Projekt vISP auf der Zielgeraden

Ich bin ja seit Urzeiten quasi mein eigener ISP, d. h. ich mache (bis auf das IPv4-Routing) »es mir selbst«. Mit IPv6 bekommt die altgediente Serverschabe Lust, über den Tellerrand zu schauen.

IPv6 – ja, lange von mir verschmäht – ist irgendwie schon geil. Ein Hauch von »IP, so wie es sein sollte«, aus Sicht des Nutzers — ob die ISPs die Büchse der Pandora, die sie eröffneten, wieder zu bekommen, ich habe da so meine Zweifel. IPv4, mit seinen ca. 4 Milliarden Adressen, bringt es heute auf ca. 500.000 Einträge in der globalen Routingtabelle, der »default-free zone« (sprich: da jeder Teilnehmer an der DFZ alle Routen in alle Netze kennt, gibt es keinen der sagt »hier, gib’ mir alles, ich route das schon, irgendwie«). IPv6 bietet grob für jeden Nutzer 16fach den gesamten IPv4-Adressraum. Dennoch ist die globale IPv6-Routingtabelle mit unter 40.000 Einträgen quasi niedlich. Die Gretchenfrage ist, ob das so bleibt …

Aber nunja, auch Papa wusel hat sich ein sogenanntes »AS« (ok, effektiv vier) geben lassen, und mit AS206946 (sowie AS132362 für den asiatisch-pazifischen Raum) spiele ich nun mit im globalen Routingkonzert.

Allerdings: ich habe keine »physische Präsenz« an typischen IXPs, den Internet-Exchanges. Dafür habe ich zwei, drei Stunden Erfahrung mit »tunneled Internet«, die in der Folge sich als hilfreich erweisen. Und so, wie auch ein Politiker kein Doktor der Medizin sein muß, um Bundesgesundheitsminister zu werden, muß ich kein Routingexperte sein, um Teil des globalen Routings zu werden. Oder so ;-)

Ich habe mir Anbieter gesucht – die Seite »LowEndTalk« war hier sehr hilfreich –, über die ich per VPS (»Virtual Private Server«), also letztlich einer (KVM-) VM, für kleines Geld BGP sprechen kann. Klar, es gibt DN42 – dort habe ich, neben dem Freifunk-ICVPN, meine ersten Versuche mit BGP (und OSPF) absolviert –, aber ganz ehrlich? Never run a changing system. Das DN42 ist eher dauernd im Fluß, und da es kaum jemand – ich kenne jedenfalls niemanden – auch nur annähernd ›produktiv‹ nutzt, steht immer die Frage im Raum, ob jetzt ich oder die andere Seite Bockmist gebaut hat. Sandkästen sind schön, aber als Rädchen im globalen System habe ich immerhin die Chance, in die tagesthemen zu kommen — nach einem epochalen Fuckup im dn42 mögen mich ggf. nur einige im IRC weniger ;)

Nein, Spaß beiseite: wenn man sich näher mit BGP, dem Routingprotokoll des Internets, auseinandersetzt, stellt man unweigerlich fest, wie sehr es im Grunde SMTP ähnelt: die Erwartungshaltung ist, daß Dein Gegenüber Dir nix böses will und auch weiß, was er/sie/es tut … Bei SMTP haben wir als Ergebnis SPAM, bei BGP quasi DDoS. Es gab auf der DENOG8 dazu schöne Talks; leider sind die Aufzeichnungen der Sessions noch nicht online — ich versuche daran zu denken, hier Links nachzuliefern.

