Co to jest IANA i czym się zajmuje ta organizacja?

IANA (Internet Assigned Numbers Authority) to globalna instytucja odpowiedzialna za koordynację unikalnych identyfikatorów w internecie, takich jak adresy IP, numery portów oraz strefa główna systemu DNS. Organizacja ta zajmuje się utrzymaniem centralnych rejestrów technicznych, by urządzenia na całym świecie mogły się ze sobą bezbłędnie komunikować. Bez centralnej bazy numeracyjnej sieć uległaby fragmentacji. Wszyscy polegamy na ich tabelach.

Pytanie o to, co to jest IANA i czym się zajmuje ta organizacja, wraca na tapet za każdym razem, gdy konfigurujemy routery brzegowe. My na co dzień nie myślimy o tym, kto wydaje nam prefiksy. Wpisujemy adresy. Uruchamiamy usługi. Prawda jest zresztą absolutnie taka, że nikt nie czyta dokumentacji RFC dopóki coś nie wybuchnie. IANA działa w tle. Zarządza nią ICANN. Wydają pule numerów dla pięciu regionalnych rejestrów internetowych (RIR). To one potem tną te bloki na mniejsze kawałki dla lokalnych operatorów telekomunikacyjnych.

Co to jest IANA i czym się zajmuje ta organizacja na poziomie globalnym?

To jest bez mała najgorsza opcja z wszystkich, gdy systemy gubią synchronizację. IANA trzyma w garści rejestr parametrów protokołów. Wyobraźcie sobie plik tekstowy, w którym zapisano, że port 80 to HTTP, a port 443 to HTTPS. IANA publikuje ten plik. My go pobieramy. Kiedy inżynierowie z IETF tworzą nowy protokół komunikacyjny, idą do IANA po numer. Zmieniliśmy te zasady na robocie u nas w dziale dwa lata temu, dostosowując firewalle do nowych zaleceń. Musieliśmy ręcznie wbijać wytyczne z ich bazy.

Organizacja ta nie stanowi prawa. Nie śledzi użytkowników. Nie cenzuruje treści. Zajmują się po prostu księgowością. Prowadzą dziennik. Zapisują, komu wydali dany identyfikator. To nudna praca. Ale działa.

(W nawiasie mówiąc, to przypomina mi sytuację z zeszłego miesiąca, kiedy czekaliśmy na głupią alokację prefiksu z RIPE. Formularze wiszą, system nie odpowiada, a my musimy zestawiać sesje BGP na wczoraj. Czasami mam wrażenie, że te globalne procedury to jeden wielki żart, w którym nikt nie wie, kto ma wcisnąć guzik akceptacji. Piszemy maile, dzwonimy, a na końcu okazuje się, że jakiś stażysta zapomniał zaktualizować pole w bazie WHOIS. Krew zalewa człowieka przy takich wdrożeniach, bo sprzęt stoi i kurzy się w szafie RACK na obiekcie). Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Baza WHOIS nie zaciągnęła danych.

Jakie parametry protokołów internetowych przydziela IANA?

Zarządzają tysiącami rejestrów. Najbardziej znane to numery portów TCP i UDP. Ale mają też kody błędów ICMP, opcje protokołu DHCP i typy mediów MIME. Kiedy otwieracie stronę internetową i serwer zwraca błąd 404, to właśnie IANA kiedyś zdefiniowała, że liczba 404 oznacza brak zasobu.

W ich obowiązkach leży też utrzymanie bazy stref czasowych (tz database). To zbiór reguł określających czas letni i zimowy dla każdego państwa. Wasz telefon wie, kiedy przestawić zegarek, bo pobrał plik od IANA. Kiedy rząd jakiegoś kraju zmienia przepisy o czasie letnim, IANA aktualizuje bazę. Bez tego kalendarze w korporacjach rozjechałyby się w ciągu kilku dni.

• Rejestry portów komunikacyjnych dzielą się na systemowe (0-1023), użytkownika (1024-49151) oraz dynamiczne. Przydział wymaga złożenia oficjalnego wniosku z uzasadnieniem technicznym. Proces potrafi trwać miesiącami, bo eksperci weryfikują, czy nowy protokół nie zakłóci działania sieci globalnej. Często odrzucają aplikacje bez podania wyraźnej przyczyny na pierwszym etapie.
• Numery systemów autonomicznych (ASN) wydawane dla operatorów BGP by spinać ruch między kontynentami
• Typy zapytań DNS i kody odpowiedzi serwerów nazw
• Kody języków używane w nagłówkach HTTP i znacznikach HTML, pozwalające przeglądarkom na negocjację treści lokalnych z serwerem docelowym na łączach zagranicznych

Widzicie asymetrię w tych danych? Maszyny lubią równe bloki. My wiemy, że w praktyce najwięcej problemów generuje ten pierwszy punkt. Reszta po prostu działa w tle.

