মন্তব্যের একটি বিশদ প্রতিক্রিয়া, সেইসাথে রাশিয়ান ফেডারেশনে প্রদানকারীদের জীবন সম্পর্কে কিছুটা

আমাকে এই পোস্টে প্ররোচিত করেছে এই মন্তব্য.

আমি এটি এখানে উদ্ধৃত করছি:

কালেমান আজ 18:53 এ

আমি আজ প্রদানকারীর সাথে সন্তুষ্ট ছিল. সাইট ব্লকিং সিস্টেমের আপডেটের সাথে সাথে, তার মেইলার mail.ru নিষিদ্ধ করা হয়েছিল। আমি সকাল থেকে প্রযুক্তিগত সহায়তায় কল করছি, কিন্তু তারা কিছুই করতে পারে না। প্রদানকারী ছোট, এবং দৃশ্যত উচ্চ-র্যাঙ্কিং প্রদানকারীরা এটি ব্লক করে। আমি সব সাইট খোলার একটি ধীরগতি লক্ষ্য করেছি, সম্ভবত তারা কোন ধরনের কুটিল DLP ইনস্টল? আগে অ্যাক্সেস নিয়ে কোনো সমস্যা ছিল না। রুনেটের ধ্বংস আমার চোখের সামনে ঘটছে...

আসল বিষয়টি হল যে মনে হচ্ছে আমরা একই প্রদানকারী :)

এবং প্রকৃতপক্ষে, কালেমান আমি প্রায় mail.ru এর সাথে সমস্যার কারণ অনুমান করেছি (যদিও আমরা দীর্ঘ সময়ের জন্য এই জাতীয় জিনিসে বিশ্বাস করতে অস্বীকার করেছি)।

নিম্নলিখিত দুটি অংশে বিভক্ত করা হবে:

1. mail.ru এর সাথে আমাদের বর্তমান সমস্যার কারণ এবং তাদের খুঁজে বের করার জন্য উত্তেজনাপূর্ণ অনুসন্ধান
2. আজকের বাস্তবতায় আইএসপির অস্তিত্ব, সার্বভৌম রুনেটের স্থিতিশীলতা।

mail.ru এর সাথে অ্যাক্সেসযোগ্যতার সমস্যা

ওহ, এটা বেশ দীর্ঘ গল্প.

আসল বিষয়টি হ'ল রাষ্ট্রের প্রয়োজনীয়তাগুলি বাস্তবায়নের জন্য (দ্বিতীয় অংশে আরও বিশদ বিবরণ), আমরা কিছু সরঞ্জাম কিনেছি, কনফিগার করেছি এবং ইনস্টল করেছি - উভয়ই নিষিদ্ধ সংস্থানগুলি ফিল্টার করার জন্য এবং বাস্তবায়নের জন্য। NAT অনুবাদ গ্রাহকদের

কিছু সময় আগে, আমরা অবশেষে নেটওয়ার্ক কোরটিকে এমনভাবে পুনর্নির্মাণ করেছি যাতে সমস্ত গ্রাহক ট্র্যাফিক এই সরঞ্জামের মধ্য দিয়ে সঠিক পথে চলে যায়।

কিছু দিন আগে আমরা এটিতে নিষিদ্ধ ফিল্টারিং চালু করেছি (পুরানো সিস্টেমটি কাজ করার সময়) - সবকিছু ঠিকঠাক বলে মনে হচ্ছে।

এর পরে, তারা ধীরে ধীরে গ্রাহকদের বিভিন্ন অংশের জন্য এই সরঞ্জামগুলিতে NAT সক্ষম করতে শুরু করে। এটির চেহারা থেকে, সবকিছু ঠিকঠাক বলে মনে হয়েছিল।

কিন্তু আজ, গ্রাহকদের পরবর্তী অংশের জন্য সরঞ্জামগুলিতে NAT সক্ষম করার পরে, খুব সকাল থেকেই আমরা অনুপলব্ধতা বা আংশিক প্রাপ্যতা সম্পর্কে শালীন সংখ্যক অভিযোগের মুখোমুখি হয়েছি। mail.ru এবং অন্যান্য মেল রু গ্রুপ সংস্থান।

তারা চেক করতে লাগল: কোথাও কিছু কখনও কখনও, কদাচিৎ পাঠায় TCP RST একচেটিয়াভাবে mail.ru নেটওয়ার্কের অনুরোধের জবাবে। তাছাড়া, এটি একটি ভুলভাবে তৈরি করা (ACK ছাড়া), স্পষ্টতই কৃত্রিম TCP RST পাঠায়। এটি দেখতে কেমন ছিল:

