre numéro d'AS et vos routeurs, vous pouvez annoncer un /24 loué chez nous. Nous vous remettons une lettre d'autorisation (LOA) à présenter à vos fournisseurs de transit, et la ROA comme l'objet route du RIPE doivent autoriser votre AS.

Le /24 est la plus petite taille acceptée sur Internet en IPv4 : un /29, un /28 ou un /27 ne s'annonce pas seul. Ces blocs passent par notre AS, qui les achemine jusqu'à votre serveur ou votre routeur.

Pas d'AS, ou pas envie d'opérer le routage ? Nos routeurs virtuels, avec session BGP, démarrent à 15 € HT/mois, et notre transit IP va de 100 Mb/s à 1 Gb/s garantis.

Chaque bloc est livré avec un /64 IPv6, la taille standard d'un réseau. Un /64 ne s'annonce pas seul sur Internet, où la plus petite taille acceptée en IPv6 est le /48 : il est acheminé par notre réseau.

Servir vos services en IPv4 et en IPv6 ne coûte rien de plus, et prépare la suite : une part croissante des accès Internet, en particulier mobiles, passe déjà par l'IPv6.

• D'où vient le bloc, et à qui est-il enregistré au RIPE ?
• Le bloc figure-t-il sur une liste de blocage ? Depuis quand est-il propre ?
• La ROA est-elle en place, et pourra-t-elle autoriser votre AS ?
• Pouvez-vous obtenir une LOA pour l'annoncer vous-même ?
• Le reverse DNS est-il configurable ?
• Y a-t-il un engagement de durée, et peut-on changer de taille de bloc ?
• Un bloc IPv6 est-il fourni ?