TPSA nullroutuje nie swoje IP

Grzegorz Janoszka

unread,

Oct 22, 2008, 5:45:11 PM10/22/08

to

Wiele razy widziałem, że jakieś organizacje walczące w imieniu
przymierających głodem artystów blokowały IP/domeny hostujące torrenty i
inny terrorystyczny content. Ale pierwszy raz widzę, żeby robiła to sama
TPSA.

Jeden z moich IP (nie polski) został zablokowany w TPSA. France Telecom
i Telia bez problemu rutują do tego IP, a strona lg.tpnet.pl podaje:

Type escape sequence to abort.
Tracing the route to hosted-by.leaseweb.com (62.212.X.Y)

1 * * *
2 * * *
3 * * *
4 * * *
5 * * *
6 * * *
7 * * *
8 * * *
9 * * *
10 * * *
11 * * *
12 * * *
13 * * *

A sh ip bg z tejże stronki podaje:

BGP routing table entry for 62.212.X.Y/32, version 345220424
Paths: (1 available, best #1, not advertised to EBGP peer)
Not advertised to any peer
65444
80.50.231.205 from 80.50.231.205 (213.25.2.10)
Origin IGP, localpref 100, valid, internal, best
Community: 5617:997 5617:3322 65444:65444 no-export
Originator: 213.25.2.238, Cluster list: 91.0.2.1, 22.0.0.4, 22.0.3.1

W internecie nie mogę zbyt wiele znaleźć informacji o tym prywatnym AS i
dziwnym community 65444:65444. Znalazłem za to to:
http://lg.tpnet.pl/zasady_bgp.html i zdanie:

"5617:997 - blackholing community - ma zastosowanie jedynie dla tras
\32 peerów rozgłaszających pojedynczy AS."

Zaraz napiszę do registrymałpatepsa, ale przy okazji - miał ktoś podobne
doświadczenia? Że został zablokowany przez tepsę? Jak to się udawało
rozwiązać?

--
Grzegorz Janoszka

Tomasz Śląski

unread,

Oct 22, 2008, 7:10:29 PM10/22/08

to

Użyszkodnik Grzegorz Janoszka napisał:

> Tracing the route to hosted-by.leaseweb.com (62.212.X.Y)

Daj na priv dokładny adres, sprawdzę od siebie co i jak.

--
TOM

Jan Strybyszewski

unread,

Oct 23, 2008, 12:40:53 AM10/23/08

to

Grzegorz Janoszka pisze:

>
> Wiele razy widziałem, że jakieś organizacje walczące w imieniu
> przymierających głodem artystów blokowały IP/domeny hostujące torrenty i
> inny terrorystyczny content. Ale pierwszy raz widzę, żeby robiła to sama
> TPSA.

Nauczyli sie blackholingu :) zawsze mozesz zlozyc reklamacje
>

Grzegorz Janoszka

unread,

Oct 23, 2008, 5:39:07 AM10/23/08

to

Ale ja nie jestem klientem TPSA, a oni blokują mój adres. Sugerujesz, że
mam zadzwonić na błękitną i przez 90 minut tłumaczyć pani, że
znullroutowali mój IP rozgłaszając prefiks /32 po swojej sieci? :)

--
Grzegorz Janoszka

Grzegorz Janoszka

unread,

Oct 23, 2008, 5:44:08 AM10/23/08

to

Tomasz Śląski wrote:
>> Tracing the route to hosted-by.leaseweb.com (62.212.X.Y)
> Daj na priv dokładny adres, sprawdzę od siebie co i jak.

Nullroute zniknął. Niemniej uważam takie coś za terroryzm sieciowy:

"Zapłaćcie nam E1000000 bo inaczej znullroutujemy wasze IP w sieciach
największych telekomów Europy/świata i zajmie wam miesiące na odkrycie
tego, kto, gdzie i za co"

Ktoś kogoś nazwał na ircu "grubasem" i ten ktoś nullroutuje jego IP w
sieci obsługującej miliony Polaków?

--
Grzegorz Janoszka

bo...@nano.pl

unread,

Oct 23, 2008, 6:01:24 AM10/23/08

to

Grzegorz Janoszka napisał(a):

Zadzwon, nagraj rozmowe, bedzie ciekawie.

wer

Konrad Plich

unread,

Oct 23, 2008, 6:30:10 AM10/23/08

to

Użytkownik "Grzegorz Janoszka" <Grze...@nie-lubie-spamu.Janoszka.pl>
napisał w wiadomości news:gdph18$acd$1...@news.onet.pl...