স্বাভাবিকভাবেই, প্রথম চিন্তা ছিল নতুন সরঞ্জাম সম্পর্কে: ভয়ানক ডিপিআই, এতে কোন বিশ্বাস নেই, আপনি কখনই জানেন না এটি কী করতে পারে - সর্বোপরি, টিসিপি আরএসটি ব্লকিং সরঞ্জামগুলির মধ্যে একটি মোটামুটি সাধারণ জিনিস।

ধৃষ্টতা কালেমান আমরা এই ধারণাটিও সামনে রেখেছি যে কেউ "উচ্চতর" ফিল্টার করছে, কিন্তু অবিলম্বে এটি বাতিল করে দিয়েছি।

প্রথমত, আমাদের পর্যাপ্ত বুদ্ধিমান আপলিঙ্ক রয়েছে যাতে আমাদের এইরকম কষ্ট না হয় :)

দ্বিতীয়ত, আমরা বেশ কয়েকটির সাথে সংযুক্ত IX মস্কোতে, এবং mail.ru-এর ট্রাফিক তাদের মধ্য দিয়ে যায় - এবং তাদের ট্রাফিক ফিল্টার করার দায়িত্ব বা অন্য কোন উদ্দেশ্য নেই।

দিনের পরের অর্ধেক সময় কাটানো হয়েছিল যাকে সাধারণত শামানিজম বলা হয় - একসাথে সরঞ্জাম বিক্রেতার সাথে, যার জন্য আমরা তাদের ধন্যবাদ জানাই, তারা হাল ছেড়ে দেয়নি :)

• ফিল্টারিং সম্পূর্ণরূপে অক্ষম ছিল
• নতুন স্কিম ব্যবহার করে NAT অক্ষম করা হয়েছে
• পরীক্ষার পিসি একটি পৃথক বিচ্ছিন্ন পুলে স্থাপন করা হয়েছিল
• IP ঠিকানা পরিবর্তন করা হয়েছে

বিকেলে, একটি ভার্চুয়াল মেশিন বরাদ্দ করা হয়েছিল যা নিয়মিত ব্যবহারকারীর স্কিম অনুসারে নেটওয়ার্কের সাথে সংযুক্ত ছিল এবং বিক্রেতার প্রতিনিধিদের এটি এবং সরঞ্জামগুলিতে অ্যাক্সেস দেওয়া হয়েছিল। শামানবাদ চলতে থাকে :)

শেষ পর্যন্ত, বিক্রেতার প্রতিনিধি আত্মবিশ্বাসের সাথে বলেছিলেন যে হার্ডওয়্যারের সাথে এটির কোনও সম্পর্ক নেই: আরএসটি উচ্চতর কোথাও থেকে আসে।

মন্তব্যএই মুহুর্তে, কেউ বলতে পারে: তবে পরীক্ষা পিসি থেকে নয়, ডিপিআই-এর উপরে হাইওয়ে থেকে ডাম্প নেওয়া অনেক সহজ ছিল?

না, দুর্ভাগ্যবশত, 40+ জিবিপিএস ডাম্প (এবং শুধু মিররিং) নেওয়া মোটেও তুচ্ছ নয়।

এর পরে, সন্ধ্যার পরে, উপরের কোথাও অদ্ভুত পরিস্রাবণের অনুমানে ফিরে যাওয়া ছাড়া আর কিছুই করার ছিল না।

আমি দেখেছি যে IX এর মধ্য দিয়ে MRG নেটওয়ার্কে ট্রাফিক এখন যাচ্ছে এবং সহজভাবে এটিতে bgp সেশন বাতিল করেছি। এবং - দেখো! - সবকিছু অবিলম্বে স্বাভাবিক অবস্থায় ফিরে আসে 🙁

একদিকে, এটি লজ্জাজনক যে পুরো দিনটি সমস্যার সন্ধানে ব্যয় করা হয়েছিল, যদিও এটি পাঁচ মিনিটে সমাধান করা হয়েছিল।

অন্যদিকে:

- আমার স্মৃতিতে এটি একটি নজিরবিহীন জিনিস। আমি ইতিমধ্যে উপরে লিখেছি - IX সত্যিই ট্রানজিট ট্রাফিক ফিল্টার করার কোন মানে নেই। তাদের সাধারণত প্রতি সেকেন্ডে শত শত গিগাবিট/টেরাবিট থাকে। আমি সম্প্রতি পর্যন্ত এই ধরনের কিছু গুরুত্ব সহকারে কল্পনা করতে পারিনি।

