ইয়ানডেক্স RPKI প্রয়োগ করে

হ্যালো, আমার নাম আলেকজান্ডার আজিমভ। ইয়ানডেক্সে, আমি বিভিন্ন মনিটরিং সিস্টেম, সেইসাথে পরিবহন নেটওয়ার্ক আর্কিটেকচার বিকাশ করি। তবে আজ আমরা বিজিপি প্রটোকল নিয়ে কথা বলব।

এক সপ্তাহ আগে, ইয়ানডেক্স সমস্ত পিয়ারিং পার্টনারদের সাথে ইন্টারফেসে ROV (রুট অরিজিন ভ্যালিডেশন) সক্ষম করেছে, সেইসাথে ট্রাফিক এক্সচেঞ্জ পয়েন্ট। কেন এটি করা হয়েছিল এবং এটি কীভাবে টেলিকম অপারেটরদের সাথে মিথস্ক্রিয়াকে প্রভাবিত করবে সে সম্পর্কে নীচে পড়ুন।

বিজিপি আর এতে দোষ কি

আপনি সম্ভবত জানেন যে BGP একটি ইন্টারডোমেন রাউটিং প্রোটোকল হিসাবে ডিজাইন করা হয়েছিল। যাইহোক, পথ ধরে, ব্যবহারের ক্ষেত্রে সংখ্যা বৃদ্ধি পেয়েছে: আজ, BGP, অসংখ্য এক্সটেনশনের জন্য ধন্যবাদ, একটি বার্তা বাসে পরিণত হয়েছে, যা অপারেটর VPN থেকে এখনকার ফ্যাশনেবল SD-WAN পর্যন্ত কাজগুলিকে কভার করে, এবং এমনকি অ্যাপ্লিকেশন খুঁজে পেয়েছে SDN-এর মতো কন্ট্রোলারের জন্য একটি পরিবহন, দূরত্ব ভেক্টর BGP-কে লিঙ্ক স্যাট প্রোটোকলের অনুরূপ কিছুতে পরিণত করে।

ডুমুর। 1। বিজিপি সাফি

কেন বিজিপি এত বেশি ব্যবহার পেয়েছে (এবং গ্রহণ করতে চলেছে)? দুটি প্রধান কারণ আছে:

• BGP হল একমাত্র প্রোটোকল যা স্বায়ত্তশাসিত সিস্টেমের (AS) মধ্যে কাজ করে;
• BGP TLV (টাইপ-লেন্থ-ভ্যালু) ফরম্যাটে অ্যাট্রিবিউট সমর্থন করে। হ্যাঁ, প্রোটোকলটি এতে একা নয়, তবে যেহেতু টেলিকম অপারেটরদের মধ্যে সংযোগস্থলে এটি প্রতিস্থাপন করার মতো কিছুই নেই, তাই অতিরিক্ত রাউটিং প্রোটোকল সমর্থন করার চেয়ে এটির সাথে অন্য কার্যকরী উপাদান সংযুক্ত করা সর্বদা বেশি লাভজনক বলে প্রমাণিত হয়।

তার সমস্যা কি? সংক্ষেপে, প্রাপ্ত তথ্যের সঠিকতা পরীক্ষা করার জন্য প্রোটোকলের অন্তর্নির্মিত প্রক্রিয়া নেই। অর্থাৎ, BGP হল একটি অগ্রাধিকার ট্রাস্ট প্রোটোকল: আপনি যদি বিশ্বকে বলতে চান যে আপনি এখন Rostelecom, MTS বা Yandex এর নেটওয়ার্কের মালিক, দয়া করে!

