Routing-Richtlinien

Wir halten strikte Routing-Richtlinien ein, damit unser Netz für alle Kundinnen und Kunden sauber und sicher bleibt. Was das für Sie bedeutet:

Ein sauberes Netz zu betreiben ist wichtig. Wir setzen branchenübliche Sicherheitsmaßnahmen durch, um sowohl unsere Infrastruktur als auch Ihre Dienste vor Hijacks, Spoofing und missbräuchlichem Verkehr zu schützen. Unsere Richtlinien sind so angelegt, dass Sicherheit und Flexibilität im Gleichgewicht bleiben, damit Sie sich auf das Wesentliche konzentrieren können: Ihr Geschäft.

RPKI-Validierung

Wir setzen RPKI-Filterung (Resource Public Key Infrastructure) auf allen BGP-Sessions durch, upstream wie downstream. Das heißt: Hat ein Präfix ungültiges RPKI oder besteht die Validierung nicht, wird es verworfen. Ohne Ausnahme.

Wichtig: Wenn Sie Präfixe über uns ankündigen, sorgen Sie für eine korrekte RPKI-Konfiguration. Hat ein übergeordnetes Präfix, das Ihres einschließt, RPKI und Ihres nicht, scheitern Ihre Ankündigungen an der Validierung und werden abgelehnt.

Das ist eine strikte Anforderung, melden Sie sich also, wenn Sie Hilfe beim Einrichten Ihres RPKI brauchen.

ASPA-Durchsetzung

Wo ASPA-Daten (Autonomous System Provider Authorization) verfügbar sind, setzen wir sie durch. Ungültige ASPA-Ankündigungen von Upstreams wie Downstreams werden verworfen, um Route Leaks und unbefugte Pfadmanipulation zu verhindern.

Authentifizierte IRR-Filterung

Für Downstream-Kunden verlangen wir ordentliche IRR-Einträge (Internet Routing Registry) aus einem offiziellen RIR (Regional Internet Registry). Wir akzeptieren keine Einträge aus privaten IRR-Datenbanken wie ALTDB oder ähnlichen Registries.

Hinweis zu Legacy-Präfixen: Diese Richtlinie bedeutet, dass wir Ankündigungen für gemietete Legacy-Präfixe, die nur private IRR-Einträge haben, nicht annehmen können. Wenn Sie Adressraum mieten, vergewissern Sie sich bei Ihrem Anbieter, dass er ordentliche, RIR-gestützte IRR-Records anlegt und nicht bloß Einträge in ALTDB oder RADB hinzufügt.

Wir wissen, dass das unbequem sein kann, aber es ist nötig, um die Authentizität des Routings in unserem Netz zu wahren.

Schutz vor Bogons und nicht angekündigten Präfixen

Wir blackholen Bogons (reservierten/nicht zugeteilten IP-Raum) und nicht angekündigte Präfixe, um Hijacking-Versuche und IP-Spoofing zu unterbinden. So erreicht bösartiger Verkehr weder unser Netz noch Ihre Dienste.

Verhinderung von Route Leaks

Um Route Leaks zu verhindern, setzen wir mehrere Schutzmaßnahmen ein:

Präfix-Limits: Für jede BGP-Session sind Präfix-Limits konfiguriert, die zur jeweiligen Peering-Beziehung passen
Filterung von Transit-ASNs: Wir verwerfen Ankündigungen, die Transit-Provider-ASNs im Pfad enthalten, um versehentliche oder böswillige Weiterankündigungen zu verhindern

Diese Maßnahmen schützen sowohl unser Netz als auch das weitere Internet-Routing-Ökosystem davor, falsche Routen zu verbreiten.

Missbrauchsfilterung

Wir filtern aktiv Verkehr von bekannten missbräuchlichen ASNs und IP-Bereichen. Es geht dabei nicht darum, legitime Nutzung einzuschränken, sondern darum, unsere Kundschaft vor böswilligen Akteuren zu schützen und Ihre Dienste online und erreichbar zu halten.

BGP-Communities

Transit-Kunden können BGP-Communities nutzen, um zu steuern, wie wir mit ihren Ankündigungen umgehen. Die vollständige Community-Dokumentation finden Sie auf unserer bgp.tools-Seite:

BGP-Communities von AS210464 ansehen

ASN-Validierungsverfahren

Bevor wir eine BGP-Session mit einem Downstream-Kunden aufbauen, verlangen wir eine ASN-Validierung. Sie brauchen dafür Zugriff auf die registrierten NoC- oder Abuse-Kontaktadressen des ASN, um die Prüfung abzuschließen.

Dieser Schritt stellt sicher, dass Sie das ASN, aus dem Sie ankündigen, tatsächlich kontrollieren. Der Vorgang ist einfach, und wir helfen bei Bedarf gern dabei.

Erkennung und Abwehr von Hijacks

Hijacks dulden wir in unserem Netz nicht, Punkt. Über unser Netz angekündigte ASNs und IP-Bereiche können von automatisierten Systemen und manuell geprüft werden. Wir achten auf Warnsignale wie:

Jüngste WHOIS-Änderungen an Legacy- bzw. älteren Präfixen ohne passende Transfer-Records
Jüngste WHOIS-Änderungen an Legacy- bzw. älteren ASNs ohne passende Transfer-Records
Kürzlich neu registrierte, zuvor abgelaufene Domains in den WHOIS-Daten (besonders wenn die Neuregistrierung nach der letzten WHOIS-Aktualisierung erfolgte)
Ressourcen erloschener Unternehmen oder fusionierter Einheiten, bei denen IP-Raum bzw. ASN nie ordentlich aktualisiert wurde
Weitere Indizien, die Zweifel an der rechtmäßigen Inhaberschaft wecken

Wenn etwas nicht stimmig wirkt, melden wir uns, um es zu besprechen. Unser Ziel ist kein Hürdenlauf, sondern die Gewissheit, dass die über unser Netz angekündigten Ressourcen rechtmäßig Ihnen gehören.

Richtlinie zu Port 25

Standardmäßig ist Port 25 (SMTP) bei allen Diensten gesperrt. Wenn Sie ihn für einen geschäftlichen oder privaten Mailserver benötigen, fragen Sie einfach nach: Wir prüfen Ihre Anfrage und öffnen ihn für den legitimen Betrieb eines Mailservers.

Null Toleranz für Spam: Spam wird in unserem Netz nicht geduldet. Stellen wir Spam-Aktivität fest, wird Port 25 sofort wieder gesperrt, und künftige Anfragen zur erneuten Öffnung lehnen wir ab.

Wir arbeiten hart an einer guten IP-Reputation, helfen Sie uns also, sie zu erhalten.

Fragen zu unseren Richtlinien?

Wir besprechen unsere Routing-Richtlinien jederzeit gern oder helfen Ihnen, Ihre Präfixe richtig zu konfigurieren. Öffnen Sie einfach ein Ticket oder schreiben Sie uns eine E-Mail, wenn Sie Unterstützung brauchen.