Про BEE-IX та правила спільноти
Що це і навіщо воно вам
Лабораторія на столі показує рівно те, що ви в ній налаштували. BEE-IX показує інше: як ваша конфігурація поводиться, коли з протилежного боку сесії — жива мережа з власними уявленнями про фільтри, свій оператор і свої помилки.
Технічно це IPv6-only точка обміну з route server на AS210925. Що з цим можна робити:
- підняти BGP-сесію з route server і побачити повну таблицю учасників;
- подивитися, як ваші префікси проходять (або не проходять) фільтрацію за IRR — і чому саме;
- керувати власними анонсами через large communities: кому віддавати, кому ні, де приспустити localpref;
- знайти себе в Looking Glass і подивитися на власний AS-path очима іншої мережі.
Приходять сюди здебільшого троє: інженери, які мають ASN по роботі й хочуть покрутити піринг без наглядача; власники хомлабів із власним префіксом і AS; невеликі мережі, яким цікаво порахувати, як виглядає обмін трафіком, перш ніж іти у великий IX.
Як почати
Знадобляться власний ASN, IPv6-префікс, який ви анонсуватимете, і готовність самостійно підняти BGP.
- Подайте заявку на під’єднання — з номером ASN і префіксами, які плануєте анонсувати. Коли її схвалять, на пошту прийде посилання, щоб завести пароль до кабінету.
- Отримаєте адресу на пірингу й параметри сесії з route server.
- Перевірте свої IRR-об’єкти — без них анонс не пройде фільтр. ROA раджу завести наперед: RPKI вже на підході.
- Піднімайте сесію та звіряйтеся з Looking Glass.
Щоб опинитися у вулику, потрібен канал до нього. Свій власний — безкоштовно; якщо свого немає, поруч є окрема платна оренда віртуалки (деталі — у блоці про правовий статус нижче).
Помилятися тут безпечно
Route server фільтрує все, що заходить. Префікс без відповідного IRR-об’єкта не приймається. Ліміт префіксів на сесію обрізає випадковий full-view, якщо хтось ненавмисно віддасть його сюди. Перевірку RPKI зараз запроваджуємо — вона от-от запрацює поруч із IRR.
Тобто найгірше, що станеться від кривого конфіга, — сесія не підніметься або ваш анонс мовчки не приймуть. Зламати через BEE-IX чужу мережу не вийде: анонс, який вам не належить, просто не переживе фільтр.
Працює це все за принципом best-effort — таким є жанр. Сервери перезавантажуються, конфігурація змінюється, а те, що впало о третій ночі, цілком може дочекатися ранку. Це майданчик для експериментів, а не транзит, під який можна підкласти продакшен.
Правила спільноти
Правил небагато, і кожне з них захищає учасників одне від одного:
- Анонсуйте лише свої або авторизовані префікси. Так само наступного разу ніхто не анонсує ваші.
- Тримайте IRR-об’єкти актуальними. Фільтр читає саме їх: протермінований об’єкт — і ваші маршрути зникають з таблиці без жодного повідомлення. ROA теж варто завести — вони знадобляться, щойно RPKI запрацює.
- Не влаштовуйте флап на спільному route server. Одна сесія, що смикається туди-сюди, потрапляє в таблицю до всіх одразу.
- Не пускайте сюди трафік, який не пустили б до себе. Протиправне й зловмисне — очевидно ні.
Якщо щось із цього починає заважати пірингу інших, сесію тимчасово вимикають і пишуть на пошту, що саме сталося. Після виправлення — вмикають назад. Це не покарання, а спосіб не тримати всю таблицю в заручниках через одну конфігурацію.
Питання, скарги та abuse — support@bee-ix.net.
Правовий статус
BEE-IX — добровільна неприбуткова спільнота: вона не має прибутків, не продає послуг і не є оператором телекомунікацій — послуг зв’язку тут ніхто не надає.
Участь безкоштовна. Route server, піринг, large communities, фільтрація за IRR та Looking Glass доступні учасникам без оплати; за перебування у спільноті ніхто нікому не платить. Усе надається на умовах best-effort, без SLA й без гарантій доступності.
Єдине, що поруч коштує грошей, — оренда VPS у ФОП Сартов Роман Ігорович за договором-офертою. Це окрема комерційна послуга: VPS можна орендувати без BEE-IX, а брати участь у BEE-IX — без VPS. Одне не є умовою іншого.