<html><head><meta http-equiv="Content-Type" content="text/html; charset=utf-8"><meta name="Generator" content="Microsoft Word 15 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
        {font-family:"Cambria Math";
        panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
        {font-family:Calibri;
        panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
        {font-family:Tahoma;
        panose-1:2 11 6 4 3 5 4 4 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
        {margin:0cm;
        margin-bottom:.0001pt;
        font-size:11.0pt;
        font-family:"Calibri",sans-serif;}
.MsoChpDefault
        {mso-style-type:export-only;
        font-size:10.0pt;}
@page WordSection1
        {size:612.0pt 792.0pt;
        margin:72.0pt 72.0pt 72.0pt 72.0pt;}
div.WordSection1
        {page:WordSection1;}
--></style></head><body lang="EN-ZA" link="#0563C1" vlink="#954F72"><div class="WordSection1"><p class="MsoNormal"><span style="mso-fareast-language:EN-US">Did you find some beer?</span></p><p class="MsoNormal"><span style="mso-fareast-language:EN-US"> </span></p><div><div style="border:none;border-top:solid #e1e1e1 1.0pt;padding:3.0pt 0cm 0cm 0cm"><p class="MsoNormal"><b><span lang="EN-US">From:</span></b><span lang="EN-US"> zanog-discuss <<a href="mailto:zanog-discuss-bounces@lists.nog.net.za">zanog-discuss-bounces@lists.nog.net.za</a>> <b>On Behalf Of </b>Mark Tinka via zanog-discuss<br><b>Sent:</b> Friday, 08 May 2020 16:09<br><b>To:</b> ZANog discuss (<a href="mailto:zanog-discuss@lists.nog.net.za">zanog-discuss@lists.nog.net.za</a>) <<a href="mailto:zanog-discuss@lists.nog.net.za">zanog-discuss@lists.nog.net.za</a>><br><b>Subject:</b> [zanog-discuss] Cloud Innovation Displays Very Poor, If Not Criminal, Netizenship</span></p></div></div><p class="MsoNormal"> </p><p class="MsoNormal"><span style="font-family:"Tahoma",sans-serif">Hi all.<br><br>I'm not one to b**ch & moan in public, but per subject, I could not let this one slide.<br><br>And if you get this from multiple mailing lists, apologies for that - I'm just trying to make sure that this reaches as wide an audience as possible, on the continent.<br><br>SEACOM (AS37100) acquired MacroLan (AS37353) a couple of years ago. MacroLan is now part of the SEACOM family, and while we are in the process of integrating that network into AS37100, some existing services continue to be delivered on AS37353 until that exercise is completed.<br><br>One of the customers that AS37353 was providing services to was Cloud Innovation, in Cape Town. From a routing perspective, because Cloud Innovation had no AS number for this service, all of their IP address space was being originated by AS37353, on their behalf.<br><br>In December of 2019, AS37353 ceased providing services to Cloud Innovation. That is 6 months ago.<br><br>In recent days, it came to SEACOM's attention that some of Cloud Innovation's IP address space was being originated by AS37353 - specifically, <a href="http://156.241.3.0/24">156.241.3.0/24</a> - even though we were sure that they were no longer a customer of AS37353 since December of 2019. At first, we thought this was a cached entry in a number of popular looking glasses, but then every looking glass had the same entry, which made this an unlikely bug.<br><br>As of yesterday afternoon, see below what Telia's looking glass was saying about this prefix:<br><br>*****<br><br>Path #1: Received by speaker 0<br>  4809 134190 37353<br>    2.255.249.42 (metric 2134) from 2.255.253.101 (80.91.242.40)<br>      Origin incomplete, localpref 200, valid, internal, best, group-best, import-candidate<br>Communities:<br><br>1299:431<br>    (RPKI state Unknown)<br><br>1299:1000 1299:30000 1299:30600 23456:20413 45352:4500 45352:9204<br><br>*****<br><br>But when I run a traceroute from my house to that prefix, it clearly was not ending up in Cape Town, where AS37353's main operation resides:<br><br>*****<br><br>MacBook-Pro-7:~ tinka$ traceroute -I 156.241.3.1<br>traceroute to 156.241.3.1 (156.241.3.1), 64 hops max, 72 byte packets<br> 1  172.16.0.254 (172.16.0.254)  14.824 ms  11.522 ms  3.525 ms<br> 2  <a href="http://xe-1-3-0-1064.er-01-jnb.za.seacomnet.com">xe-1-3-0-1064.er-01-jnb.za.seacomnet.com</a> (105.22.37.13)  5.620 ms  9.714 ms  9.887 ms<br> 3  <a href="http://ce-0-2-0-0.cr-02-jnb.za.seacomnet.com">ce-0-2-0-0.cr-02-jnb.za.seacomnet.com</a> (105.16.28.2)  175.232 ms  172.699 ms  175.896 ms<br> 4  <a href="http://xe-0-0-0-8.cr-02-cpt.za.seacomnet.com">xe-0-0-0-8.cr-02-cpt.za.seacomnet.com</a> (105.16.9.182)  164.496 ms  163.578 ms  163.546 ms<br> 5  105.16.14.153 (105.16.14.153)  169.812 ms  171.272 ms  177.115 ms<br> 6  <a href="http://xe-0-0-0-0.br-02-lhr.uk.seacomnet.com">xe-0-0-0-0.br-02-lhr.uk.seacomnet.com</a> (105.16.34.253)  168.911 ms  172.958 ms  165.165 ms<br> 7  82.112.115.169 (82.112.115.169)  172.700 ms  176.482 ms  174.375 ms<br> 8  <a