Trois ans de location, puis la bascule
Entre 2021 et 2023, comme la plupart des hébergeurs de notre taille, nous louions nos adresses IP à nos fournisseurs de transit. C'était le bon choix à l'époque : démarrer vite, valider le modèle, ne pas immobiliser du capital dans un actif aussi cher qu'un /24 IPv4. Mais cette location avait un coût invisible, que beaucoup de clients découvrent à leurs dépens : la réputation d'une plage partagée.
Quand vous louez une plage à un upstream, vous héritez de son historique complet. Si un spammeur a squatté la même /24 en 2019, si un bloc entier apparaît sur la ROKSO ou si un locataire voisin envoie des dizaines de milliers de requêtes abusives, vos mails partent en spam et vos API se retrouvent derrière des captchas — sans que vous ayez rien fait. Nous avons passé assez de tickets auprès de clients en 2022 et 2023 pour décider que ce risque ne nous appartenait plus.
Le 28 mars 2024, nous avons basculé nos plages propres sous AS216455. Cet article raconte pourquoi, et comment s'est déroulé le processus RIPE de juin 2023 à mars 2024.
Un AS, concrètement, c'est quoi ?
Un Autonomous System est un réseau qui contrôle sa propre politique de routage. On lui attribue un numéro (ASN) auprès d'un registre Internet régional — chez nous, le RIPE NCC, qui couvre l'Europe, le Moyen-Orient et une partie de l'Asie centrale. Grâce au protocole BGP, ce réseau annonce ses plages d'adresses IP (ses « préfixes ») à ses voisins, et le reste de l'Internet apprend ainsi à joindre ses serveurs.
La distinction qui compte pour vous, client : un hébergeur « loueur » annonce des IP qu'il ne contrôle pas, au sein du système d'un tiers. Un hébergeur « AS propre » annonce des IP qu'il possède administrativement, sous son propre numéro. Le jour où un transit ne convient plus, où un datacenter change de politique, l'AS propre repart ailleurs avec ses adresses. Le loueur, lui, doit tout changer — ou tout subir.
« Les IP sont le réseau. Tout le reste se remplace en un week-end. » — note interne du dossier de décision, juin 2023
Quatre raisons de tenir son propre numéro
1. La réputation IP, sous notre contrôle exclusif
Une plage propre, c'est une page blanche — à condition de la garder blanche. Nous savons exactement quelles IP sont attribuées, à quelle date, et notre supervision surveille chaque /24 contre les blocklists publiques majeures (Spamhaus PBL/SBL/XBL, Barracuda, UCEPROTECT). Si une IP est listée à tort ou à raison, nous la remplaçons gratuitement sur simple ticket ; si elle est listée à raison, le client concerné passe par la procédure d'abus. Le périmètre est clos : personne d'autre ne salit notre plage, et nous ne laissons personne salir la vôtre.
2. La résilience : changer d'upstream sans changer d'IP
AS216455 est aujourd'hui multi-homé sur trois transits indépendants, plus une session de peering en test. Si l'un d'eux dégrade, filtre abusivement ou subit une panne, nous retirons ses sessions et le trafic suit les autres — sans que votre adresse IP change, donc sans coupure de service pour vos utilisateurs. C'est la différence fondamentale entre « hébergé chez X » et « joignable par X ».
3. RPKI et ROA : signer nos annonces BGP
Sans RPKI, n'importe quel opérateur négligent ou malintentionné peut annoncer nos préfixes à notre place et détourner le trafic — une attaque par hijack BGP, classique et encore trop facile. Avec des ROA (Route Origin Authorizations) signées chez le RIPE NCC, les réseaux qui appliquent la ROV (Route Origin Validation) rejettent toute annonce de nos préfixes émise par un numéro d'AS qui n'est pas le nôtre. Nos ROA sont à maxLength 24 pour les IPv4 et 48 pour l'IPv6, sans exception ni trou : ce que nous annonçons, nous le signons, point.
