Вы нашли IPv4-подсеть /24 по подходящей цене и планируете выдать адреса серверам или клиентам. До оплаты нужно выяснить три вещи: имеет ли арендодатель право предоставить именно этот блок, примет ли его ваша площадка и подходят ли адреса для ваших сервисов. Одного обещания «чистая подсеть» для этого недостаточно.
Проверку удобно разделить на два этапа: документы, репутацию и условия изучить до заказа, а фактическую работу маршрутизации и сервисов проверить после выдачи, до переноса клиентов. Срок такой технической приёмки и действия при обнаружении проблем согласуйте заранее.
1. Убедитесь, что вам нужен именно /24
Блок /24 содержит 256 IPv4-адресов. Он подходит, например, для хостинга с отдельными IP у виртуальных машин или для инфраструктуры, которой нужен собственный адресный блок с возможностью сменить площадку. Возможность переноса должна быть предусмотрена условиями аренды.
Для самостоятельного анонса IPv4 в глобальном интернете обычно ориентируются на /24: более мелкие блоки, например /25, многие сети отфильтруют. Если нужны несколько IP на одном сервере, сначала сравните аренду /24 с дополнительными адресами от дата-центра. Для сервисов, доступных всем нужным клиентам по IPv6, можно сократить потребность в IPv4.
Отдельно уточните количество адресов, которые сможете назначать оборудованию. Число 256 описывает размер блока. Сколько останется после резервирования адресов под шлюз и выбранную схему подключения, должен подтвердить принимающий провайдер. Универсальное обещание «ровно 254 рабочих IP» тоже некорректно: схема маршрутизации может быть другой.
2. Получите согласие дата-центра на подключение подсети
Аренда адресов сама по себе не подключает их к интернету. Площадка должна поддерживать BYOIP — использование внешних IP-подсетей — и принять ваш конкретный блок. BGP-анонс сообщает другим сетям, через какую автономную систему доступна подсеть; номер этой системы называется ASN.
До платежа отправьте сетевой службе площадки точный префикс, например в формате 203.0.113.0/24, и название регионального реестра, в котором он зарегистрирован. Это условный адрес для документации: в заявке укажите предложенную вам подсеть.
Получите письменный ответ по следующим пунктам:
- Принимает ли площадка арендованные подсети этого реестра и какие подтверждения полномочий ей нужны?
- Кто будет анонсировать блок и какой ASN будет указан источником маршрута — origin ASN?
- Нужен ли вам собственный публичный ASN или площадка предлагает схему с анонсом от своего имени?
- Как адреса подключат к серверам, потребуется ли туннель? Какие шлюз, маски и ограничения предусмотрены?
- Сколько стоят подключение, анонс и передача трафика; распространяется ли защита от DDoS на внешний блок?
Если площадка не принимает подсеть, выберите другую площадку или другой вариант адресации до оплаты. Регистрация ASN сама по себе эту задачу не решает: нужен оператор, который примет и распространит маршрут.
3. Проверьте держателя блока и полномочия арендодателя
Запросите точный /24 до оплаты и посмотрите его регистрационные данные через RIPEstat или WHOIS/RDAP соответствующего регионального реестра. Сопоставьте диапазон, организацию-держателя, контакты и сторону договора. Для адресов RIPE поле org указывает связанную организацию, mnt-by — кто управляет записью. Эти поля полезны для проверки, но сами по себе не подтверждают полномочия продавца.
Разные названия у держателя и продавца не обязательно означают проблему: подсеть может сдавать уполномоченный посредник. Но цепочка полномочий должна быть понятна. Запросите подтверждение права сдавать блок и, при сомнениях, проверьте его через контакты держателя из реестра. Пересланное продавцом письмо не заменяет независимую проверку.
Уточните, кто меняет разрешения на анонс, маршрутные записи и обратную DNS-зону, а также сколько времени занимают изменения. Внесение ваших данных в WHOIS не означает передачу ресурса вам навсегда: права и срок использования определяются оформленным предоставлением подсети и договором.