Dlaczego zarządzanie strefą zaplecza DNS (Root Zone) przypada tej instytucji?

IANA odpowiada za najwyższy poziom hierarchii nazw domenowych. Strefa główna (Root Zone) to plik konfiguracyjny wskazujący, gdzie znajdują się serwery odpowiedzialne za domeny .com, .pl, .org czy .de. Kiedy wpisujecie adres w przeglądarce, wasz lokalny resolver DNS ostatecznie opiera się na informacjach pochodzących od IANA. Oni dodają nowe domeny najwyższego poziomu (TLD). Oni weryfikują techniczne parametry operatorów krajowych.

Wdrożyliśmy nowy protokół. Błąd. Okazało się, że nasza wewnętrzna strefa konfliktowała z nową domeną globalną. System IANA nie wybacza takich pomyłek. Wymagają stosowania kryptografii DNSSEC. Zmienili klucz podpisujący strefę (KSK) w 2018 roku. To była wielka operacja logistyczna. Bałem się, że połowa starych urządzeń straci dostęp do sieci. Przeszło gładko. Mimo to, w wielu małych firmach sprzęt nadal używa nieaktualnych konfiguracji.

Zarządzanie strefą Root to nie jest zabawa. Wprowadzenie błędnego rekordu odcięłoby cały kraj od internetu. IANA ma rygorystyczne procedury. Każda zmiana przechodzi przez wieloetapową weryfikację. Używają sprzętowych modułów bezpieczeństwa (HSM) trzymanych w sejfach. To brzmi paranoicznie. Ale w tym fachu to konieczność.

W jaki sposób IANA współpracuje z ICANN oraz lokalnymi rejestrami RIR?

ICANN to korporacja. IANA to funkcja. Wiele osób myli te pojęcia. ICANN zatrudnia ludzi, wynajmuje biura, organizuje konferencje. IANA to zbiór procedur i rejestrów, które ICANN obsługuje. Kiedyś kontrakt na obsługę IANA należał do rządu Stanów Zjednoczonych (konkretnie do agencji NTIA). W 2016 roku Amerykanie zrzekli się tej kontroli. Przekazali ją globalnej społeczności. To był ważny moment polityczny.

Rejestry regionalne (RIR) to pośrednicy. IANA nie daje adresów IP bezpośrednio firmom. IANA przydziela ogromne bloki adresacyjne /8 rejestrom RIR. Mamy ich pięć na świecie. W Europie działa RIPE NCC. W Ameryce Północnej ARIN. W Azji APNIC. W Ameryce Łacińskiej LACNIC. W Afryce AFRINIC. My w Polsce idziemy do RIPE NCC.

Dostajesz pulę od RIPE. Potem tniesz ją na podsieci. Przydzielasz klientom. IANA nawet nie wie o istnieniu twojej firmy. Ich interesuje tylko to, że RIPE dostało swój przydział. To system delegacji uprawnień. Skaluje się świetnie od wczesnych lat dziewięćdziesiątych.

Czy przydzielanie adresów IP przez IANA wpływa na codzienną pracę administratorów?

Zdecydowanie tak. Zrozumienie, co to jest IANA i czym się zajmuje ta organizacja, ma bezpośrednie przełożenie na tabele routingu. Bez mała prawie pięćdziesiąt procent starych urządzeń na sieciach brzegowych ma na sztywno wpisane filtry oparte na starych alokacjach. Kiedy IANA zaczęła wydawać bloki adresowe, które wcześniej były zarezerwowane, wiele routerów odrzucało ten ruch.

Pamiętam awarię w serwerowni przy ulicy Jagiellońskiej na warszawskiej Pradze. Zestawiliśmy nowy węzeł. BGP podniosło sesje. Ruch nie szedł. Dlaczego? Bo operator wyżej miał zablokowaną klasę adresową, którą IANA dopiero co uwolniła z rezerwy. Musieliśmy dzwonić do ich inżynierów i prosić o aktualizację ACL-ek. Zeszło z tym pół dnia. Sprzęt nie myśli. Realizuje zasady z pliku.

Różnice między pulą IPv4 a IPv6 z perspektywy globalnej tabeli routingu

Pula IPv4 się wyczerpała. IANA rozdała ostatnie wolne bloki /8 w 2011 roku. RIR-y miały jeszcze trochę zapasów, ale to też zniknęło. Teraz rynek żyje z handlu używanymi adresami. Ceny rosną. Płacimy za pojedynczy adres IP absurdalne kwoty. IANA nie ma z tym nic wspólnego. Oni zamknęli księgę dla IPv4.

