Version 329 - Historique - LIR - Aquilenet - L'atelier d'Aquilenet

1

# LIR

2

12

328

https://lirportal.ripe.net/

13

https://www.ripe.net/manage-ips-and-asns

14

https://apps.db.ripe.net/db-web-ui/#

15

16

    whois -i mnt-by fr-aquilenet-1-mnt

17

18

    # Préféré, car retour d'erreur immédiat:

19

    gpg --clearsign updates.txt (will produce updates.txt.asA c)

20

    curl --data-urlencode DATA@updates.txt.asc http://syncupdates.db.ripe.net

21

22

    # Sinon, par mail:

23

    gpg --clearsign updates.txt (will produce updates.txt.asc)

24

    mail -s 'Bulk inetnum update' auto-dbm@ripe.net < updates.txt.asc

25

    # ou alors juste coller dans un mail qu'on signe normalement

26

27

## blabla

28

29

Kazar ferme ses portes, on doit donc trouver un autre LIR. Dans les associatifs, il y a

30

31

  - Gitoyen, qui est LIR pour pas mal d'autres assos de la fédé

32

  - Tetaneutral, qui prône pour la création de nouveaux LIRs

33

  - Web4all, qui n'a pas répondu à nos demandes.

34

35

On a demandé sur la liste membres@ffdn, certaines assos pourraient être intéressées:

36

37

  - Ilico

38

  - AIL-Network (mais plus maintenant: sont en train de se constituer LIR avec CARBODEBIT et WIFI SAINT JULIEN)

39

  - SamesWireless

40

  - tetaneutral peut prendre des parts s'il y a besoin

41

42

Par ailleurs, il y a des discussions en cours au RIPE sur la diminution du préfixe attribué aux LIR, on passerait d'un /22 à un /24:

43

44

https://www.ripe.net/ripe/mail/archives/address-policy-wg/2017-September/012087.html

45

46

On a finalement décidé de devenir LIR

47

48

## Déroulement chronologique

49

50

  - 31/10/17 Demande envoyée, NCC\#2017106202

51

  - 02/11/17 Demande de précisions sur le nom de l'association de la part du RIPE

52

  - 06/11/17 Confirmation enregistrement approuvé ticket 11430

53

  - 13/11/17 Demande du RIPE de confirmation qu'on n'a pas de numéro de TVA

54

  - 14/11/17 Réception de la facture (invoice). **Note:** Malheureusement il y a un délai de 48h pour pouvoir activer un bénéficiaire étranger chez le crédit coop :/ Il aurait fallu demander le numéro de compte plus tôt pour éviter d'attendre.

55

  - 15/11/17 Réception de contrat "RIPE NCC Standard Service Agreement"

56

  - 16/11/17 Règlement invoice

57

  - 17/11/17 Envoi contrat signé via le DHL prépayé.

58

  - 20/11/17 Confirmation par le RIPE du règlement de l'invoice

59

  - 21/11/17 Création de [ORG-AA1915-RIPE](https://apps.db.ripe.net/search/lookup.html?source=ripe&key=ORG-AA1915-RIPE&type=organisation) , [Aquilenet Contact](https://apps.db.ripe.net/search/lookup.html?source=ripe&key=AC35087-RIPE&type=person) , [Abuse-C Role](https://apps.db.ripe.net/search/lookup.html?source=ripe&key=AR43951-RIPE&type=role) , [fr-aquilenet-1-mnt](https://apps.db.ripe.net/search/lookup.html?source=ripe&key=fr-aquilenet-1-mnt&type=mntner)

60

  - 21/11/17 Requête du /22 : Your IPv4 allocation request is created successfully , Ticket 18000 , requête du /29: Your IPv6 allocation request is created successfully, Ticket 18003

61

  - 23/11/17 "Today, the RIPE NCC allocated the following IPv4 prefix: 185.233.100.0/22 to AQUILENET (fr.aquilenet)" , "Today, the RIPE NCC allocated the following IPv6 prefix: 2a0c:e300::/29 to AQUILENET (fr.aquilenet)"

62

  - 23/11/17 Création des objets inetnum et inet6num pour notre usage actuel (2 /24 et un /32)

63

  - 23/11/17 Création des objets route et route6 pour déclarer notre routage par notre AS