— পরিস্থিতির একটি অবিশ্বাস্যভাবে ভাগ্যবান কাকতালীয়: একটি নতুন জটিল হার্ডওয়্যার যা বিশেষভাবে বিশ্বাসযোগ্য নয় এবং যা থেকে কী আশা করা যায় তা স্পষ্ট নয় — TCP RST সহ সংস্থানগুলিকে ব্লক করার জন্য বিশেষভাবে তৈরি করা হয়েছে

এই ইন্টারনেট এক্সচেঞ্জের NOC বর্তমানে একটি সমস্যা খুঁজছে। তাদের মতে (এবং আমি তাদের বিশ্বাস করি), তাদের কোন বিশেষভাবে স্থাপন করা পরিস্রাবণ ব্যবস্থা নেই। কিন্তু, স্বর্গকে ধন্যবাদ, পরবর্তী অনুসন্ধান আর আমাদের সমস্যা নয় :)

এটি নিজেকে ন্যায়সঙ্গত করার একটি ছোট প্রচেষ্টা ছিল, অনুগ্রহ করে বুঝুন এবং ক্ষমা করুন :)

PS: আমি ইচ্ছাকৃতভাবে DPI/NAT বা IX এর প্রস্তুতকারকের নাম বলি না (আসলে, তাদের সম্পর্কে আমার কোনও বিশেষ অভিযোগও নেই, মূল জিনিসটি কী ছিল তা বোঝা)

ইন্টারনেট প্রদানকারীর দৃষ্টিকোণ থেকে আজকের (সেইসাথে গতকালের এবং গতকালের আগের দিন) বাস্তবতা

আমি গত সপ্তাহগুলি উল্লেখযোগ্যভাবে নেটওয়ার্কের মূল পুনর্নির্মাণে ব্যয় করেছি, লাইভ ব্যবহারকারী ট্রাফিককে উল্লেখযোগ্যভাবে প্রভাবিত করার ঝুঁকি সহ “লাভের জন্য” একগুচ্ছ ম্যানিপুলেশন সম্পাদন করেছি। এই সবের লক্ষ্য, ফলাফল এবং ফলাফল বিবেচনা করে, নৈতিকভাবে এটি বেশ কঠিন। বিশেষত - রুনেটের স্থিতিশীলতা, সার্বভৌমত্ব ইত্যাদি রক্ষার বিষয়ে আরও একবার সুন্দর বক্তৃতা শোনা। এবং তাই

এই বিভাগে, আমি গত দশ বছরে একটি সাধারণ ISP-এর নেটওয়ার্ক কোরের "বিবর্তন" বর্ণনা করার চেষ্টা করব।

দশ বছর আগে.

সেই আশীর্বাদপূর্ণ সময়ে, একটি প্রদানকারী নেটওয়ার্কের মূল ট্রাফিক জ্যামের মতো সহজ এবং নির্ভরযোগ্য হতে পারে:

এই খুব, খুব সরলীকৃত ছবিতে, কোন ট্রাঙ্ক, রিং, ip/mpls রাউটিং নেই।

এর সারমর্ম হল যে ব্যবহারকারীর ট্র্যাফিক শেষ পর্যন্ত কার্নেল স্তরের সুইচিং-এ এসেছিল - যেখান থেকে এটি গিয়েছিল বিএনজি, যেখান থেকে, একটি নিয়ম হিসাবে, মূল স্যুইচিং এ ফিরে যান এবং তারপরে "আউট" - ইন্টারনেটে এক বা একাধিক বর্ডার গেটওয়ের মাধ্যমে।

এই ধরনের একটি স্কিম L3 (ডাইনামিক রাউটিং) এবং L2 (MPLS) উভয় ক্ষেত্রেই সংরক্ষণ করা খুব, খুব সহজ।

আপনি যেকোনো কিছুর N+1 ইনস্টল করতে পারেন: অ্যাক্সেস সার্ভার, সুইচ, বর্ডার - এবং একটি উপায় বা অন্যভাবে সেগুলি স্বয়ংক্রিয় ব্যর্থতার জন্য সংরক্ষণ করুন।

কয়েক বছর পর এটি রাশিয়ার প্রত্যেকের কাছে স্পষ্ট হয়ে উঠেছে যে এভাবে আর বেঁচে থাকা অসম্ভব: ইন্টারনেটের ক্ষতিকারক প্রভাব থেকে শিশুদের রক্ষা করা জরুরি ছিল।