IRRDB ভিত্তিক ফিল্টার - সবচেয়ে খারাপের মধ্যে সেরা

প্রশ্ন উঠেছে: কেন ইন্টারনেট এখনও এমন পরিস্থিতিতে কাজ করে? হ্যাঁ, এটি বেশিরভাগ সময় কাজ করে, কিন্তু একই সময়ে এটি পর্যায়ক্রমে বিস্ফোরিত হয়, যা সমগ্র জাতীয় অংশগুলিকে অ্যাক্সেসযোগ্য করে তোলে। যদিও বিজিপিতে হ্যাকারের কার্যকলাপও বৃদ্ধি পাচ্ছে, তবুও বেশিরভাগ অসঙ্গতি বাগ দ্বারা সৃষ্ট। এ বছরের উদাহরণ ছোট অপারেটর ত্রুটি বেলারুশে, যা আধা ঘন্টার জন্য মেগাফোন ব্যবহারকারীদের কাছে ইন্টারনেটের একটি উল্লেখযোগ্য অংশ অ্যাক্সেসযোগ্য করে তুলেছে। আরেকটি উদাহরণ - পাগল BGP অপ্টিমাইজার বিশ্বের বৃহত্তম CDN নেটওয়ার্কগুলির একটি ভেঙেছে।

ভাত। 2. ক্লাউডফ্লেয়ার ট্রাফিক বাধা

কিন্তু তবুও, কেন এই ধরনের অসঙ্গতি প্রতি ছয় মাসে একবার ঘটে, এবং প্রতিদিন নয়? কারণ বাহকরা BGP প্রতিবেশীদের কাছ থেকে যা পায় তা যাচাই করতে রাউটিং তথ্যের বাহ্যিক ডেটাবেস ব্যবহার করে। এই ধরনের অনেক ডাটাবেস আছে, তাদের মধ্যে কিছু রেজিস্ট্রারদের দ্বারা পরিচালিত হয় (RIPE, APNIC, ARIN, AFRINIC), কিছু স্বাধীন খেলোয়াড় (সবচেয়ে বিখ্যাত হল RADB), এবং বড় কোম্পানিগুলির মালিকানাধীন রেজিস্ট্রারগুলির একটি সম্পূর্ণ সেটও রয়েছে (লেভেল3 , NTT, ইত্যাদি)। এই ডাটাবেসের জন্য ধন্যবাদ যে আন্তঃ-ডোমেন রাউটিং এর অপারেশনের আপেক্ষিক স্থিতিশীলতা বজায় রাখে।

যাইহোক, সূক্ষ্মতা আছে। রাউটিং তথ্য ROUTE-OBJECTS এবং AS-SET অবজেক্টের উপর ভিত্তি করে চেক করা হয়। এবং যদি প্রথমটি IRRDB-এর অংশের জন্য অনুমোদন বোঝায়, তাহলে দ্বিতীয় শ্রেণীর জন্য একটি শ্রেণি হিসাবে কোনো অনুমোদন নেই। অর্থাৎ, যে কেউ তাদের সেটে যে কাউকে যোগ করতে পারে এবং এর ফলে আপস্ট্রিম প্রদানকারীদের ফিল্টারগুলিকে বাইপাস করতে পারে। অধিকন্তু, বিভিন্ন IRR বেসগুলির মধ্যে AS-SET নামকরণের স্বতন্ত্রতা নিশ্চিত করা হয় না, যা টেলিকম অপারেটরের জন্য হঠাৎ সংযোগ হারানোর সাথে আশ্চর্যজনক প্রভাবের দিকে নিয়ে যেতে পারে, যারা তার অংশে, কিছু পরিবর্তন করেনি।

একটি অতিরিক্ত চ্যালেঞ্জ হল AS-SET এর ব্যবহার প্যাটার্ন। এখানে দুটি পয়েন্ট আছে:

• যখন একটি অপারেটর একটি নতুন ক্লায়েন্ট পায়, তখন এটি এটিকে তার AS-SET-তে যোগ করে, কিন্তু প্রায় কখনই এটি সরিয়ে দেয় না;
• ফিল্টারগুলি শুধুমাত্র ক্লায়েন্টদের সাথে ইন্টারফেসে কনফিগার করা হয়।

ফলস্বরূপ, BGP ফিল্টারগুলির আধুনিক বিন্যাসে ক্লায়েন্টদের সাথে ইন্টারফেসে ধীরে ধীরে অবনমিত হওয়া ফিল্টার এবং পিয়ারিং পার্টনার এবং আইপি ট্রানজিট প্রদানকারীদের থেকে যা আসে তার উপর একটি অগ্রাধিকার বিশ্বাস রয়েছে।