64

  - 23/11/17 Création des objets domain pour configurer le RDNS

65

66

  - DONE: obtenir d'Anteor qu'il

67

68

* Passe AS198985 sur notre mnt (fr-aquilenet-1-mnt)

69

70

* Passe la person Alexandre Borrut AB25125-RIPE sur notre mnt (fr-aquilenet-1-mnt)

71

* Transfère AS198985 à notre LIR ORG-AA1915-RIPE, procédure https://my.ripe.net/#/update-registry/provide-details?onBehalfOfEndUser=false\&updateRegistryRequestType=transfer , https://www.ripe.net/manage-ips-and-asns/resource-transfers-and-mergers/required-documents-for-registry-updates https://www.ripe.net/manage-ips-and-asns/resource-transfers-and-mergers/transfers/transfer-agreement-template

72

73

* Didier clapier dit que ça serait plutôt https://www.ripe.net/manage-ips-and-asns/resource-management/number-resources/independent-resources/information-on-independent-resources-for-end-users

74

75

## Objets RIPE

76

77

Liste de nos objets:

78

79

    whois -i mnt-by fr-aquilenet-1-mnt

80

81

  - LIR [ORG-AA1915-RIPE](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=ORG-AA1915-RIPE&type=organisation)

82

  - mnter [fr-aquilenet-1-mnt](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=fr-aquilenet-1-mnt&type=mntner)

83

  - role [AR43951-RIPE](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=AR43951-RIPE&type=role)

84

  - role [AC35116-RIPE](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=AC35116-RIPE&type=role)

85

  - person Aquilenet Contact [AC35087-RIPE](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=AC35087-RIPE&type=person)

86

  - person Alexandre Borrut [AB25125-RIPE](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=AB25125-RIPE&type=person)

87

  - person Samuel Thibault [ST11379-RIPE](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=ST11379-RIPE&type=person)

88

  - key-cert [PGPKEY-7D069EE6](https://apps.db.ripe.net/db-web-ui/#/webupdates/display/RIPE/key-cert/PGPKEY-7D069EE6)

89

  - aut-num [AS198985](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=AS198985&type=aut-num)

90

  - inetnum [185.233.100.0/22](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=185.233.100.0%20-%20185.233.103.255&type=inetnum)

91

  - inetnum [185.233.100.0/23](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=185.233.100.0%20-%20185.233.101.255&type=inetnum)

92

  - inetnum [185.233.100.0/24](https://apps.db.ripe.net/db-web-ui/#/myresources/detail/inetnum/185.233.100.0%2520-%2520185.233.100.255)

93

  - inetnum [185.233.101.0/24](https://apps.db.ripe.net/db-web-ui/#/myresources/detail/inetnum/185.233.101.0%2520-%2520185.233.101.255)

94

  - inetnum [185.233.102.0/26](https://apps.db.ripe.net/db-web-ui/#/myresources/detail/inetnum/185.233.102.0%2520-%2520185.233.102.63)

95

  - inet6num [2a0c:e300::/29](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=2a0c:e300::%2F29&type=inet6num)

96

  - inet6num [2a0c:e300::/32](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=2a0c:e300::%2F32&type=inet6num)

97

  - route [185.233.100.0/22](https://apps.db.ripe.net/db-web-ui/#/webupdates/display/RIPE/route/185.233.100.0%252F22AS198985)

98

  - route6 [2a0c:e300::/29](https://apps.db.ripe.net/db-web-ui/#/webupdates/display/RIPE/route6/2a0c%253Ae300%253A%253A%252F29AS198985)

99

  - domain [100.233.185.in-addr.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=100.233.185.in-addr.arpa&type=domain)

100

  - domain [101.233.185.in-addr.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=101.233.185.in-addr.arpa&type=domain)

101

  - domain [102.233.185.in-addr.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=102.233.185.in-addr.arpa&type=domain)

102

  - domain [103.233.185.in-addr.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=103.233.185.in-addr.arpa&type=domain)

103

  - domain [0.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=0.0.3.e.c.0.a.2.ip6.arpa&type=domain)

104

  - domain [1.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=1.0.3.e.c.0.a.2.ip6.arpa&type=domain)