Anyway, wie man der Grafik entnehmen kann, funktioniert »mein« vISP offenbar, und auch mein Traffic-Engineering (welches zum Ziel hat, daß eben nicht jeder Verkehr über Hurricane Electric und de3 rein kommt) tut ;)

traceroute to 2620:3:c000:a:0:1991:8:25 (2620:3:c000:a:0:1991:8:25), 30 hops max, 80 byte packets
 1  gw-gt.uu.org (2a07:a907:50c:1000:219:99ff:fe5b:cc93) [AS206946]  0.195 ms  0.200 ms  0.222 ms
 2  de3-gut1.as206946.net (2a07:a907:50c:f700::1) [AS206946]  29.990 ms  30.133 ms  30.433 ms
 3  uusix-4.tunnel.tserv18.fra1.ipv6.he.net (2001:470:12:f1::1) [AS6939]  37.038 ms  37.043 ms  37.040 ms
 4  10ge11-8.core1.fra1.he.net (2001:470:0:3b2::1) [AS6939]  47.143 ms  47.148 ms  47.144 ms
 5  100ge6-1.core1.lon2.he.net (2001:470:0:37::1) [AS6939]  49.784 ms  49.789 ms  49.808 ms
 6  100ge1-1.core1.nyc4.he.net (2001:470:0:2cf::2) [AS6939]  125.726 ms  161.562 ms  161.536 ms
 7  100ge5-1.core1.chi1.he.net (2001:470:0:298::1) [AS6939]  137.299 ms  135.075 ms  135.032 ms
 8  100ge14-2.core1.msp1.he.net (2001:470:0:18e::2) [AS6939]  140.897 ms  141.617 ms  140.226 ms
 9  100ge4-1.core1.sea1.he.net (2001:470:0:2a0::1) [AS6939]  172.788 ms  172.716 ms  174.671 ms
10  100ge14-1.core1.pdx1.he.net (2001:470:0:3c2::2) [AS6939]  175.526 ms  178.450 ms  178.404 ms
11  2001:478:195::46 (2001:478:195::46) [*]  178.372 ms  176.057 ms  176.041 ms
12  2001:19d0:301:1::2 (2001:19d0:301:1::2) [AS2044]  176.016 ms  177.170 ms  176.137 ms
13  tiz-korg-pub.kernel.org (2620:3:c000:a:0:1991:8:25) [AS54073]  176.090 ms  178.054 ms  176.217 ms

Gegenprobe von OVH aus:

traceroute to mail.uu.org (2a07:a907:50c:1000::42), 30 hops max, 80 byte packets
 1  2001:41d0:e:aff:ff:ff:ff:ff (2001:41d0:e:aff:ff:ff:ff:ff) [AS16276]  0.700 ms * *
 2  po101.gra-g1-a75.fr.eu (2001:41d0::1eb) [AS16276]  0.297 ms  0.501 ms  0.479 ms
 3  be10-20.gra-g1-a9.fr.eu (2001:41d0::232) [AS16276]  0.931 ms  1.142 ms  2.005 ms
 4  be100-1193.ldn-1-a9.uk.eu (2001:41d0::291) [AS16276]  3.380 ms  3.593 ms  3.564 ms
 5  be100-2.ldn-5-a9.uk.eu (2001:41d0::bf2) [AS16276]  3.765 ms  3.735 ms  3.711 ms
 6  2001:7f8:4::517c:1 (2001:7f8:4::517c:1) [AS5459]  5.076 ms 2001:7f8:4::517c:2 (2001:7f8:4::517c:2) [AS5459]  4.741 ms 2001:7f8:4::517c:1 (2001:7f8:4::517c:1) [AS5459]  5.266 ms
 7  po97.core2.thn.as20860.net (2001:1b40:f000:53::1) [AS20860]  3.446 ms po97.core2.ld5.as20860.net (2001:1b40:f000:2d::1) [AS20860]  4.170 ms po97.core2.thn.as20860.net (2001:1b40:f000:53::1) [AS20860]  3.702 ms
 8  98.core2.ld5.as20860.net (2001:1b40:f000:2b::1) [AS20860]  4.158 ms  4.333 ms 2990.core1.dc7.as20860.net (2001:1b40:f000:29::2) [AS20860]  9.883 ms
 9  3940.core1.dc6.as20860.net (2001:1b40:f000:3940::1) [AS20860]  9.765 ms * 2990.core1.dc7.as20860.net (2001:1b40:f000:29::2) [AS20860]  9.859 ms
10  * 2001:1b40:6000:1265::98 (2001:1b40:6000:1265::98) [AS20860]  9.959 ms  9.905 ms
11  2001:1b40:6000:1265::98 (2001:1b40:6000:1265::98) [AS20860]  10.058 ms  10.064 ms uk2-de3.as206946.net (2a07:a907:50c:ff01::1) [AS206946]  23.485 ms
12  uk2-de3.as206946.net (2a07:a907:50c:ff01::1) [AS206946]  23.579 ms  23.536 ms gut1-de3.as206946.net (2a07:a907:50c:f700::2) [AS206946]  36.654 ms
13  mail.uu.org (2a07:a907:50c:1000::42) [AS206946]  36.455 ms  36.743 ms  36.677 ms