Попросите подтвердить исключительное использование блока на период аренды и дату освобождения прежним клиентом. Если он ещё используется, согласуйте передачу и прекращение прежнего анонса именно этого /24. Наличие общего маршрута, например /21, в который входит ваш блок, само по себе не является конфликтом: отдельный /24 может маршрутизироваться через другую сеть.
Если конкретный блок назначают только после оплаты, независимо проверить его заранее не получится. До заказа согласуйте срок проверки и условия отказа от неподходящей подсети.
4. Сверьте LOA, IRR и RPKI с будущим анонсом
Эти документы и записи решают разные задачи. Проверять их нужно для согласованной пары «подсеть + origin ASN».
| Что проверить | Что это даёт | Что должно совпасть |
|---|---|---|
| LOA — письмо-разрешение на анонс | Подтверждение для принимающего оператора по его процедуре | Префикс, разрешённый оператор или ASN, полномочия подписанта и срок, если он указан |
| Объект route в IRR — реестре маршрутизации | Данные, по которым операторы могут строить фильтры маршрутов | Поля route и origin; запись должна находиться в реестре, который использует принимающий оператор |
| ROA в системе RPKI | Криптографически проверяемое разрешение указанному ASN объявлять префикс | Префикс, origin ASN и разрешённая максимальная длина префикса — maxLength |
| Фактический маршрут BGP | Показывает, откуда подсеть объявляется сейчас | После подключения виден согласованный анонс; нет необъяснённого анонса того же /24 другой системой |
LOA не создаёт маршрут, а запись route не заменяет ROA. Попросите принимающего оператора подтвердить, что документы приняты и его фильтры обновлены. Если арендодатель говорит «RPKI настроен», проверяйте именно будущий origin ASN: разрешение прежнему оператору для вашего подключения может не подойти.
Проверить комбинацию префикса и ASN можно через API RIPEstat. В Linux или macOS с установленным curl выполните запрос ниже, заменив оба учебных значения своими. Команда только читает публичные данные.
PREFIX='203.0.113.0/24'
ORIGIN_AS='64496'
curl --fail --silent --show-error --get \
'https://stat.ripe.net/data/rpki-validation/data.json' \
--data-urlencode "resource=$ORIGIN_AS" \
--data-urlencode "prefix=$PREFIX"В ответе смотрите поле status внутри объекта data. Верхнее status: ok означает только успешную обработку запроса.
- valid: сочетание префикса и ASN разрешено. Можно переходить к проверке фактического анонса; доступность сервисов этот результат ещё не подтверждает.
- invalid_asn или invalid_length: ASN либо длина префикса не соответствуют разрешениям. Передайте результат держателю и сетевой службе площадки, добейтесь исправления и повторите запрос до запуска.
- unknown: подходящих покрывающих ROA не найдено. Это не доказательство чужой подсети, но разрешение на этот анонс через RPKI не подтверждено. Согласуйте создание ROA до ввода в эксплуатацию.
Проверка учитывает и ROA на более крупные диапазоны. Поэтому отсутствие отдельной записи для /24 не означает, что он обязательно получит статус unknown: покрывающий ROA может сделать будущий анонс недействительным. Ошибка HTTP или отсутствие корректного ответа API означает, что проверка не выполнена.
В RIPEstat также посмотрите текущий origin ASN и историю анонсов. Отсутствие маршрута до выдачи допустимо для неиспользуемого блока. История BGP помогает заметить изменения маршрутизации, но не доказывает отсутствие спама или других злоупотреблений на отдельных IP.
5. Проверьте репутацию всех 256 адресов
Проверка одного «тестового IP» не характеризует весь /24. Запросите свежий отчёт по каждому адресу, включая диапазон от .0 до .255, и проверьте, не входят ли адреса в более крупную заблокированную сеть. Даже адреса, которые вы не планируете назначать серверам, помогают увидеть состояние всего блока.
Для отдельных запросов используйте Spamhaus Reputation Checker: введите IP, откройте найденную запись, сохраните название списка, указанный диапазон и причину. Для всего /24 закажите пакетную проверку у сервиса с доступом к нужным базам либо выполните её через разрешённый поставщиком данных API. Публичная форма для одного IP не является готовым отчётом по подсети.