105

  - domain [2.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=2.0.3.e.c.0.a.2.ip6.arpa&type=domain)

106

  - domain [3.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=3.0.3.e.c.0.a.2.ip6.arpa&type=domain)

107

  - domain [4.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=4.0.3.e.c.0.a.2.ip6.arpa&type=domain)

108

  - domain [5.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=5.0.3.e.c.0.a.2.ip6.arpa&type=domain)

109

  - domain [6.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=6.0.3.e.c.0.a.2.ip6.arpa&type=domain)

110

  - domain [7.0.3.e.c.0.a.2.ip6.arpa](https://apps.db.ripe.net/db-web-ui/#/lookup?source=ripe&key=7.0.3.e.c.0.a.2.ip6.arpa&type=domain)

111

112

Tout se passe maintenant sur https://lirportal.ripe.net https://www.ripe.net/manage-ips-and-asns https://apps.db.ripe.net/db-web-ui/#

113

118

328

119

  - {background:lightgreen} DONE : mise à jour bgpd.conf

120

  - {background:lightgreen} DONE : mise à jour bgpd blackhole

121

  - {background:lightgreen} DONE : mise à jour bgpd nlnog =\> mail

122

  - {background:lightgreen} DONE : mise à jour firewall

123

  - {background:lightgreen} DONE : mise à jour RDNS

124

  - {background:lightgreen} DONE : mise à jour carp cerbere

125

  - {background:lightgreen} DONE : mise à jour scripts Xen

126

  - mise à jour des machines une par une... configuration /etc/network/interfaces, firewall, conf serveurs

127

  - VMs Apollon

128

      - acaqb =\> mail

129

      - {background:lightgreen} DONE : agatas-aqui-vm1 =\> mail

130

      - <span style="background:lightgreen;">DONE agatasTeT =\> mail</span>

131

      - {background:lightgreen} DONE : alcyon \[04/12/17 - 23:25\]

132

      - ~~ate~~

133

      - bayonnet =\> mail

134

      - bayonnet2 =\> mail

135

      - {background:lightgreen} DONE : cpprod

136

      - {background:lightgreen} DONE cpprod-dev

137

      - {background:lightgreen} DONE :dev-cortex =\> mail

138

      - ~~dev-iidre =\> mail~~

139

      - {background:lightgreen} DONE :dev-sacha

140

      - {background:lightgreen} DONE: dionysos

141

      - {background:lightgreen} DONE :duniter

142

      - ecce-info

143

      - {background:lightgreen} DONE :embedded-freedom =\> mail

144

      - {background:lightgreen} DONE :f1te =\> mail

145

      - {background:lightgreen} DONE : griffith =\> mail

146

      - {background:lightgreen} DONE : guilarr =\> mail

147

      - ~~guzel~~

148

      - {background:lightgreen} DONE hades (à finir en dernier pour garder les IPs DNS récursif disponibles)

149

      - {background:lightgreen} DONE :hermes

150

      - {background:lightgreen} DONE iidre

151

      - {background:lightgreen} DONE iris

152

      - {background:lightgreen} DONE janus

153

      - motv =\> mail

154

      - {background:lightgreen} DONE : natha =\> mail

155

      - {background:lightgreen} DONE neutral

156

      - {background:lightgreen} DONE nlnog =\> mail

157

      - {background:lightgreen} DONE : sanssoucis =\> mail

158

      - {background:lightgreen} DONE : tchaikovski =\> irc fx

159

      - {background:lightgreen} DONE : tdn =\> mail

160

      - ~~test~~ \<= ???

161

      - ~~triton~~

162

      - tyche

163

      - {background:lightgreen} DONE : web.openbeelab

164

  - VMs artemis

165

      - {background:lightgreen} DONE : athena (à finir en dernier pour garder la supervision)

166

      - {background:lightgreen} DONE : demeter

167

      - {background:lightgreen} DONE : eos

168

      - {background:lightgreen} DONE : gaia (à finir en dernier pour garder les IPs DNS récursif disponibles)

169

      - {background:lightgreen} DONE hera (à finir en dernier pour le ldap & such)

170

      - {background:lightgreen} DONE hestia

171

      - {background:lightgreen} DONE labx-ipmi =\> mail

172

      - {background:lightgreen} DONE persephone

173

      - ~~test~~

174

  - Elidee =\> mail+ relance 21/12

175

  - {background:lightgreen} DONE : Sayanet

176

  - ENCOURS: Zeus

177

  - Guix =\> mail (machine pas au dc en ce moment)

178

  - {background:lightgreen} DONE : Poseidon

179

  - {background:lightgreen} DONE : L@BX

180

  - {background:lightgreen} DONE : PDU 7920

181

  - PDU 7821: pas réussi à m'y connecter: mot de passe invalide...

