Qu’est-ce qu’une lettre d’autorisation réseau ?
Une Letter of Authorization (LOA) est un document par lequel le détenteur d’un préfixe IP, ou son représentant habilité, autorise une partie ou un réseau désigné à l’annoncer selon le périmètre convenu. Le destinataire peut être un opérateur de transit, un hébergeur, une plateforme cloud ou un service de protection DDoS. Sa procédure détermine la forme et la nécessité du document.
La LOA ne remplace ni le contrat de location d’adresses IP, ni un transfert auprès du registre, ni une ROA RPKI. Elle ne garantit pas l’acceptation de la route par tous les réseaux.
Pourquoi un fournisseur peut demander une LOA
Lorsque l’annonceur diffère du détenteur enregistré, un fournisseur peut demander une preuve d’autorisation avant de configurer ses filtres. Il n’existe pas de format ou d’obligation universelle applicable à chaque annonce.
Cloudflare documente une LOA dans son parcours BYOIP. AWS et Google Cloud documentent leurs propres vérifications cryptographiques ou RPKI. Une procédure publiée par un fournisseur ne constitue pas une règle pour tout le secteur.
Quand vérifier cette exigence
- Location d’un préfixe annoncé depuis l’ASN du client ou du fournisseur.
- Hébergement, transit, BYOIP ou protection DDoS utilisant des adresses tierces.
- Changement de fournisseur, d’ASN, de périmètre ou renouvellement de l’autorisation.
Demandez au destinataire ses exigences actuelles avant la signature ou le paiement : modèle, preuve de contrôle, signature, RPKI, IRR et éventuelle validation DNS.
Les informations à vérifier
| Élément | Vérification |
|---|---|
| Parties et autorité | Détenteur, représentant habilité, bénéficiaire et destinataire identifiables ; relation vérifiable avec les données du registre. |
| Préfixes | CIDR exacts et éventuels préfixes plus spécifiques autorisés. |
| ASN d’origine | ASN qui annoncera réellement la route, ou modèle expressément accepté par le destinataire. |
| Périmètre et durée | Service, début, échéance et cohérence avec la location ; procédure de réémission en cas de changement. |
| Signature et contact | Nom, fonction, méthode de signature et contact permettant de vérifier l’autorité du signataire. |
Papier à en-tête, PDF, signature manuscrite ou électronique et cachet dépendent du destinataire. Un modèle générique rempli ne prouve pas son acceptation.
LOA, contrat, ROA, IRR et BGP
| Élément | Ce qu’il documente | Sa limite |
|---|---|---|
| Contrat | Droits d’usage, durée, prix et responsabilités. | Ne configure pas le réseau. |
| LOA | Permission documentaire pour l’usage annoncé. | Ni transfert de registre ni validation cryptographique. |
| Objet IRR | Préfixe et origine publiés pour la politique de routage. | Pas utilisé par tous les filtres ; ne prouve pas le contrat. |
| ROA RPKI | ASN autorisé et longueurs de préfixe permises. | Ne valide ni le chemin AS complet ni l’application. |
| Route BGP observée | Annonce vue par un observateur à un instant donné. | Ne prouve ni l’autorité ni une visibilité mondiale. |
La RFC 9582 définit la ROA comme un objet signé. Cette autorisation exploitable par les validateurs est distincte du document humain que peut demander un opérateur.
Qui peut émettre la LOA ?
Le détenteur ou un représentant dont l’habilitation est vérifiable. Le locataire peut demander ou transmettre le document, mais ne doit pas signer au nom du détenteur sans autorité. Comparez contrat, compte, registre et identité du signataire selon la procédure du destinataire.
À convenir avant de payer
- Qui émet la LOA, dans quel format, à quelle date et à quel coût en cas de réémission.
- Qui gère IRR, ROA, DNS inverse, incidents, renouvellement et retrait des routes.
- Quels critères constatent la livraison et quelle procédure suit un refus du destinataire ou une route filtrée.
- Quelles obligations s’appliquent à la fin de la location ou si le détenteur devient indisponible.
Diagnostiquer un refus ou une route indisponible
| Symptôme | À vérifier |
|---|---|
| Document refusé | Motif exact du destinataire : format, périmètre, signature ou preuve d’autorité. |
| Préfixe filtré | Comparer CIDR, ASN, ticket fournisseur, objet IRR et filtres réels. |
| RPKI Invalid | Examiner les autorisations couvrantes, ASN et longueurs. Une LOA ne modifie pas l’état RPKI. |
| Visibilité partielle | Comparer annonces, observations indépendantes et tests de service datés ; vérifier aussi le chemin retour. |
| Renouvellement bloqué | Vérifier échéance, ancien ASN ou fournisseur et procédure de réémission. |
Préparer et vérifier la mise en service
- Définir préfixe, ASN, destinataire, service, période et responsable du retour arrière.
- Obtenir les exigences actuelles et vérifier l’autorité du signataire.
- Émettre le document et coordonner les enregistrements IRR et RPKI applicables.
- Conserver le résultat d’acceptation du fournisseur ; un envoi n’est pas une acceptation.
- Vérifier route, état RPKI et trafic applicatif depuis des points autorisés.
- Planifier renouvellement, retrait et suppression des autorisations obsolètes avec leurs responsables.
Aucun délai de propagation ne peut être déduit de la LOA seule.
Préparer une demande opérationnelle
Indiquez préfixe, fournisseur destinataire, ASN, autorité, exigences reçues et calendrier. Discutez des responsabilités de routage, consultez la location IPv4 gérée ou la coordination de registre. Les engagements de réponse et la portée du service restent à convenir pour votre cas.
Vérifiez séparément l’autorisation, l’acceptation du fournisseur et le service réellement accessible.
Questions fréquentes sur les LOA
Que signifie LOA en réseau ?
Letter of Authorization : un document autorisant une partie désignée à annoncer des préfixes IP selon les exigences du destinataire.
Une LOA est-elle une ROA ?
Non. La LOA est un document ; la ROA est un objet RPKI signé utilisé pour la validation d’origine. Vérifiez séparément les exigences applicables.
Qui signe pour un préfixe loué ?
Le détenteur ou son représentant habilité, avec une autorité vérifiable par le destinataire.
Une LOA est-elle toujours obligatoire ?
Il n’existe pas d’obligation universelle pour toutes les annonces. Le fournisseur définit les preuves nécessaires à son service.
La LOA transfère-t-elle le préfixe ?
Non. Les changements d’enregistrement relèvent de la procédure du registre et d’accords séparés.
Quelles informations préparer ?
Parties, CIDR, ASN d’origine, périmètre, dates, signataire, contact vérifiable et exigences du destinataire.
La LOA garantit-elle la connectivité ?
Non. Filtres, IRR, RPKI, BGP, chemin retour, DNS et application doivent aussi être vérifiés.
Que faire à l’expiration ?
Appliquer le renouvellement ou le retrait convenu, mettre à jour les enregistrements avec leurs responsables et conserver la preuve de l’état final. Ne pas continuer l’annonce sans autorisation.
