[Nlnog] Voorstel: criteria nlwhitelist

[Jan Hoogenboom]

Hoi,

> Een ISP komt op de whitelist als:

Even een andere invalshoek: wat willen gebruikers van een whitelist nu 
eigenlijk?

Je wilt natuurlijk dat je niet automatisch mailservers gaat blocken waar heel 
veel mailers achter zitten, omdat je daar ook zelf last van hebt en de 
maatregel erger is dan de kwaal.

Je wilt misschien best weten welke mailservers op die whitelist toch virussen
doorsturen, bijvoorbeeld om de beheerders van die mailservers te informeren, 
maar je wil dat niet automatisch in een filter stoppen.

Maar daarnaast wil je ook graag dat partijen die op die lijst staan zelf hun 
best doen om geen virussen door te sturen. Dus:

	1) Ze moeten een 24*7 bereikbare abuse desk hebben.

	2) Die abuse desk moet ook echt actie ondernemen om problemen op te lossen,
	    eventueel door een klant af te sluiten of een IP te filteren.

	3) Je wilt dat ze wanneer ze mailtjes bouncen alleen de headers in de bounce
	    stoppen en niet de original body (waaronder wellicht een virus...).

	4) Eigenlijk wil je ook dat die ISP AL z'n uitgaande mail filtert op
 	    virussen. Dat is wel niet 100% waterdicht, maar met 95% breng je het
	    probleem al wel met een factor 20 terug. Je wilt dus dat ze hun best
	    doen.

Misschien moet je dus een whitelist maken met partijen die al die bovenstaande 
dingen doen en een grey list met partijen die zelf geen uitgaande mail 
filteren. Dat laaste omdat uitgaande mail filteren zeker voor grotere ISP's 
nogal zwaar is.
NOB zou dan dus op de grey list komen, net als BIT. Dat is niet erg, want in 
de praktijk gebruikt staat dan praktisch iedereen op de grey list en gebruikt 
praktisch iedereen de grey list (die natuurlijk de white list include).

Als je bovenstaande doet denk ik dat een AS nummer of AMS-IX (NL-ix., GN-IX, 
NDIX, Lipex, ExchangePoint Amsterdam, TCIX) connectivity of meerdere 
upstreams, etc. allemaal niet zo interessant meer is.

Het gaat er om of je met z'n allen die mailserver en de beheerder er van 
vertrouwd of niet. Als je hem, volgens objectieve criteria vertrouwd dan zou 
hij op de list mogen.

Okay, nu kun je bovenstaande punten niet makkelijk controleren, en om jezelf 
niet te veel werk op je hals te halen zou je jezelf kunnen beperken en allen
een beperkte set 'groten' toelaten, volgens welke subjectieve definitie dan 
ook. Maar dat blijft altijd gezeik, want niemand wil geblocked worden dus 
iedereen wil op die white (of grey) list. En een subjectieve definitie kun je 
altijd (proberen) ter discussie te stellen. Maar je zou bijvoorbeeld als 
aanvullende eis kunnen stellen:

	- Nederlandse vestiging
	- Eigen AS nummer

En als bovenstaande niet genoeg is kun je nog allerlei subjectieve dingen bij 
verzinnen:

	- Aangesloten op een IX
	- Meerdere carriers
	- Lid van RIPE
	- Ingeschreven bij OPTA
	- Lid van SIDN
	- Ingeschreven bij de KvK
	- Is een BV
	- Heeft volgens de BOFH 'verstand van zaken'
	- Staat bij de BOFH niet bekend als spammer
	- Minimaal x omzet/personeelsleden
	- Moet Juniper routers hebben
	- Moet zelf in Linux kernels hacken
	- Moet op de MegaBit langs komen
	- Etc.
	

> een Hogeschool danwel Universiteit is

Die hebben volgens mij allemaal een eigen AS, of niet? En dan nog,
is een Hogeschool met 1.000 leerlingen anders dan een bedrijf met
1.000 personeelsleden. Ik vind het willekeur.

Groeten, Jan.

-- 
Jan Hoogenboom <jan at openpeering.nl>
Open Peering Initiative
Raamweg 17, 2596 HL  Den Haag, The Netherlands
+31 (0)70 363 16 61 (voice)
+31 (0)70 392 22 16 (fax)
http://www.openpeering.nl/