ব্যবহারকারীর ট্রাফিক ফিল্টার করার উপায় খুঁজে বের করার জরুরী প্রয়োজন ছিল।

এখানে বিভিন্ন পন্থা আছে।

একটি খুব ভাল ক্ষেত্রে, কিছু "ব্যবধান" রাখা হয়: ব্যবহারকারী ট্রাফিক এবং ইন্টারনেট মধ্যে. এই "কিছু" এর মধ্য দিয়ে যাওয়া ট্র্যাফিক বিশ্লেষণ করা হয় এবং উদাহরণস্বরূপ, একটি পুনঃনির্দেশ সহ একটি জাল প্যাকেট গ্রাহকের দিকে পাঠানো হয়।

একটু ভালো ক্ষেত্রে - যদি ট্রাফিক ভলিউম অনুমতি দেয় - আপনি আপনার কান দিয়ে একটি ছোট কৌশল করতে পারেন: শুধুমাত্র ব্যবহারকারীদের থেকে উদ্ভূত ট্র্যাফিক ফিল্টার করার জন্য পাঠান শুধুমাত্র সেই ঠিকানাগুলিতে যা ফিল্টার করা প্রয়োজন (এটি করার জন্য, আপনি হয় IP ঠিকানাগুলি নিতে পারেন সেখানে রেজিস্ট্রি থেকে নির্দিষ্ট করা, বা অতিরিক্তভাবে রেজিস্ট্রিতে বিদ্যমান ডোমেনগুলি সমাধান করুন)।

এক সময়, এই উদ্দেশ্যে, আমি একটি সহজ লিখিত মিনি ডিপিআই - যদিও আমি তাকে ডাকতেও সাহস পাই না। এটি খুব সহজ এবং খুব বেশি উত্পাদনশীল নয় - তবে, এটি আমাদের এবং কয়েক ডজন (যদি শত শত না) অন্যান্য প্রদানকারীকে অবিলম্বে শিল্প ডিপিআই সিস্টেমে লক্ষ লক্ষ না বের করার অনুমতি দেয়, তবে বেশ কয়েক বছর অতিরিক্ত সময় দেয়।

যাইহোক, তৎকালীন এবং বর্তমান ডিপিআই সম্পর্কেযাইহোক, সেই সময়ে বাজারে উপলব্ধ ডিপিআই সিস্টেমগুলি যারা কিনেছিলেন তারা ইতিমধ্যেই তাদের ফেলে দিয়েছিলেন। ঠিক আছে, তারা এর জন্য ডিজাইন করা হয়নি: কয়েক হাজার ঠিকানা, কয়েক হাজার ইউআরএল।

এবং একই সময়ে, দেশীয় উৎপাদকরা এই বাজারে খুব জোরালোভাবে উঠেছে। আমি হার্ডওয়্যার উপাদান সম্পর্কে কথা বলছি না - এখানে প্রত্যেকের কাছে সবকিছু পরিষ্কার, তবে সফ্টওয়্যার - ডিপিআই-এর প্রধান জিনিসটি - সম্ভবত আজ, যদি বিশ্বের সবচেয়ে উন্নত না হয়, তবে অবশ্যই ক) লাফিয়ে লাফিয়ে বিকাশ করা, এবং খ) একটি বাক্সযুক্ত পণ্যের দামে - বিদেশী প্রতিযোগীদের সাথে কেবল অতুলনীয়।

আমি গর্বিত হতে চাই, কিন্তু একটু দুঃখিত =)

এখন সবকিছু এই মত দেখায়:

আরো কয়েক বছরের মধ্যে প্রত্যেকেরই ইতিমধ্যে অডিটর ছিল; রেজিস্ট্রিতে আরও বেশি সম্পদ ছিল। কিছু পুরানো সরঞ্জামের জন্য (উদাহরণস্বরূপ, Cisco 7600), "সাইড-ফিল্টারিং" স্কিমটি কেবল অপ্রযোজ্য হয়ে উঠেছে: 76টি প্ল্যাটফর্মে রুটের সংখ্যা নয় লক্ষের মতো কিছুর মধ্যে সীমাবদ্ধ, যেখানে শুধুমাত্র IPv4 রুটের সংখ্যা আজ 800-এর কাছাকাছি পৌঁছেছে হাজার এবং যদি এটি ipv6ও হয়... এবং এছাড়াও... কত আছে? 900000 পৃথক ঠিকানা RKN নিষিদ্ধ? =)

কেউ একটি ফিল্টারিং সার্ভারে সমস্ত ব্যাকবোন ট্র্যাফিকের মিররিং সহ একটি স্কিমে স্যুইচ করেছে, যা পুরো প্রবাহ বিশ্লেষণ করবে এবং যদি কিছু খারাপ পাওয়া যায় তবে উভয় দিকে (প্রেরক এবং প্রাপক) RST পাঠান।