4. L'indépendance, y compris face aux pressions
Un transit unique, c'est un point de pression unique : plainte abusive, malentendu juridique, décision commerciale — il suffit d'un filtrage unilatéral pour éteindre une IP. En étant notre propre origine sur trois transits, aucun d'eux ne peut nous couper seul. C'est une pièce de notre architecture « bulletproof » au sens où nous l'entendons : résilient face aux décisions arbitraires, pas refuge pour l'illicite. Notre AUP reste stricte et nos plages propres rendent chaque abus plus traçable, pas moins — mais seulement pour nous, jamais pour un dénonciateur anonyme.
La chronologie RIPE, de juin 2023 à mars 2024
Le processus a duré neuf mois. En voici les étapes réelles, avec les délais que nous avons effectivement constatés :
| Période | Étape | Ce qu'il s'est passé |
|---|---|---|
| Juin 2023 | Décision interne | Validation du budget : adhésion LIR, acquisition IPv4, routeurs capables de tenir trois sessions eBGP. GO. |
| Août 2023 | Création du LIR | Dossier de justification RIPE NCC : business plan, utilisation prévue des ressources, contacts opérationnels. Adhésion acceptée en 11 jours ouvrés. |
| Octobre 2023 | Attribution de l'ASN | Demande d'ASN avec justification multi-homing. Reçu : AS216455. Premier objet dans la base RIPE : AS-OFFNODE. |
| Décembre 2023 | Adresses IP | /32 IPv6 attribué immédiatement ; /24 IPv4 obtenu via la liste d'attente RIPE après 5 semaines de file. Documenté et justifié, comme tout le reste. |
| Janvier 2024 | RPKI / ROA | Création des ROA pour le /24 et le /32, publication des route/route6 dans la base RIPE, relecture des IRR avec les transits futurs. |
| Février 2024 | Montée en charge | Sessions eBGP établies avec trois transits (acceptation des préfixes, prepends de test, communities de blackhole). Tests de bascule à blanc. |
| 28 mars 2024 | Bascule publique | Annonce simultanée sur les trois transits, retrait progressif des plages louées sur 14 jours. Zéro interruption client mesurée. |
À titre de transparence technique, voici à quoi ressemble aujourd'hui l'objet d'une de nos plages dans la base RIPE (adresses RFC 5737 de démonstration) :
Adresses masquées volontairement dans cet article : les plages exactes sont consultables publiquement dans la base RIPE et sur notre page réseau.
Ce que ça change pour vous
- Remplacez sans stress. Une IP qui souffre d'un historique hérité peut être changée gratuitement — délai médian constaté depuis la bascule : 2 h 10.
- Déployez où vous voulez, durablement. Vos adresses ne dépendent plus de la politique d'un hébergeur amont : migration entre transits sans préavis client.
- Profitez d'un routage plus propre. Annonces cohérentes sur trois transits, ROA signés, pas de préfixe fantôme : moins de détours, moins de filtres tiers.
- Gardez la même exigence sur l'AUP. Nos plages propres n'assouplissent en rien la politique d'abus : phishing, malware, spam et CSAM restent bannis et traités dans l'heure.
Les coûts — parce qu'on ne vous cache rien
Un AS propre n'est pas gratuit, et nous ne vous raconterons pas le contraire. L'adhésion LIR au RIPE NCC coûte environ 1 800 € par an. Un /24 IPv4, sur le marché secondaire où la liste d'attente ne suffit pas, se négocie entre 10 000 et 15 000 € en 2023–2024 — et nous en prévoyons un deuxième d'ici la fin 2025. Ajoutez les routeurs capables de tenir les tables BGP complètes, l'ingénierie, le temps. C'est un investissement à six chiffres sur trois ans, pour un hébergeur de notre taille.
Pourquoi le faire quand même ? Parce que le coût d'une plage salie — tickets de support, clients perdus, réputation de marque — se paie chaque mois, pour toujours, et qu'il est récurrent. Le coût d'un AS propre, lui, se paie une fois et se transforme en actif. C'est un arbitrage classique en infrastructure : payer le capital pour éteindre le risque opérationnel. Nous avons choisi la deuxième colonne du tableau, comme pour le reste de notre architecture.