182

  - {background:lightgreen} DONE : styx

183

  - mise à jour des VPNs: nouvelles IPs activées, on attend les confirmations des gens avant de les basculer sur la nouvelle IP

184

  - {background:lightgreen} DONE : corriger doc compta IP fixe VPN

185

  - {background:lightgreen} DONE : mise à jour dhcp

186

  - mise à jour DNS au fur et à mesure, refaire une passe complète pour vérifier.

187

  - {background:lightgreen} DONE Prévenir les abonnés qu'on a changé le DNS: ce n'est plus 141.255.128.100 / 101, mais 185.233.100.100 / 101

188

  - Finir de corriger le wiki

189

190

## Mise à jour d'une VM

191

192

Tout le réseau 141.255.128.0/24 devient 185.233.100.0/24 et 2a01:474::/32 devient 2a0c:e300::/32

193

194

Dans cet exemple, on travaille sur la VM gaia (141.255.128.2 -\> 185.233.100.2)

195

196

### Conf réseau

197

198

Pour une transition en douceur, on peut dans un premier temps juste ajouter la nouvelle IP à côté de l'ancienne. Sous Debian, on peut par exemple ajouter à /etc/network/interfaces:

199

200

    auto eth0:1

201

    iface eth0:1 inet static

202

     address 185.233.100.2

203

     #gateway 185.233.100.126

204

     netmask 255.255.255.128

205

    iface eth0:1 inet6 static

206

     address 2a0c:e300::2

207

     #gateway 2a0c:e300::126

208

     netmask 48

209

210

et lancer `ifup eth0:1` pour avoir la nouvelle IP.

211

212

Si ce n'est pas déjà fait, il faut corriger `/etc/resolv.conf`:

213

214

    nameserver 185.233.100.100

215

    nameserver 185.233.100.101

216

    nameserver 80.67.169.12

217

    nameserver 2a0c:e300::100

218

    nameserver 2a0c:e300::101

219

220

Si ce n'est pas déjà fait, il faut corriger `/etc/nagios/nrpe.d/aquilenet.cfg` le `allowed_hosts` et lancer `service nagios-nrpe-server reload`

221

222

Si ce n'est pas déjà fait, il faut corriger `/etc/hosts` pour mettre le nom de la machine elle-même sur la nouvelle IP aussi.

223

224

Si ce n'est pas déjà fait, il faut corriger l'IP dans `/etc/motd`

225

226

### Conf firewall

227

228

Il faut éventuellement corriger le firewall, typiquement corriger `/etc/iptables/rules*` et relancer `netfilter-persistent start` ou `/etc/init.d/iptables-persistent start`

229

230

### Conf service

231

232

On peut alors vérifier que les services de la VM sont accessibles avec la nouvelle IP: dans /etc/hosts sur son propre ordi, on peut mettre

233

234

    185.233.100.2 www.aquilenet.fr

235

    2a0c:e300::2 www.aquilenet.fr

236

237

et vérifier que ça fonctionne bien à la fois en v4 et v6. Ça peut ne pas fonctionner si le service est bindé explicitement sur les anciennes IP (cas de bind9 par exemple), il faut alors binder sur à la fois les anciennes et les nouvelles. En général on écoute sur toutes les IPs donc pas de souci. On peut le vérifier assez facilement avec netstat:

238

239

    netstat -Ainet -Ainet6 -anp | grep LISTEN

240

241

Si ça indique 0.0.0.0 et :: c'est que ça écoute sur toutes les IPs. Si c'est 141.255.128.x, c'est qu'il écoute explicitement sur les IPs, et il faut configurer ça. S'il y a du 127.0.0.1 ou ::1, c'est normal, c'est les services en interne seulement. Cette même commande permet de vérifier facilement que le service écoute maintenant sur les nouvelles IPs aussi :)