> Tomasz Śląski wrote:
>>> Tracing the route to hosted-by.leaseweb.com (62.212.X.Y)
>> Daj na priv dokładny adres, sprawdzę od siebie co i jak.
>
> Nullroute zniknął. Niemniej uważam takie coś za terroryzm sieciowy:

Obrona uzytkowników sieci przed zagrożeniami związanymi z sieciami botnet to
jest obrona a nie terroryzm.

>
> "Zapłaćcie nam E1000000 bo inaczej znullroutujemy wasze IP w sieciach
> największych telekomów Europy/świata i zajmie wam miesiące na odkrycie
> tego, kto, gdzie i za co"

O płaceniu nie słyszałem :-) Zwykle wystarcza napisać do ab...@tpnet.pl i
obiecać że zagrożenie ustało.
Nawet bez pisania po jakims czasie jesli zagrożenie zniknie dany IP zostaje
odblokowany.

>
> Ktoś kogoś nazwał na ircu "grubasem" i ten ktoś nullroutuje jego IP w
> sieci obsługującej miliony Polaków?

Nie używam IRCA i zbyt tłusty nie jestem więc osobiście nie czuje sie
urażony ;-)

Konrad Plich

Jan Strybyszewski

unread,

Oct 23, 2008, 7:24:37 AM10/23/08

to

Grzegorz Janoszka pisze:

Coz nikt nie gwarantuje routingu do wszystkich sieci.
Musisz znalesc klienta w TPSA ktory zlozy reklamacje

>

--
Portal edukacyjny o inwestowaniu - http://www.inwestowanie.org.pl/

Jan Strybyszewski

unread,

Oct 23, 2008, 7:25:44 AM10/23/08

to

Grzegorz Janoszka pisze:

> Tomasz Śląski wrote:
>>> Tracing the route to hosted-by.leaseweb.com (62.212.X.Y)
>> Daj na priv dokładny adres, sprawdzę od siebie co i jak.
>
> Nullroute zniknął. Niemniej uważam takie coś za terroryzm sieciowy:

Bardzo ciekawe szczegolnie ze mowisz o serwerze z piractwem :)

> Ktoś kogoś nazwał na ircu "grubasem" i ten ktoś nullroutuje jego IP w
> sieci obsługującej miliony Polaków?

Nie mamy panskiego plaszcza jak sie ma takich klientow to sie ponosi
konsekwencje

futszaK

unread,

Oct 23, 2008, 8:08:18 AM10/23/08

to

Jan Strybyszewski wrote:

> > Nullroute zniknął. Niemniej uważam takie coś za terroryzm sieciowy:
> Bardzo ciekawe szczegolnie ze mowisz o serwerze z piractwem :)

przy obecnym stanie techniki piractwo było, jest i będzie, czy się to
komuś podoba czy nie, zaś różnego rodzaju działania tych od antypiractwa
wydają się zwyczajnie śmieszne

--
Tomasz Kruk
http://net.czarne.net - zapraszamy do współpracy okolicznych operatorów

Grzegorz Janoszka

unread,

Oct 23, 2008, 9:02:36 AM10/23/08

to

Konrad Plich wrote:
> O p³aceniu nie s³ysza³em :-) Zwykle wystarcza napisaæ do ab...@tpnet.pl i
> obiecaæ ¿e zagro¿enie usta³o.

Sprawa wyjaśniona, ale niestety oglądając samo bgp/communities człowiek
nie dojdzie do tego, że to było jakiekolwiek nadużycie, że było
jakiekolwiek zagrożenie - po prostu nic nie wie. Widzi tylko, że ktoś
gdzieś zablokował jego IP. Sugeruję lepsze opisanie community 5617:997,
tak by było widać, że to automatyczna blokada, która minie, a jak nie
minie, to pisać do Andrzeja Buse.
A skojarzyłem to z organizacjami dokarmiającymi głodujących artystów, bo
najczęściej mamy takie przypadki, że oni blokują IP. Bo tak.

--
Grzegorz Janoszka

Konrad Plich

unread,

Oct 24, 2008, 1:59:11 AM10/24/08

to

Użytkownik "Grzegorz Janoszka" <Grze...@nie-lubie-spamu.Janoszka.pl>
napisał w wiadomości news:gdpslc$l9i$1...@news.onet.pl...
> Konrad Plich wrote:
>> O p3aceniu nie s3ysza3em :-) Zwykle wystarcza napisaa do ab...@tpnet.pl i
>> obiecaa ?e zagro?enie usta3o.

>
> Sprawa wyjaśniona, ale niestety oglądając samo bgp/communities człowiek
> nie dojdzie do tego, że to było jakiekolwiek nadużycie, że było
> jakiekolwiek zagrożenie - po prostu nic nie wie. Widzi tylko, że ktoś
> gdzieś zablokował jego IP. Sugeruję lepsze opisanie community 5617:997,
> tak by było widać, że to automatyczna blokada, która minie, a jak nie
> minie, to pisać do Andrzeja Buse.