Z IPv6 sprawa wygląda inaczej. Pula jest tak wielka, że IANA wydaje bloki /12 lub większe. Każdy RIR ma tyle adresów, że starczy dla każdego urządzenia na ziemi na setki lat. Problem leży we wdrożeniach u operatorów komórkowych i domowych dostawców kablowych. My wdrożyliśmy IPv6 na rdzeniu. Klienci nadal proszą o IPv4. To błędne koło.

Warto spojrzeć na wskaźniki BGP. Pełna tabela routingu IPv4 ma dziś ponad 900 tysięcy prefiksów. Pamięć w routerach sprzętowych TCAM nie wyrabia. Musimy wymieniać karty liniowe. To kosztuje grube tysiące. W IPv6 tabela rośnie wolniej, bo alokacje od IANA są lepiej agregowane u operatorów Tier 1.

Kto tak naprawdę kontroluje internet i numery ASN?

To jest system wielostronny. Nie ma jednego rządu, który może wyłączyć sieć. Nawet jeśli ktoś przejmie fizyczne serwery IANA, kopie baz są powielone na całym świecie. Numery systemów autonomicznych (ASN) to podstawa BGP. Bez ASN nie ogłosisz swoich adresów IP światu. IANA wydaje bloki ASN w wersjach 16-bitowych i 32-bitowych.

Przejście na 32-bitowe ASN-y było konieczne. Stara pula się kończyła. Oprogramowanie routerów musiało zostać zaktualizowane, by obsługiwać dłuższe numery. To u nas w sumie chyba hipoteza z wczoraj bo pewności do tych trendów rynkowych nikt obecnie nie ma o 2025 r. Wiele starszych urządzeń Cisco i Juniper miało z tym problemy z powodu błędów w parsowaniu komunikatów BGP OPEN. Poprawki wychodziły powoli.

Zmieniliśmy te zasady na robocie. Wymusiliśmy na dostawcach obsługę 4-bajtowych ASN. Kto nie spełniał wymogów, tracił kontrakt na tranzyt. NIGDY nie ulegajcie naciskom handlowców, by zostawiać stary sprzęt na krawędzi sieci. To prosi się o awarię przy pierwszym ataku DDoS lub wycieku tras.

Sprawdźcie swoje tabele routingu. Zalogujcie się na router brzegowy i zobaczcie, z jakimi ASN-ami wymieniacie ruch. Zrozumienie, skąd biorą się te numery i kto odpowiada za ich unikalność, zmienia podejście do projektowania architektury sieciowej. Zróbcie audyt używanych portów i porównajcie je z oficjalnym rejestrem IANA. Zdziwicie się, ile niestandardowych usług działa w waszych firmach poza radarem.

Często zadawane pytania (FAQ)

1. Co to jest IANA i czym się zajmuje ta organizacja?

IANA to globalny koordynator unikalnych identyfikatorów w internecie. Zarządza pulami adresów IP, numerami portów oraz strefą Root DNS.

2. Kto zarządza IANA?

Obecnie obsługą funkcji IANA zajmuje się organizacja ICANN poprzez swoją spółkę zależną PTI (Public Technical Identifiers).

3. Czy IANA przydziela adresy IP bezpośrednio firmom?

Nie. IANA wydaje ogromne bloki adresowe pięciu regionalnym rejestrom (RIR), takim jak RIPE NCC w Europie, które następnie dystrybuują je dalej.

4. Skąd pochodzą numery portów TCP/UDP?

Wszystkie standardowe numery portów są rejestrowane i publikowane w centralnej bazie prowadzonej przez IANA.

5. Co to jest strefa główna DNS zarządzana przez IANA?

To najwyższy poziom systemu nazw domenowych, wskazujący serwery odpowiedzialne za domeny TLD (np. .com, .pl).

6. Czy IANA ma wolne adresy IPv4?

Pula wolnych adresów IPv4 zarządzana przez IANA wyczerpała się w 2011 roku. Obecnie rozdawane są wyłącznie adresy IPv6.

Bibliografia

1. Naukowa i Akademicka Sieć Komputerowa – https://nask.pl
2. Urząd Komunikacji Elektronicznej – https://uke.gov.pl
3. Internet Corporation for Assigned Names and Numbers – https://icann.org
4. RIPE Network Coordination Centre – https://ripe.net
5. Związek Pracodawców Branży Internetowej IAB Polska – https://iab.org.pl