242

243

On peut aussi faire un gros `grep -r 141.255.128 /etc` et `grep -ri 2a01:474 /etc`

244

245

### Basculement DNS

246

247

Une fois qu'on est sûr que le service fonctionne sur la nouvelle IP, on peut basculer dans DNS: sur gaia, /etc/ns2/db.aquilenet, changer les IPv4 et v6 (chercher \[:.\]2$ par exemple), mettre à jour le serial, et lancer `service ns2 reload` . IL faut au même moment regarder l'heure: le TTL est par défaut 28800s, donc 8h, donc pendant 8h il peut y avoir des machines qui ont encore en cache l'ancien enregistrement DNS.

248

249

Bien sûr, s'il y a d'autres nom de domaines hors aquilenet.fr qui pointent sur nos IPs, il faut les mettre à jour aussi...

250

251

### Supervision shinken

252

253

Sans attendre, sur athena, dans /etc/shinken/hosts/aquilenet/aquilenet.cfg, corriger l'adresse, et faire un `service shinken reload`

254

255

### Fin conf réseau

256

257

Noter dans la liste des VMs ci-dessus la date et heure de basculement DNS

258

259

8h après le basculement DNS, le TTL est expiré, personne n'est plus censé utiliser l'ancienne IP, on peut alors la supprimer, en virant la section eth0 et en renommant eth0:1 en eth0 et en décommentant les lignes gateway et un ptit reboot est utile pour être sûr que ça fonctionne vraiment au poil.

260

261

## VPN

262

263

Tout le réseau 141.255.130.0/24 devient 185.233.101.0/24 et 2a01:474::/32 devient 2a0c:e300::/32

264

265

Pour ceux qui ont des IPs fixes, on préfère éviter de leur changer la configuration de manière impromptue. On a donc pour l'instant mis (par exemple pour le VPN 42):

266

267

    ifconfig-push 141.255.130.42 255.255.255.0

268

    push route-gateway 141.255.130.254

269

    iroute 185.233.101.42

270

    ifconfig-ipv6-push 2a01:474:4:42:: 2a01:474:4:80::1

271

    iroute-ipv6 2a01:474:4:42::/64

272

    iroute-ipv6 2a0c:e300:4:42::/64

273

274

Ce qui permet de faire fonctionner à la fois l'ancienne et la nouvelle IP, même si c'est encore l'ancienne qui est configurée automatiquement par openvpn côté client (on est obligé de forcer le route-gateway car malgré le ifconfig-push cet idiot d'openvpn utilise pour route-gateway l'IP du serveur dans 185.233.101.0/24...). L'abonné peut utiliser de son côté

275

276

    ip addr add dev tun0 185.233.100.42

277

278

pour activer à la main la nouvelle IP, puis vérifier que l'on peut effectivement accéder à son serveur avec la nouvelle IP. Une fois confirmé, on peut basculer sur la nouvelle IP:

279

280

    ifconfig-push 185.233.101.42 255.255.255.0

281

    iroute 141.255.130.42

282

    ifconfig-ipv6-push 2a0c:e300:4:42:: 2a0c:e300:4:80::1

283

    iroute-ipv6 2a01:474:4:42::/64

284

    iroute-ipv6 2a0c:e300:4:42::/64

285

286

i.e. on bascule ifconfig-push, on enlève push route-gateway, on bascule iroute, et on bascule ifconfig-ipv6-push. On ne touche pas à iroute-ipv6: on garde les deux routes pour l'instant.

287

288

Et une fois que l'adhérent n'utilise plus l'ancienne IP (parce que le TTLS DNS de ses noms de domaine est expiré par exemple), on peut virer l'ancienne IP:

289

290

    ifconfig-push 185.233.101.42 255.255.255.0

291

    ifconfig-ipv6-push 2a0c:e300:4:42:: 2a0c:e300:4:80::1

292

    iroute-ipv6 2a0c:e300:4:42::/64

293

294

i.e. on enlève les iroute et iroute-ipv6 vers les anciennes IPs

Projet

Général

Profil

Aquilenet

LIR » Historique » Version 329