Słuszna uwaga. Poprawiliśmy opis na http://lg.tpnet.pl/zasady_bgp.html

Konrad Plich

Michal Jankowski

unread,

Oct 24, 2008, 3:18:06 AM10/24/08

to

"Konrad Plich" <konradpl@wytnij_piotrkow.tpsa.pl> writes:

> Słuszna uwaga. Poprawiliśmy opis na http://lg.tpnet.pl/zasady_bgp.html

To jest ten poprawiony opis?

---
5617:997 - blackholing community - klienci BGP rozgłaszający
pojedynczy AS mogą go ustwiać samodzielnie dla tras \32 peerów. W
przypadku zaistnienia wątpliwości co do podjętych działań, prosimy o
kontakt z zespołem TP CERT
---

Ja tego tekstu nie rozumiem w ogóle.

Przecież powinno być napisane, że routing jest PRZEZ WAS wrzucany w tę
czarną dziurę z powodów takich a takich, a nie zdanie sugerujące, że
to klienci sobie sami ustawiają. Co to jest "\32 peerów"?

Poza tym powinien być jakiś sposób odpytania, dlaczego akurat ten
adres został zablokowany.

MJ

Przemek Jaroszewski

unread,

Oct 24, 2008, 6:26:50 AM10/24/08

to

futszaK pisze:

> Jan Strybyszewski wrote:
>
>>> Nullroute zniknął. Niemniej uważam takie coś za terroryzm sieciowy:
>> Bardzo ciekawe szczegolnie ze mowisz o serwerze z piractwem :)
>
> przy obecnym stanie techniki piractwo było, jest i będzie, czy się to
> komuś podoba czy nie, zaś różnego rodzaju działania tych od antypiractwa
> wydają się zwyczajnie śmieszne

Nie samym piractwem LeaseWeb stoi :) Jeżeli tak Pana Grzegorza boli
nullroutowanie LeaseWebu, zapraszamy do CERT Polska - tutaj historia tej
hostowni jest dużo dłuższa i ciekawsza. Zresztą jej kopia powinna
znajdować się na skrzynce "abuse" do której chyba powinien Pan mieć
dostęp, zachęcam do lektury.
Terroryzmem i zorganizowaną przestępczością jest w wielu przypadkach
content na tych serwerach a nie odcinanie się od niego.

--
Pozdrawiam
Przemek

Przemek Jaroszewski

unread,

Oct 24, 2008, 6:31:39 AM10/24/08

to

Grzegorz Janoszka pisze:

Sugerujesz, że każdy ma obowiązek umożliwiać dostęp do wszystkiego, co
ktoś w Internecie wrzuci? Wiem, wsadzę kij w mrowisko, ale jeśli ktoś
umieści dziecięcą pornografię to należy każdemu ułatwić dostęp do niej?
A może ktoś nie życzy sobie żeby jego klienci mieli dostęp do
kontrolerów botnetów? A może RBN powinien szczęśliwie istnieć i kwitnąć?
Czujesz, że granica cierpliwości jeśli nawet trudna do ustalenia to
gdzieś jednak istnieje? Może lepiej sprzątać na swoim podwórku tak, żeby
być po jej właściwej stronie?

--
Pozdrawiam
Przemek

Przemek Jaroszewski

unread,

Oct 24, 2008, 7:09:46 AM10/24/08

to

Przemek Jaroszewski pisze:

> Nie samym piractwem LeaseWeb stoi :) Jeżeli tak Pana Grzegorza boli
> nullroutowanie LeaseWebu, zapraszamy do CERT Polska - tutaj historia tej
> hostowni jest dużo dłuższa i ciekawsza.

Aha, no i żeby nie było... Z całego LeaseWebu nullroutowane było/jest
kilka bardzo konkretnych i umotywowanych hostów :>

--
Pozdrawiam
Przemek

Jacek Zapala

unread,

Oct 24, 2008, 7:09:51 AM10/24/08

to

On Fri, 2008-10-24 at 12:26 +0200, Przemek Jaroszewski wrote:
> futszaK pisze:

> > przy obecnym stanie techniki piractwo było, jest i będzie, czy się to
> > komuś podoba czy nie, zaś różnego rodzaju działania tych od antypiractwa
> > wydają się zwyczajnie śmieszne
>
> Nie samym piractwem LeaseWeb stoi :) Jeżeli tak Pana Grzegorza boli
> nullroutowanie LeaseWebu, zapraszamy do CERT Polska - tutaj historia tej
> hostowni jest dużo dłuższa i ciekawsza. Zresztą jej kopia powinna
> znajdować się na skrzynce "abuse" do której chyba powinien Pan mieć
> dostęp, zachęcam do lektury.
> Terroryzmem i zorganizowaną przestępczością jest w wielu przypadkach
> content na tych serwerach a nie odcinanie się od niego.
>

A dla mniej zorientowanych dodam, że nie chodzi tu o filmy leżące w
katalogu udostępnianym w jakiejś sieci p2p tylko o sprawy znacznie
grubsze.
I należy zdecydowanie pochwalić politykę ISP chroniącego swoich klientów
(a także innych przed swoimi klientami).

