Qu'est-ce qui empêche quelqu'un de configurer son réseau avec des adresses IP qui ne lui appartiennent pas?

Voici le scénario. J'imaginais une université qui a acheté une gamme d'adresses IP. Je pense qu'ils seraient toujours à l'intérieur d'un FAI (non?), Mais ils auraient la liberté de configurer les choses comme ils le voulaient.

Qu'est-ce qui les empêche d'attribuer à leurs routeurs et hôtes déjà utilisés des adresses IP?

Et que se passerait-il si quelqu'un faisait cela?

Très probablement, s'ils sont une grande université, ils sont leur propre FAI, utilisant BGP pour connecter leur réseau à Internet via un certain nombre de réseaux en amont.

Rien ne les empêche d'utiliser des adresses IP qu'ils ne devraient pas utiliser, et cela fonctionnerait dans leur réseau local. Cependant, cela ne fonctionnera pas sur Internet. Leurs réseaux en amont leur fournissant une connectivité devraient avoir des filtres en place qui ne permettraient à l'université d'annoncer les adresses IP qui leur sont attribuées. Si les amonts directs ne les filtrent pas, les amonts des amonts le feront. Et si les adresses IP, qui sont utilisées par un autre réseau, étaient utilisées par l'université, cet autre réseau deviendrait inaccessible à partir du réseau universitaire.

En outre, il existe un certain nombre de projets (par exemple, RIPE RIS et BGPmon ) qui surveillent les tables de routage et alertent sur toute publicité IP "illégale" ( détournements BGP et anomalies de routage).

Qu'est-ce qui les empêche d'attribuer à leurs routeurs et hôtes déjà utilisés des adresses IP?

Rien. Au fil des ans, j'ai vu des organisations de toutes tailles, publiques et privées, y compris une entreprise de «marque» mondialement reconnue. En fait, je l'ai vu plus souvent dans les entreprises que dans les universités (principalement en raison du fait qu'un plus grand nombre d'universités ont été impliquées dans Internet plus tôt et ont aidé à définir les normes et les meilleures pratiques utilisées aujourd'hui).

Et que se passerait-il si quelqu'un faisait cela?

Aujourd'hui, probablement rien d'autre que l'organisation ne pouvant pas atteindre les parties d'Internet qui se chevauchent. Dans le passé, ce type de chose a provoqué de graves problèmes, y compris la «rupture d'Internet» pour certains ou de nombreux utilisateurs (dans un cas, un seul FAI a accidentellement propagé une route par défaut vers Internet en surchargeant son propre réseau comme une grande partie du trafic Internet essayé de les traverser).

Les incidents passés comme ceux que vous proposez sont devenus des opportunités d'apprentissage et ont débouché sur les meilleures pratiques qui incluent des protections contre ce type de mauvaise configuration. Aujourd'hui, le plus souvent, les fournisseurs implémentent BCP38 / RFC2827 pour filtrer le trafic vers les organisations connectées uniquement à l'adresse IP dont ils devraient faire la publicité.

Certains fournisseurs mettent également en œuvre un filtrage bogon qui, lorsqu'il est correctement entretenu, empêche le trafic provenant de l'espace IP de ne pas provenir de trafic valide (c'est-à-dire des plages d'adresses privées, de l'espace IP non attribué, etc.). Alors que la liste des bogons IPv4 est beaucoup plus petite aujourd'hui que par le passé (c'est-à-dire que la plupart des adresses IPv4 sont désormais attribuées), la liste des bogons IPv6 peut toujours être très utile, en particulier sur les grands fournisseurs pour limiter la portée du squattage IP (c'est-à-dire en utilisant une adresse IP non attribuée espace).

Rien ne les empêchera d'utiliser les adresses sur leurs propres machines.

Ce qui se passe s'ils essaient de les publier sur Internet dépend de la négligence de leurs fournisseurs. Si leurs fournisseurs suivent les meilleures pratiques, des filtres seront en place et les publicités ne dépasseront pas les frontières du pirate de l'air.

OTOH si leurs fournisseurs et leurs fournisseurs de fournisseurs sont bâclés, une fausse annonce peut aller beaucoup plus loin, entraînant une perturbation importante pour les propriétaires légitimes de l'espace IP.

De tels événements seront presque certainement remarqués et il y aura probablement des discussions animées et un filtrage supplémentaire ajouté.

Supposons que j'ai deux machines. J'attribue l'adresse 1.2.3.4 à l'un et 1.2.3.5 à l'autre. Je ne possède pas ces adresses.

Tant que je n'essaye pas d'Internet, ces deux machines peuvent se parler sans aucun problème.

Maintenant, je me connecte à Internet. Les autres réponses parlent de filtres bloquant les choses, mais ignorons cela un instant.