AS-SET এর উপর ভিত্তি করে উপসর্গ ফিল্টার প্রতিস্থাপন কি? সবচেয়ে মজার বিষয় হল স্বল্প মেয়াদে - কিছুই নয়। কিন্তু অতিরিক্ত মেকানিজম আবির্ভূত হচ্ছে যা IRRDB-ভিত্তিক ফিল্টারগুলির কাজের পরিপূরক, এবং প্রথমত, এটি অবশ্যই, RPKI।

RPKI

একটি সরলীকৃত উপায়ে, RPKI আর্কিটেকচারকে একটি বিতরণ করা ডাটাবেস হিসাবে বিবেচনা করা যেতে পারে যার রেকর্ডগুলি ক্রিপ্টোগ্রাফিকভাবে যাচাই করা যেতে পারে। ROA (রুট অবজেক্ট অথরাইজেশন) ক্ষেত্রে, স্বাক্ষরকারী ঠিকানা স্থানের মালিক এবং রেকর্ডটি নিজেই একটি ট্রিপল (উপসর্গ, asn, max_length)। মূলত, এই এন্ট্রিটি নিম্নলিখিতগুলিকে অনুমান করে: $prefix ঠিকানা স্থানের মালিক AS নম্বর $asn-কে অনুমোদন করেছেন যার দৈর্ঘ্য $max_length-এর চেয়ে বেশি নয়। এবং রাউটার, RPKI ক্যাশে ব্যবহার করে, সম্মতির জন্য জোড়া পরীক্ষা করতে সক্ষম উপসর্গ - পথে প্রথম স্পিকার.

চিত্র 3. RPKI আর্কিটেকচার

ROA অবজেক্টগুলি বেশ দীর্ঘ সময়ের জন্য প্রমিত করা হয়েছে, কিন্তু সম্প্রতি পর্যন্ত তারা আসলে শুধুমাত্র IETF জার্নালে কাগজে রয়ে গেছে। আমার মতে, এর কারণ ভীতিকর শোনাচ্ছে- খারাপ মার্কেটিং। প্রমিতকরণ সম্পন্ন হওয়ার পর, প্রণোদনা ছিল যে ROA BGP হাইজ্যাকিং থেকে রক্ষা করেছে - যা সত্য নয়। আক্রমণকারীরা পথের শুরুতে সঠিক AC নম্বর সন্নিবেশ করে ROA-ভিত্তিক ফিল্টারগুলিকে সহজেই বাইপাস করতে পারে। এবং এই উপলব্ধি হওয়ার সাথে সাথে পরবর্তী যৌক্তিক পদক্ষেপটি ছিল ROA এর ব্যবহার ত্যাগ করা। এবং সত্যিই, প্রযুক্তি যদি কাজ না করে তবে আমাদের কেন দরকার?

আপনার মন পরিবর্তন করার সময় কেন? কারণ এটি সম্পূর্ণ সত্য নয়। ROA BGP-তে হ্যাকার কার্যকলাপ থেকে রক্ষা করে না, কিন্তু দুর্ঘটনাজনিত ট্রাফিক হাইজ্যাকিং থেকে রক্ষা করে, উদাহরণস্বরূপ বিজিপি-তে স্ট্যাটিক লিক থেকে, যা আরও সাধারণ হয়ে উঠছে। এছাড়াও, IRR-ভিত্তিক ফিল্টারগুলির বিপরীতে, ROV শুধুমাত্র ক্লায়েন্টদের সাথে ইন্টারফেসেই নয়, পিয়ার এবং আপস্ট্রিম প্রদানকারীদের সাথে ইন্টারফেসেও ব্যবহার করা যেতে পারে। অর্থাৎ, RPKI প্রবর্তনের সাথে সাথে, একটি অগ্রাধিকার বিশ্বাস ধীরে ধীরে বিজিপি থেকে অদৃশ্য হয়ে যাচ্ছে।