--
Pozdrawiam,
Jacek Zapała

Jacek Zapala

unread,

Oct 24, 2008, 7:13:02 AM10/24/08

to

On Fri, 2008-10-24 at 13:09 +0200, Przemek Jaroszewski wrote:
> Aha, no i żeby nie było... Z całego LeaseWebu nullroutowane było/jest
> kilka bardzo konkretnych i umotywowanych hostów :>

Nasuwa się pytanie, czemu LeaseWeb się nimi skutecznie nie zajął.

--
Jacek

Michal Jankowski

unread,

Oct 24, 2008, 7:14:40 AM10/24/08

to

Jacek Zapala <ja...@it.pl> writes:

> A dla mniej zorientowanych dodam, że nie chodzi tu o filmy leżące w
> katalogu udostępnianym w jakiejś sieci p2p tylko o sprawy znacznie
> grubsze.

Mianowicie?

MJ

Jan Strybyszewski

unread,

Oct 24, 2008, 7:32:24 AM10/24/08

to

Michal Jankowski pisze:

Malware, kontroler botneta pewnie cos z tego

Michal Jankowski

unread,

Oct 24, 2008, 7:36:25 AM10/24/08

to

Jan Strybyszewski <gdz...@w.pl> writes:

> Malware, kontroler botneta pewnie cos z tego

Znaczy ja sie domyslam z wczeniejszych postow, ze w tym konkretnym
przypadku nie chodzilo o nazwanie kogos grubasem na ircu, tylko o
serwer irca sluzacy do sterowania botnetem, tylko po prostu jakos
slowo "content" mi do tego nie pasowalo 8-).

MJ

Marcin Kulas

unread,

Oct 24, 2008, 4:17:08 PM10/24/08

to

Konrad Plich wrote:
>
> Obrona uzytkowników sieci przed zagro?eniami zwi?zanymi z sieciami botnet to

> jest obrona a nie terroryzm.

Nurtuje mnie jedna kwestia. TP nadaje dość licznej grupie swoich klientów
dynamiczne IP. Z tych dynamicznych IP łączą się m.in. abuserzy, którzy
rozrabiają na IRC. Admini serwerów IRC dwoją się i troją, by ich wycinać,
ale to jak rzucanie się z motyką na słońce. Zamiast wyciąć całą neostradę,
zaciskają zęby i obsługują każdy incydent indywidualnie i doraźnie, bo nie
chcą wylewać dziecka z kąpielą. W ramach podziękowań TP nullroutuje IP
serwerów ircd[*1], bo przecież to one są źródłem dzikich botnetów, a nie
dzieci neostrady. Gdzie tu sens? Gdzie logika? Choćbym nie wiem jak się
starał tego nie powiedzieć, na usta ciśnie mi się słowo: hipokryzja.

Oczywiście to tylko jeden z wielu przypadków, w których Cygan zawinił,
a kowala powiesili.

Mam pytanie, jak najbardziej szczere. Co stoi na przeszkodzie, by TP
nadawała stałe adresy IP klientom? Dlaczego tak bardzo utrudniacie
(nie odbierz tego personalnie) innym usuwanie abuserów z sieci, a sami
lekką ręką wycinacie innych, niekoniecznie bezpośrednio winnych,
w obrębie swojego ASa?

A może misją TP jest jednak utworzenie dużego intranetu i odcięcie
się od innych operatorów? Tylko, że wtedy gros abuserii znajdzie sobie
inny target, wewnątrz sieci i problem nadal pozostanie nierozwiązany.

Czy ktoś z CERT-u mógłby porozmawiać na ten temat z rozumiejącymi
techniczne kwestie (czyt. nie biurokratami) ludźmi z TP, by ci potem
przetłumaczyli problem wyższym warstwom? I czy ci techniczni ludzie
z TP w ogóle zechcą podjąć ryzyko wyjaśnienia istoty problemu swoim
przełożonym?

Alternatywą jest chyba tylko bojkot klientów TP i głosowanie nogami.

[*1] Żeby nie było gołosłownie, podaję kilka przykładów:

BGP routing table entry for 149.156.124.222/32, version 346112830

Paths: (1 available, best #1, not advertised to EBGP peer)
Not advertised to any peer

3402