{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/cs\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Pro\u010d je Internet st\u00e1le online?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Internet se zd\u00e1 jako siln\u00e1, nez\u00e1visl\u00e1 a neochv\u011bjn\u00e1 struktura. Teoreticky m\u00e1 s\u00ed\u0165 dostate\u010dnou odolnost na to, aby p\u0159e\u017eila jadern\u00fd v\u00fdbuch. V praxi v\u0161ak internet m\u016f\u017ee zkolabovat kv\u016fli jen jednomu mal\u00e9mu routeru. To v\u0161e proto, \u017ee internet je hromadou protiklad\u016f, zranitelnost\u00ed, chyb a vide\u00ed s ko\u010di\u010dkami. Z\u00e1kladem internetu je protokol BGP, kter\u00fd obsahuje spoustu probl\u00e9m\u016f. Je p\u0159ekvapiv\u00e9, \u017ee st\u00e1le funguje. Krom\u011b chyb v samotn\u00e9m internetu jej nav\u00edc naru\u0161uj\u00ed ti, kdo se nezdr\u00e1haj\u00ed: velc\u00ed internetov\u00ed poskytovatel\u00e9, korporace, st\u00e1ty a DDoS \u00fatoky. Co s t\u00edm d\u011blat a jak s t\u00edm \u017e\u00edt?<\/p>\n

\"Pro\u010d
\n
\nOdpov\u011b\u010f zn\u00e1 Alexej U\u010dakin<\/b> (Night_Snake<\/a><\/noindex>) \u2013 vedouc\u00ed t\u00fdmu s\u00ed\u0165ov\u00fdch in\u017een\u00fdr\u016f ve spole\u010dnosti IQ Option. Jeho hlavn\u00edm \u00fakolem je zajistit dostupnost platformy pro u\u017eivatele. V p\u0159episu p\u0159edn\u00e1\u0161ky Alexeje na\u00a0Saint HighLoad++ 2019<\/a><\/noindex> se budeme bavit o BGP, DDoS \u00fatoc\u00edch, vyp\u00edna\u010di internetu, chyb\u00e1ch poskytovatel\u016f, decentralizaci a o p\u0159\u00edpadech, kdy mal\u00fd router poslal internet na sp\u00e1nek. Na z\u00e1v\u011br pak p\u00e1r rad, jak to v\u0161echno p\u0159e\u017e\u00edt.
\n<\/a><\/noindex>
\n

\r\n \"P\u0159ehr\u00e1t\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

Den, kdy internet zkolaboval<\/h2>\n

\nUvedu jen n\u011bkolik incident\u016f, kdy v internetu do\u0161lo k v\u00fdpadku konektivity. To by m\u011blo posta\u010dovat pro kompletn\u00ed obraz.<\/p>\n

Incident s AS7007<\/b>. Poprv\u00e9 internet zkolaboval v dubnu 1997. V softwaru jednoho routeru z autonomn\u00edho syst\u00e9mu 7007 byla chyba. V ur\u010dit\u00e9m okam\u017eiku router ozn\u00e1mil sv\u00fdm soused\u016fm svou intern\u00ed sm\u011brovac\u00ed tabulku a poslal polovinu s\u00edt\u011b do black hole.<\/p>\n

P\u00e1kist\u00e1n proti YouTube<\/b>. V roce 2008 se odv\u00e1\u017en\u00ed chlapci z P\u00e1kist\u00e1nu rozhodli blokovat YouTube. Ud\u011blali to tak dob\u0159e, \u017ee polovina sv\u011bta z\u016fstala bez ko\u010dek.<\/p>\n

Zah\u00e1jen\u00ed prefix\u016f VISA, MasterCard a Symantec spole\u010dnost\u00ed Rostelekom<\/b>. V roce 2017 Rostelekom omylem za\u010dal oznamovat prefixy VISA, MasterCard a Symantec. V\u00fdsledkem bylo, \u017ee finan\u010dn\u00ed provoz sm\u011b\u0159oval p\u0159es kan\u00e1ly, kter\u00e9 kontroloval poskytovatel. \u00danik trval krati\u010dkou dobu, ale finan\u010dn\u00edm spole\u010dnostem to nebylo p\u0159\u00edjemn\u00e9.<\/p>\n

