Únik BGP tras vedl k masovému narušení připojení na internetu

Společnost Cloudflare publikovala zpráva o včerejším incidentu, který způsobil tři hodiny od 13:34 do 16:26 (MSK) byly pozorovány problémy s přístupem k mnoha zdrojům na globální síti, včetně infrastruktury Cloudflare, Facebooku, Akamai, Apple, Linode a Amazon AWS. Problémy v infrastruktuře Cloudflare, která poskytuje CDN pro 16 milionů webových stránek, byly pozorovány od 14:02 do 16:02 (MSK). Podle odhadů Cloudflare byla během výpadku zaznamenána ztráta přibližně 15 % globálního provozu.

Problém byl byl způsoben uniklými trasami přes BGP, během níž bylo nesprávně přesměrováno přibližně 20 tisíc prefixů pro 2400 sítí. Zdrojem úniku byl poskytovatel DQE Communications, který používal software BGP Optimizer pro optimalizaci směrování. BGP Optimizer rozděluje IP prefixy na menší, například dělí 104.20.0.0/20 na 104.20.0.0/21 a 104.20.8.0/21, a následně DQE Communications udržoval na své straně velké množství specifických tras, které přepisovaly obecnější trasy (tj. místo obecných tras k Cloudflare byly použity detailnější trasy k jednotlivým podsítím Cloudflare).

Tyto konkrétní trasy byly oznámeny jednomu z klientů (Allegheny Technologies, AS396531), který měl také připojení přes jiného poskytovatele. Allegheny Technologies přesměroval obdržené trasy dalšímu tranzitnímu poskytovateli (Verizon, AS701). Vzhledem k absenci řádného filtrování BGP oznámení a omezení počtu prefixů, Verizon přijal toto oznámení a přesměroval obdržených 20 tisíc prefixů do zbytku internetu. Nesprávné prefixy kvůli své granularitě byly vnímány jako prioritnější, jelikož konkrétní trasa má vyšší prioritu než obecná.

V důsledku toho byl provoz pro mnoho větších sítí směrován přes Verizon k malému poskytovateli DQE Communications, který nebyl schopen zpracovat přílivový tok, což vedlo k kolapsu (efekt je srovnatelný s tím, jako by část přeplněné dálnice byla nahrazena polní cestou).

Aby se předešlo vzniku podobných incidentů v budoucnu
doporučeno:

• Použít ověřování oznámení na základě RPKI (BGP Origin Validation, což umožňuje přijímat oznámení pouze od vlastníků sítě);
• Omezit maximální počet přijímaných prefixů pro všechny relace EBGP (nastavení maximum-prefix by pomohlo ihned vyřadit přenos 20 tisíc prefixů v rámci jedné relace);
• Používejte filtrování na základě registru IRR (Internet Routing Registry, určuje AS, přes které je povoleno směrování daných prefixů);
• Na směrovačích používejte doporučená nastavení z RFC 8212 pro blokování ve výchozím nastavení ('default deny');
• Přestaňte neopatrně používat optimalizátory BGP.

Zdroj: opennet.ru