La pêche à l'adresse IP : du RPKI quand le préfixe n'est pas signé
Notre adresse IPv4 tombait dans l'un des deux seuls préfixes non signés que notre cloud attribue aux machines virtuelles à Zurich — et un ROA ne peut être signé que par l'hébergeur. Notre solution : réserver des adresses jusqu'à tomber dans un préfixe validé. Première tentative, sept secondes de coupure.
Aussi disponible en : English
Une brève de terrain — un problème, une manœuvre, une leçon.
En travaillant notre 100 % sur internet.nl, un point résistait : la validation RPKI de notre IPv4. RPKI permet aux réseaux de vérifier cryptographiquement qu'une annonce de route est légitime ; la validation repose sur un ROA (Route Origin Authorization) signé par le détenteur du préfixe — l'hébergeur, jamais le client. Notre adresse, attribuée dynamiquement, tombait dans l'un des deux seuls préfixes sans ROA parmi les huit que le cloud attribue aux machines virtuelles dans la région de Zurich. Six sur huit étaient signés. Pas de chance, au sens propre.
Impossible de signer nous-mêmes, et attendre que le cloud signe ce préfixe précis ne dépendait pas de nous. Restait une manœuvre assumée : la pêche.
- Réserver une adresse IP fixe (gratuit chez notre hébergeur, et elle survit aux redémarrages — deux avantages sur l'adresse éphémère).
- Vérifier dans quel préfixe elle tombe, et si ce préfixe a un ROA valide.
- La rendre si ce n'est pas le cas, et relancer.
Premier lancer : une adresse dans un préfixe signé, ROA valide. La bascule de l'ancienne adresse vers la nouvelle a coûté sept secondes de coupure IPv4 — les clients en dual-stack n'ont rien vu, l'IPv6 (déjà validée) n'a pas bougé.
Deux leçons. La petite : une adresse réservée est de toute façon une meilleure pratique qu'une éphémère — la pêche n'a fait que précipiter une décision déjà bonne. La grande : une partie de votre posture réseau appartient à votre hébergeur, pas à vous. La connaître avant de choisir — ou savoir la contourner — fait partie du métier.