Google proti Japonsku<\/b>. V srpnu 2017 Google za\u010dal oznamovat v \u010d\u00e1sti sv\u00fdch uplink\u016f prefixy velk\u00fdch japonsk\u00fdch poskytovatel\u016f NTT a KDDI. Provoz byl nepochybn\u011b omylem odesl\u00e1n do Googlu jako tranzitn\u00ed. Proto\u017ee Google nen\u00ed poskytovatel a tranzitn\u00ed provoz nepropou\u0161t\u00ed, zna\u010dn\u00e1 \u010d\u00e1st Japonska z\u016fstala bez internetu.<\/p>\n

DV LINK obsadil prefixy Google, Apple, Facebook, Microsoft<\/b>. V roce 2017 rusk\u00fd poskytovatel DV LINK za\u010dal z n\u011bjak\u00e9ho d\u016fvodu oznamovat s\u00edt\u011b Google, Apple, Facebook, Microsoft a n\u011bkter\u00fdch dal\u0161\u00edch v\u00fdznamn\u00fdch hr\u00e1\u010d\u016f.<\/p>\n

\u201eeNet ze USA z\u00edskal prefixy AWS Route53 a MyEtherwallet\u201c<\/b>. V roce 2018 poskytovatel z Ohia nebo n\u011bkdo z jeho klient\u016f ozn\u00e1mil s\u00edt\u011b Amazon Route53 a kryptom\u011bnov\u00e9 pen\u011b\u017eenky MyEtherwallet. \u00datok byl \u00fasp\u011b\u0161n\u00fd: i p\u0159es samopodepsan\u00fd certifik\u00e1t, jeho\u017e varov\u00e1n\u00ed se u\u017eivateli zobrazovalo p\u0159i p\u0159\u00edstupu na web MyEtherwallet, byly ukradeny mnoh\u00e9 pen\u011b\u017eenky a \u010d\u00e1st kryptom\u011bny.<\/p>\n

Podobn\u00fdch incident\u016f bylo jen v roce 2017 v\u00edce ne\u017e 14 000! S\u00ed\u0165 je st\u00e1le decentralizovan\u00e1, a tak se neporouch\u00e1v\u00e1 v\u0161echno a ne u v\u0161ech. Ale incidenty se d\u011bj\u00ed po tis\u00edc\u00edch a v\u0161echny jsou spojeny s protokolem BGP, na kter\u00e9m internet funguje.<\/p>\n

BGP a jeho probl\u00e9my<\/h2>\n

\nProtokol BGP \u2013 Protokol ohrani\u010duj\u00edc\u00edch br\u00e1n<\/b>, byl poprv\u00e9 pops\u00e1n v roce 1989 dv\u011bma in\u017een\u00fdry z IBM a Cisco Systems na t\u0159ech \u201eubrousc\u00edch\u201c \u2013 listech form\u00e1tu A4. Tyto \u201eubrousky\u201c<\/a><\/noindex> dodnes le\u017e\u00ed v hlavn\u00ed kancel\u00e1\u0159i Cisco Systems v San Franciscu jako relikvie s\u00ed\u0165ov\u00e9ho sv\u011bta.<\/p>\n

V z\u00e1kladu protokolu je interakce autonomn\u00edch syst\u00e9m\u016f<\/b>\u00a0\u2013 Autonomous Systems neboli zkr\u00e1cen\u011b AS. Autonomn\u00ed syst\u00e9m je prost\u011b ur\u010dit\u00e9 ID, za kter\u00fdm v ve\u0159ejn\u00e9m registru jsou zaps\u00e1ny s\u00edt\u011b IP. Router s t\u00edmto ID m\u016f\u017ee ozn\u00e1mit sv\u011btu tyto s\u00edt\u011b. Odpov\u00eddaj\u00edc\u00edm zp\u016fsobem lze jakoukoli trasu na internetu p\u0159edstavit jako vektor, kter\u00fd se naz\u00fdv\u00e1 AS Path<\/b>. Vektor se skl\u00e1d\u00e1 z \u010d\u00edsel autonomn\u00edch syst\u00e9m\u016f, kter\u00e9 je t\u0159eba proj\u00edt, aby se dos\u00e1hlo c\u00edlov\u00e9 s\u00edt\u011b.<\/p>\n