href="http://ae-17.r05.londen12.uk.bb.gin.ntt.net">ae-17.r05.londen12.uk.bb.gin.ntt.net</a> (129.250.2.147)  672.099 ms  613.617 ms  615.109 ms<br> 9  <a href="http://ae-2.r24.londen12.uk.bb.gin.ntt.net">ae-2.r24.londen12.uk.bb.gin.ntt.net</a> (129.250.4.244)  181.952 ms  183.087 ms  187.302 ms<br>10  <a href="http://ae-16.r20.frnkge13.de.bb.gin.ntt.net">ae-16.r20.frnkge13.de.bb.gin.ntt.net</a> (129.250.3.13)  190.511 ms  185.579 ms  187.058 ms<br>11  <a href="http://ae-3.r20.sngpsi07.sg.bb.gin.ntt.net">ae-3.r20.sngpsi07.sg.bb.gin.ntt.net</a> (129.250.4.17)  520.882 ms  613.982 ms  615.275 ms<br>12  <a href="http://ae-9.r24.tkokhk01.hk.bb.gin.ntt.net">ae-9.r24.tkokhk01.hk.bb.gin.ntt.net</a> (129.250.7.67)  612.301 ms  586.886 ms  436.711 ms<br>13  <a href="http://ae-1.r03.tkokhk01.hk.bb.gin.ntt.net">ae-1.r03.tkokhk01.hk.bb.gin.ntt.net</a> (129.250.6.98)  614.470 ms  613.416 ms  614.281 ms<br>14  <a href="http://ce-0-3-0-3.r03.tkokhk01.hk.ce.gin.ntt.net">ce-0-3-0-3.r03.tkokhk01.hk.ce.gin.ntt.net</a> (203.131.241.126)  614.128 ms  613.661 ms  615.416 ms<br>15  * *     *<br>16  * * *<br>17  156.241.3.1 (156.241.3.1)  494.400 ms  410.180 ms *<br>MacBook-Pro-7:~ tinka$<br><br>*****<br><br>So we, then, realized that this was a fraudulent use of MacroLan's AS37353, to which we had given no express permission.<br><br>As luck would have it, due to my days living and working in Malaysia, I know the good folk that operate AS134190 (IPDC Solutions), who was the upstream providing transit for this prefix. So I rang them up yesterday afternoon, told them what was happening, and within the hour, they got that eBGP session shutdown. I am most grateful to them for their quick response and immediate understanding of what was going on. Even with all the technology we have today, it, many times, comes down to having good friends in good places.<br><br>Anyway, it turns out the ISP that had acquired this prefix from Cloud Innovation is based in Manila, Philippines. When IPDC delivered their transit service to them in Manila, that ISP informed them that they should use AS37353 for the eBGP session. Yes, one could argue that IPDC should have done their checks to ensure that the AS number being provided by their customer belongs to them, but to be honest, I'm not too bothered about that compared to Cloud Innovation's thinking that it was okay to use another network's AS number in order to deliver their services to their customers.<br><br>IPDC confirm that this service was activated for the Manila ISP in December of 2019, right around the time Cloud Innovation's service with SEACOM, in Cape Town, ended.<br><br>As it currently stands, the ISP in Manila is now off the Internet, with some 12 paying customers currently without service. Their excuse - they do not have an AS number of their own.<br><br>IPDC tried to find out why the ISP in Manila thought that it was okay to use another network's AS number for their service, and as it turns out, the network engineer at the Manila ISP that set this up has since left the company. All the ones currently there do not have any history about all of this.<br><br>Currently, <a href="http://156.241.3.0/24">156.241.3.0/24</a> is not in the global BGP table:<br><br>*****<br><br><a href="http://lg-01-ams.nl">lg-01-ams.nl</a>>sh ip bgp <a href="http://156.241.3.0/24">156.241.3.0/24</a><br>% Network not in table<br><a href="http://lg-01-ams.nl">lg-01-ams.nl</a>><br><br><a href="http://lg-01-nbo.ke">lg-01-nbo.ke</a>>sh ip bgp <a href="http://156.241.3.0/24">156.241.3.0/24</a><br>% Network not in table<br><a href="http://lg-01-nbo.ke">lg-01-nbo.ke</a>><br><br><a href="http://lg-01-cpt.za">lg-01-cpt.za</a>>sh ip bgp <a href="http://156.241.3.0/24">156.241.3.0/24</a><br>% Network not in table<br><a href="http://lg-01-cpt.za">lg-01-cpt.za</a>><br><br>*****<br><br>That Cloud Innovation thought it was okay for them to use MacroLan's AS number to originate their own prefixes into the global BGP is as morally reprehensible as it is technologically distasteful.<br><br>SEACOM have been working very closely with AFRINIC to delete previous route objects from their IRR that certify a relationship between Cloud Innovation's parent /16 aggregates that cover this prefix, and AS37353, but this is one of those objects that cannot be removed via the MyAFRINIC portal, and requires manual intervention from AFRINIC.<br><br>I have not, personally, spoken to the proprietors of Cloud Innovation and/or Outside Heaven, as I don't see how anything could explain this with any degree of justification.<br><br>For now, I will find some beer to wipe the foul taste from my mouth, while we (SEACOM) consider what to do about this.<br><br>And yes, for those who are wondering, RPKI's ROV would not have prevented this, in its current form. This is AS hijacking, and ROV, today, tries to solve the prefix-hijacking problem, first.<br><br>Thank you for your attention.<br><br>Mark.</span></p></div></body></html>