В отчёте должны быть все 256 адресов, время проверки, названия проверенных баз и результаты по каждой из них. Ошибки и пропущенные запросы должны быть отмечены отдельно. Формулировка «найдено 0 блокировок» ничего не доказывает, если часть запросов завершилась ошибкой или нужная база вообще не проверялась.
| Результат | Как его понимать | Что делать до запуска |
|---|---|---|
| Spamhaus SBL или XBL | SBL связан со спамом и другими злоупотреблениями; XBL — с признаками компрометации устройств. Значение имеет причина конкретной записи | Получить объяснение и подтверждение устранения прежней проблемы. Повторить проверку; при сохранении неприемлемого ограничения согласовать другой блок |
| Spamhaus PBL | Политика, по которой с этих IP не следует отправлять почту напрямую на почтовые серверы получателей. Само включение не доказывает рассылку спама | Для собственного почтового сервера уточнить допустимость прямой отправки и порядок исключения. Если она запрещена, использовать согласованный SMTP-релей или другой подходящий блок |
| Spamhaus DROP | Диапазон рекомендован к фильтрации на сетевом уровне; последствия могут затронуть любой трафик | Отложить использование до устранения причины и подтверждённого исключения либо выбрать другой блок |
| В проверенных списках записей нет | В указанных базах на момент проверки ограничений не найдено | Продолжить проверку геолокации и нужных приложений: у них могут быть собственные списки и правила |
Проверять более крупный диапазон важно не только теоретически. В обсуждении на NAG.RU в 2017 году арендатор сообщал, что его /24 пострадал от включения охватывающего /21 в SBL. Практический вывод из этого случая: выясняйте границы найденной записи и кто способен устранить причину блокировки, особенно если она касается соседних клиентов.
Заранее согласуйте, кто занимается прежними блокировками. Для SBL участие ответственной сетевой организации может быть необходимо: обещание «после оплаты сами подадите заявку на удаление» не гарантирует, что вы сможете решить вопрос.
6. Проверьте геолокацию и нужные внешние сервисы
Страна в WHOIS, физическая площадка сервера и страна, которую определяет приложение, могут различаться. Если от географии зависит работа проекта, сравните предложенные адреса в используемых вами GeoIP-базах и запросите у арендодателя порядок исправления данных.
Для операторов MaxMind предусматривает подачу geofeed и обращений на исправление. Geofeed — это опубликованные данные о географии адресных диапазонов. Уточните, кто публикует и обновляет такой файл. Изменение WHOIS или geofeed не означает одновременного обновления всех сайтов и не гарантирует снятия отметки «хостинг» или «VPN».
После выдачи сделайте обычный рабочий запрос к важному для проекта API или сервису с нового адреса. По журналу своего принимающего сервера либо согласованной диагностике убедитесь, что соединение действительно вышло через этот IPv4, а не через старый IP, IPv6 или прокси. Успешный запрос проверяет конкретный сценарий; тест с одного адреса не подтверждает пригодность остальных.
Если страна определяется неверно, отправьте запрос в соответствующую базу и повторите проверку после исправления. Если база уже показывает нужную страну, а приложение продолжает отказывать, обращайтесь к владельцу приложения с IP, временем и текстом ошибки. Когда такой доступ обязателен к запуску, включите его в условия приёмки и заранее согласуйте действия на случай отказа.
7. Уточните управление обратной DNS-зоной
PTR-запись связывает IP с именем хоста. До заказа выясните, сможете ли менять её в панели, через поддержку или получите делегирование обратной зоны на свои DNS-серверы. Также уточните сроки изменений. Возможность редактировать DNS своего домена сама по себе не даёт управления PTR арендованных адресов.
После настройки проверьте результат с внешнего компьютера. В примере ниже замените учебный IP своим, а имя — тем, которое должно быть в PTR. Понадобится утилита dig.
dig -x 203.0.113.10 +short
dig A mail.example.com +shortДля почтового сервера первый запрос должен вернуть ожидаемое имя, а второй — содержать исходный IP. Если имя старое, проверьте заданный PTR у держателя обратной зоны и срок кэширования DNS. Если первый ответ пуст, повторите запрос без +short: NXDOMAIN указывает на отсутствие имени, а NOERROR с пустым ответом — на отсутствие записи нужного типа. SERVFAIL означает ошибку DNS-разрешения. Передайте полный вывод ответственному за обратную зону; простой повтор изменения PTR не исправит неисправную делегацию.