Meine Gütersloher »Home Base« ist aktuell redundant an ›de3‹ und ›uk2‹ angebunden, allerdings ist die (IPv4-) Anbindung von ›de3‹ (Hetzner) zur Telekom deutlich schlechter als über die Alternativen (Hetzner routet zur Telekom aktuell über Paris):

de3
10  p5B21F541.dip0.t-ipconnect.de (91.33.245.65) [AS3320]  33.072 ms !X  32.835 ms !X  32.821 ms !X

de4
 6  p5B21F541.dip0.t-ipconnect.de (91.33.245.65) [AS3320]  19.039 ms !X  18.891 ms !X  18.852 ms !X

de5
 6  p5B21F541.dip0.t-ipconnect.de (91.33.245.65) [AS3320]  16.812 ms !X  16.970 ms !X  16.936 ms !X

Als ISP kann ich das natürlich meinen Kunden (also mir ;)) nicht zumuten, daher route ich über meine anderen ›Leitungen‹ um das Problem herum:

traceroute to 2620:3:c000:a:0:1991:8:25 (2620:3:c000:a:0:1991:8:25), 30 hops max, 80 byte packets
 1  gw-gt.uu.org (2a07:a907:50c:1000:219:99ff:fe5b:cc93)  0.224 ms  0.216 ms  0.229 ms
 2  de5-gut1.as206946.net (2a07:a907:50c:f704::1)  14.024 ms  14.031 ms  14.376 ms
 3  de3-de5.as206946.net (2a07:a907:50c:ff04::2)  20.777 ms  21.493 ms  21.496 ms
 4  uusix-4.tunnel.tserv18.fra1.ipv6.he.net (2001:470:12:f1::1)  27.908 ms  27.916 ms  27.910 ms
 5  10ge11-8.core1.fra1.he.net (2001:470:0:3b2::1)  55.081 ms  56.001 ms  56.146 ms
 6  100ge6-1.core1.lon2.he.net (2001:470:0:37::1)  41.252 ms  39.813 ms  39.926 ms
 7  100ge1-1.core1.nyc4.he.net (2001:470:0:2cf::2)  99.135 ms  103.115 ms  99.465 ms
 8  100ge5-1.core1.chi1.he.net (2001:470:0:298::1)  116.968 ms  114.313 ms  114.285 ms
 9  100ge14-1.core2.chi1.he.net (2001:470:0:346::1)  120.801 ms  149.491 ms  149.691 ms
10  100ge11-1.core1.msp1.he.net (2001:470:0:3c9::2)  122.824 ms  124.090 ms  127.895 ms
11  100ge4-1.core1.sea1.he.net (2001:470:0:2a0::1)  157.189 ms  158.995 ms  163.931 ms
12  100ge14-1.core1.pdx1.he.net (2001:470:0:3c2::2)  162.325 ms  164.254 ms  173.089 ms
13  2001:478:195::46 (2001:478:195::46)  163.329 ms  163.479 ms  162.091 ms
14  2001:19d0:301:1::2 (2001:19d0:301:1::2)  163.884 ms  165.939 ms  167.393 ms
15  tiz-korg-pub.kernel.org (2620:3:c000:a:0:1991:8:25)  168.736 ms  168.583 ms  163.063 ms

10 ms gespart trotz eines Hops mehr ;) Der BGP-Part ist soweit »done«, jetzt noch schnell OSPF im Netz nachziehen und alles wird gut. Mittlerweile habe ich auch meinen IPv6-PI-Space, d. h. ich muß mein AS eigentlich noch – ein letztes Mal – renumbern ;-)