এখন, ROA-এর উপর ভিত্তি করে রুট চেক করা ধীরে ধীরে মূল খেলোয়াড়দের দ্বারা প্রয়োগ করা হচ্ছে: বৃহত্তম ইউরোপীয় IX ইতিমধ্যেই Tier-1 অপারেটরদের মধ্যে ভুল রুটগুলিকে বাতিল করে দিচ্ছে, এটি AT&T হাইলাইট করার মতো, যা তার পিয়ারিং পার্টনারদের সাথে ইন্টারফেসে ফিল্টার চালু করেছে। বৃহত্তম বিষয়বস্তু প্রদানকারী এছাড়াও প্রকল্পের কাছে আসছে. এবং কয়েক ডজন মাঝারি আকারের ট্রানজিট অপারেটর ইতিমধ্যেই নীরবে এটি বাস্তবায়ন করেছে, কাউকে না বলে। কেন এই সমস্ত অপারেটররা RPKI বাস্তবায়ন করছে? উত্তরটি সহজ: আপনার বহির্গামী ট্রাফিককে অন্য লোকের ভুল থেকে রক্ষা করতে। এই কারণেই ইয়ানডেক্স রাশিয়ান ফেডারেশনের প্রথমগুলির মধ্যে একটি যা তার নেটওয়ার্কের প্রান্তে ROV অন্তর্ভুক্ত করেছে।

পরবর্তীতে কী হবে?

আমরা এখন ট্র্যাফিক এক্সচেঞ্জ পয়েন্ট এবং ব্যক্তিগত পিয়ারিংয়ের সাথে ইন্টারফেসে রাউটিং তথ্য পরীক্ষা করা সক্ষম করেছি। অদূর ভবিষ্যতে, আপস্ট্রিম ট্রাফিক প্রদানকারীদের সাথে যাচাইকরণও সক্ষম হবে।

এটি আপনার জন্য কি পার্থক্য করে? আপনি যদি আপনার নেটওয়ার্ক এবং ইয়ানডেক্সের মধ্যে ট্রাফিক রাউটিং এর নিরাপত্তা বাড়াতে চান, আমরা সুপারিশ করি:

• আপনার ঠিকানা স্থান স্বাক্ষর করুন RIPE পোর্টালে - এটা সহজ, গড়ে 5-10 মিনিট সময় নেয়। কেউ অনিচ্ছাকৃতভাবে আপনার ঠিকানার স্থান চুরি করলে এটি আমাদের সংযোগ রক্ষা করবে (এবং এটি অবশ্যই শীঘ্র বা পরে ঘটবে);
• একটি ওপেন সোর্স RPKI ক্যাশে ইনস্টল করুন (ripe-validator, রুটিনেটর) এবং নেটওয়ার্ক সীমানায় রুট চেকিং সক্ষম করুন - এটি আরও সময় নেবে, তবে আবার, এটি কোনও প্রযুক্তিগত অসুবিধা সৃষ্টি করবে না।

ইয়ানডেক্স নতুন RPKI অবজেক্টের উপর ভিত্তি করে একটি ফিল্টারিং সিস্টেমের বিকাশকেও সমর্থন করে - এএসপিএ (স্বায়ত্তশাসিত সিস্টেম প্রদানকারী অনুমোদন)। ASPA এবং ROA অবজেক্টের উপর ভিত্তি করে ফিল্টারগুলি শুধুমাত্র "ফাঁকা" AS-SETগুলিকে প্রতিস্থাপন করতে পারে না, তবে BGP ব্যবহার করে MiTM আক্রমণের সমস্যাগুলিও বন্ধ করতে পারে৷

আমি আগামী এক মাসের মধ্যে ASPA সম্পর্কে বিস্তারিত কথা বলব নেক্সট হপ সম্মেলনে। Netflix, Facebook, Dropbox, Juniper, Mellanox এবং Yandex-এর সহকর্মীরাও সেখানে কথা বলবেন। আপনি যদি ভবিষ্যতে নেটওয়ার্ক স্ট্যাক এবং এর বিকাশে আগ্রহী হন তবে আসুন রেজিস্ট্রেশন খোলা আছে.

উত্স: www.habr.com