Ma machine 1.2.3.4 essaie de se connecter à une adresse légitime, comme 12.34.56.78. Supposons que cette adresse existe et est contrôlée par son propriétaire approprié.

Donc, ma machine envoie un paquet:

Du 1.2.3.4, au: 12.34.56.78, Contenu: Voulez-vous être amis? (Traduit en humain)

Les routeurs regardent la partie To: et la remettent correctement au 12.34.56.78. Cette machine ne soupçonne rien et répond à une réponse

De: 12.34.56.78, à: 1.2.3.4, contenu: bien sûr, soyons amis!

Maintenant vient le problème. Cette réponse ne vous sera jamais livrée. Au lieu de cela, il sera livré au vrai 1.2.3.4, qui deviendra très confus.

Donc, si vous utilisez une mauvaise adresse, vous pouvez parler à Internet, mais Internet ne vous répondra jamais.

Il occulterait en interne de grandes portions d'Internet

Sûr. Disons qu'ils font la chose courante d'utiliser des adresses IP privées en interne sur leur réseau, comme 10.xxx .. Vous connaissez le foret, la traduction d'adresses réseau à la périphérie de leur réseau, tout comme votre réseau domestique.

Sauf qu'ils ont décidé que 10.xxx est trop restrictif pour eux et qu'ils commencent à attribuer des adresses IP publiques en interne. Cela fonctionnera, dans un premier temps. Mais alors des problèmes commenceront à apparaître.

C'est une question de temps avant que quelqu'un utilise 172.217.15.68 pour une machine de laboratoire. C'est l'une des adresses IP que DNS résout pour www.google.com. Maintenant, parfois, lorsque quelqu'un à l'intérieur de l'université essaie de faire une recherche sur Google, son navigateur Web va à la place à cette machine de laboratoire . Parce que les routeurs internes n'auraient aucune capacité de concevoir qu'il y a deux 172.217.15.68, un interne et un externe; ils achemineraient simplement vos paquets vers celui interne.

Les blocs IP attribués en interne ne peuvent pas être routés en externe

Mais c'est pire que ça. Ils ont attribué un netblock entier, donc tout 172.217.xx / 16 sera acheminé vers ce laboratoire. Vous ne feriez probablement pas le ménage à chaque IP de Google, mais de nombreuses recherches échoueraient. Pour les petites tenues comme Craigslist où toutes leurs adresses sont dans le même netblock, si l'université assignait ce netblock en interne, le site entier serait bloqué à froid.

Cela n'affectera personne en dehors du réseau interne de l'université. Les fournisseurs externes n'accepteront pas la réaffectation par l'université de l'espace IP de Google. Le seul trafic acheminé vers l'université sera les adresses IP publiques que l'université possède.

Utilisez simplement IPv6 à la place

Si vous vous inscrivez à Comcast, ils vous donnent un / 64 de votre choix. Si vous demandez gentiment, j'ai entendu dire qu'ils vous donneraient juste un / 48. Mais disons que vous n'obtenez qu'un / 64, puis faites exactement l'intrigue de RevOlution et créez des nanites auto-reproductrices qui consomment de l'électricité, dans la même quantité que celle discutée dans l'émission. Avez-vous suffisamment d'adresses IPv6 pour que chaque nanite ait la sienne?

Oui. Et suffisamment de pièces de rechange pour le faire sur 2 millions de terres parallèles.

Donc, si vous êtes vraiment inquiet de manquer d'adresses IP, c'est la voie à suivre.

Comme l'ont déclaré de nombreuses autres personnes, rien n'empêche quiconque de le faire, mais en général, cela n'aura aucun effet en dehors de l'organisation, et causera même des problèmes en interne.

Maintenant, si vous êtes vous-même un FAI et commencez à dire aux autres que vous êtes le seul à utiliser pour router ces IP (en utilisant un protocole de routage comme BGP), alors ces IP deviendront "en partie" les vôtres, pendant un certain temps. En partie, parce que lorsque le problème sera remarqué, des mesures seront prises pour l'arrêter. "Pendant un moment", enfin, jusqu'à ce que des mesures soient prises.

Des incidents avec BGP se sont produits dans le passé, entraînant l'acheminement du trafic vers de mauvais endroits. Voici un lien vers un incident récent: https://hub.packtpub.com/mondays-google-outage-was-a-bgp-route-leak-traffic-redirected-through-nigeria-china-and-russia/ Vous pouvez recherchez «fuite de route BGP» pour en savoir plus.

Internet fonctionne beaucoup sur la confiance. Les choses évoluent lentement, mais dans de nombreux cas, les FAI font simplement confiance aux autres FAI.