Schick finde ich ja auch die Möglichkeit, bestimmte Netze nur über bestimmte Up­streams bzw. Peerings zu announcen (man ahnt es, beide Zieladressen terminieren in Gütersloh ;)):

root@victor:~# traceroute -A -6 2402:9e80:21:1::1
traceroute to 2402:9e80:21:1::1 (2402:9e80:21:1::1), 30 hops max, 80 byte packets
 1  * * *
 2  po101.gra-g1-a75.fr.eu (2001:41d0::1eb) [AS16276]  0.349 ms  0.475 ms  0.229 ms
 3  be10-20.gra-g1-a9.fr.eu (2001:41d0::232) [AS16276]  0.895 ms  1.107 ms  1.105 ms
 4  be100-1196.ams-1-a9.nl.eu (2001:41d0::295) [AS16276]  6.451 ms  6.663 ms  6.646 ms
 5  30gigabitethernet1-3.core1.ams1.he.net (2001:7f8:1::a500:6939:1) [AS1200]  9.311 ms  9.025 ms  9.273 ms
 6  100ge12-2.core1.par2.he.net (2001:470:0:349::1) [AS6939]  16.588 ms  16.513 ms  16.490 ms
 7  10ge3-1.core1.sin1.he.net (2001:470:0:2df::2) [AS6939]  197.692 ms  197.254 ms  196.984 ms
 8  100ge3-1.core1.hkg1.he.net (2001:470:0:2ea::1) [AS6939]  262.415 ms  270.853 ms  270.892 ms
 9  tserv1.hkg2.he.net (2001:470:0:3b1::2) [AS6939]  268.351 ms  261.734 ms  261.699 ms
10  uusix-2-pt.tunnel.tserv19.hkg1.ipv6.he.net (2001:470:17:f5::2) [AS6939]  297.319 ms  303.802 ms  296.957 ms
11  de5-de3.as206946.net (2a07:a907:50c:ff04::1) [AS206946]  312.356 ms  319.132 ms  312.400 ms
12  2402:9e80:21:1::1 (2402:9e80:21:1::1) [AS132362]  325.800 ms  333.878 ms  326.553 ms

root@victor:~# traceroute -A -6 2001:678:2c0:1::1
traceroute to 2001:678:2c0:1::1 (2001:678:2c0:1::1), 30 hops max, 80 byte packets
 1  * * *
 2  po101.gra-g1-a75.fr.eu (2001:41d0::1eb) [AS16276]  0.302 ms  0.457 ms  0.399 ms
 3  be10-20.gra-g1-a9.fr.eu (2001:41d0::232) [AS16276]  2.144 ms  0.742 ms  2.014 ms
 4  be100-1196.ams-1-a9.nl.eu (2001:41d0::295) [AS16276]  6.489 ms  6.657 ms  6.832 ms
 5  30gigabitethernet1-3.core1.ams1.he.net (2001:7f8:1::a500:6939:1) [AS1200]  17.528 ms  17.482 ms  28.569 ms
 6  100ge5-1.core1.fra1.he.net (2001:470:0:2d4::2) [AS6939]  20.826 ms  20.873 ms  20.768 ms
 7  tserv2.fra1.he.net (2001:470:0:3b2::2) [AS6939]  10.616 ms  10.729 ms  10.543 ms
 8  uusix-4-pt.tunnel.tserv18.fra1.ipv6.he.net (2001:470:12:f1::2) [AS6939]  16.048 ms  15.874 ms  15.663 ms
 9  de5-de3.as206946.net (2a07:a907:50c:ff04::1) [AS206946]  22.471 ms  22.230 ms  22.020 ms
10  2001:678:2c0:1::1 (2001:678:2c0:1::1) [AS206740/AS206946]  35.714 ms  36.073 ms  36.012 ms

Aber ja, ich denke, ich habe IPv6-mit-BGP (ohne Bonuslevel) durchgespielt. What’s next?