Если планируете отправлять почту напрямую, отдельно подтвердите разрешение исходящих соединений на TCP-порт 25 у площадки. Корректный PTR нужен для почты, но не гарантирует доставку: получатели учитывают также аутентификацию домена и репутацию отправителя. Проверяйте небольшой согласованный объём писем на своих тестовых ящиках и сохраняйте ответы принимающих серверов.
8. Зафиксируйте полную стоимость и условия прекращения аренды
Сравнивайте итоговую стоимость работающего подключения. Кроме аренды /24, в неё могут входить разовое подключение, BGP-анонс, трафик, туннель, обслуживание ASN, DNS и работа администратора. Попросите отдельно указать разовые и регулярные платежи, налоги и валюту расчётов.
До оплаты проверьте договор и согласуйте:
- Начало начислений и приёмку. Когда начинается оплачиваемый срок, сколько времени даётся на проверку и что считается готовностью услуги?
- Непригодность предложенного блока. Какие заранее существовавшие ограничения дают право на исправление, замену или возврат; в какие сроки и за чей счёт? Укажите проверяемые базы и критичные сервисы вместо общего слова «чистый».
- Обработку жалоб. Кто получает abuse-обращения, как их передают вам, сколько времени даётся на реакцию и при каких обстоятельствах отключают отдельный IP или весь блок?
- Продление и отзыв. За сколько предупреждают об изменении цены, непродлении и прекращении анонса? Какой срок остаётся на смену адресов?
- Смену площадки. Можно ли сохранить подсеть при переезде, кто обновит LOA, route и ROA и сколько это будет стоить?
Помесячная оплата не определяет эти условия автоматически. В обсуждении на Reddit участник описывал, как после смены владельца провайдера ему пришлось освобождать ранее арендованные адреса. Это отдельный опыт, но он показывает, зачем заранее оценивать цену перенумерации: изменение адресов в клиентских настройках, разрешающих списках и интеграциях может оказаться дороже аренды.
9. Проведите техническую приёмку до переноса клиентов
После выдачи и согласованной активации проверьте блок на той площадке, где будете его использовать:
- Проверьте анонс и RPKI повторно. В RIPEstat и через диагностические точки принимающего оператора должен быть виден согласованный маршрут. Если маршрут не появился или имеет Invalid, передайте сетевой службе префикс, ASN и результат проверки; перенос пока отложите.
- Проверьте входящий и исходящий трафик. Настройте тестовый сервис по схеме площадки и подключитесь к нему из нескольких независимых сетей. На исходящих соединениях подтвердите адрес источника. Если работает только одно направление, попросите проверить маршрут к серверу, обратный путь, сетевые фильтры и разрешение отправлять пакеты с новым исходным IP.
- Проверьте выдаваемые адреса и приложения. Один ответ на ping не подтверждает работу всего блока. Согласуйте проверку всех адресов, которые должны быть доступны по схеме подключения, и выполните реальную операцию в критичных сервисах. Неиспользуемый IP без настроенного узла отвечать на ping не обязан.
- Сохраните результаты. Зафиксируйте время, IP, сети проверки, ответы приложений, состояние PTR и отчёт о репутации. При проблеме отправьте эти данные поставщику в пределах согласованного срока приёмки.
Если переносите действующий проект, сохраните старое подключение и способ вернуть трафик до успешного завершения проверки. Перед изменением сетевой конфигурации подготовьте её копию и доступ через консоль провайдера: ошибка в шлюзе или маршруте может оборвать SSH.
В QCKL можно арендовать IPv4-подсети /24–/20; на странице услуги указаны WHOIS, rDNS и LOA. BGP-анонс подключается отдельно. Для согласования заказа сообщите назначение адресов, площадку и предполагаемый origin ASN, затем уточните предложенный блок, требования к подключению и условия приёмки.