যাইহোক, যত বেশি ট্রাফিক, এই স্কিমটি তত কম প্রযোজ্য। প্রক্রিয়াকরণে সামান্যতম বিলম্ব হলে, মিরর করা ট্র্যাফিক অলক্ষিতভাবে উড়ে যাবে, এবং প্রদানকারী একটি সূক্ষ্ম প্রতিবেদন পাবে।

আরও বেশি সংখ্যক প্রদানকারীকে হাইওয়ে জুড়ে নির্ভরযোগ্যতার বিভিন্ন মাত্রার DPI সিস্টেম ইনস্টল করতে বাধ্য করা হয়।

বছর দুয়েক আগের কথা গুজব অনুসারে, প্রায় সমস্ত এফএসবি সরঞ্জামের প্রকৃত ইনস্টলেশনের দাবি করতে শুরু করেছিল SORM (পূর্বে, বেশিরভাগ প্রদানকারী কর্তৃপক্ষের অনুমোদনের সাথে পরিচালিত হয় SORM পরিকল্পনা - কোথাও কিছু খুঁজে পাওয়ার প্রয়োজনে অপারেশনাল ব্যবস্থার একটি পরিকল্পনা)

অর্থ ছাড়াও (ঠিক অত্যাধিক নয়, কিন্তু এখনও লক্ষ লক্ষ), SORM-এর নেটওয়ার্কের সাথে আরও অনেক ম্যানিপুলেশন প্রয়োজন।

• SORM কে nat অনুবাদের আগে "ধূসর" ব্যবহারকারীর ঠিকানা দেখতে হবে
• SORM এর সীমিত সংখ্যক নেটওয়ার্ক ইন্টারফেস রয়েছে

অতএব, বিশেষ করে, আমাদের কার্নেলের একটি অংশকে ব্যাপকভাবে পুনর্নির্মাণ করতে হয়েছিল - কেবলমাত্র এক জায়গায় কোথাও অ্যাক্সেস সার্ভারগুলিতে ব্যবহারকারীর ট্র্যাফিক সংগ্রহ করার জন্য। যাতে SORM এ এটিকে মিরর করার জন্য বেশ কয়েকটি লিঙ্ক সহ।

অর্থাৎ, খুব সরলীকৃত, এটা ছিল (বাম) বনাম হয়ে গেছে (ডান):

এখনই বেশিরভাগ প্রদানকারীরও SORM-3 বাস্তবায়নের প্রয়োজন - যার মধ্যে অন্যান্য জিনিসের মধ্যে, ন্যাট সম্প্রচারের লগিং অন্তর্ভুক্ত রয়েছে।

এই উদ্দেশ্যে, আমাদের উপরের চিত্রে NAT-এর জন্য পৃথক সরঞ্জাম যোগ করতে হয়েছিল (প্রথম অংশে ঠিক কী আলোচনা করা হয়েছে)। তদুপরি, একটি নির্দিষ্ট ক্রমে যোগ করুন: যেহেতু ঠিকানাগুলি অনুবাদ করার আগে SORM-কে অবশ্যই ট্র্যাফিক "দেখতে হবে", তাই ট্র্যাফিককে কঠোরভাবে যেতে হবে: ব্যবহারকারী -> সুইচিং, কার্নেল -> অ্যাক্সেস সার্ভার -> SORM -> NAT -> সুইচিং, কার্নেল - > ইন্টারনেট। এটি করার জন্য, আমাদের লাভের জন্য আক্ষরিক অর্থে অন্য দিকে ট্র্যাফিক প্রবাহকে "বাঁক" করতে হয়েছিল, যা বেশ কঠিন ছিল।

সংক্ষেপে: বিগত দশ বছরে, একজন গড় সরবরাহকারীর মূল নকশা অনেকগুণ বেশি জটিল হয়ে উঠেছে, এবং ব্যর্থতার অতিরিক্ত পয়েন্টগুলি (উভয় সরঞ্জামের আকারে এবং একক সুইচিং লাইনের আকারে) উল্লেখযোগ্যভাবে বৃদ্ধি পেয়েছে। প্রকৃতপক্ষে, "সবকিছু দেখার" খুব প্রয়োজনীয়তার অর্থ এই "সবকিছু" এক বিন্দুতে কমিয়ে আনা।

আমি মনে করি রুনেটকে সার্বভৌম করার জন্য, এটিকে রক্ষা করতে, এটিকে স্থিতিশীল করতে এবং এটিকে উন্নত করার জন্য বর্তমান উদ্যোগগুলিতে এটি বেশ স্বচ্ছভাবে এক্সট্রাপোলেট করা যেতে পারে :)

এবং ইয়ারোভায়া এখনও এগিয়ে।

উত্স: www.habr.com