Nap\u0159\u00edklad existuje s\u00ed\u0165 z ur\u010dit\u00e9ho po\u010dtu autonomn\u00edch syst\u00e9m\u016f. Je pot\u0159eba proj\u00edt ze syst\u00e9mu AS65001 do syst\u00e9mu AS65003. Cesta z jednoho syst\u00e9mu je zn\u00e1zorn\u011bna AS Path na sch\u00e9matu. Skl\u00e1d\u00e1 se ze dvou autonomn\u00edch syst\u00e9m\u016f: 65002 a 65003. Pro ka\u017edou c\u00edlovou adresu existuje vektor AS Path, kter\u00fd se skl\u00e1d\u00e1 z \u010d\u00edsel autonomn\u00edch syst\u00e9m\u016f, kter\u00e9 je t\u0159eba proj\u00edt.<\/p>\n

\"Pro\u010d
\n
\nJak\u00e9 probl\u00e9my m\u00e1 BGP?<\/p>\n

BGP je protokol d\u016fv\u011bry<\/h3>\n

\nProtokol BGP je zalo\u017een na d\u016fv\u011b\u0159e. To znamen\u00e1, \u017ee defaultn\u011b d\u016fv\u011b\u0159ujeme na\u0161emu sousedovi. Toto je charakteristika mnoha protokol\u016f, kter\u00e9 byly vyvinuty na sam\u00e9m po\u010d\u00e1tku internetu. Poj\u010fme si objasnit, co znamen\u00e1 \u201ed\u016fv\u011b\u0159ovat\u201c.<\/p>\n

\u017d\u00e1dn\u00e1 autentizace souseda<\/b>. Form\u00e1ln\u011b existuje MD5, ale MD5 v roce 2019 \u2013 no, tak to je...<\/p>\n

\u017d\u00e1dn\u00e1 filtraci<\/b>. BGP m\u00e1 filtry a ty jsou pops\u00e1ny, ale nejsou vyu\u017e\u00edv\u00e1ny, nebo jsou vyu\u017e\u00edv\u00e1ny \u0161patn\u011b. Pozd\u011bji vysv\u011btl\u00edm, pro\u010d.<\/p>\n

Velmi snadn\u00e9 nastavit sousedstv\u00ed<\/b>. Nastaven\u00ed sousedstv\u00ed v protokolu BGP t\u00e9m\u011b\u0159 na jak\u00e9mkoli routeru \u2013 p\u00e1r \u0159\u00e1dk\u016f konfigurace.<\/p>\n

Nen\u00ed pot\u0159eba m\u00edt opr\u00e1vn\u011bn\u00ed k \u0159\u00edzen\u00ed BGP<\/b>. Nen\u00ed nutn\u00e9 skl\u00e1dat zkou\u0161ky, kter\u00e9 potvrzuj\u00ed va\u0161e kvalifikace. Nikdo v\u00e1m neodebere pr\u00e1va za nastaven\u00ed BGP v opilosti.<\/p>\n

Dva hlavn\u00ed probl\u00e9my<\/h3>\n

\nUgony prefix\u016f \u2013 prefix hijacks<\/b>. Ugon prefixu \u2013 ozn\u00e1men\u00ed s\u00edt\u011b, kter\u00e1 v\u00e1m nepat\u0159\u00ed, jako v p\u0159\u00edpad\u011b s MyEtherwallet. Vzali jsme n\u011bkter\u00e9 prefixy, dohodli se s poskytovatelem nebo ho hackli, a p\u0159es n\u011bj ozn\u00e1m\u00edme tyto s\u00edt\u011b.<\/p>\n

\u00daniky tras \u2013 route leaks<\/b>. S \u00faniky je to trochu slo\u017eit\u011bj\u0161\u00ed. \u00danik \u2013 to je zm\u011bna AS Path<\/b>. V nejlep\u0161\u00edm p\u0159\u00edpad\u011b tato zm\u011bna povede k v\u011bt\u0161\u00edmu zpo\u017ed\u011bn\u00ed, proto\u017ee mus\u00edte proj\u00edt del\u0161\u00ed trasu nebo m\u00e9n\u011b v\u00fdkonn\u00fdm linkem. V hor\u0161\u00edm p\u0159\u00edpad\u011b se znovu zopakuje p\u0159\u00edpad s Googlem a Japonskem.<\/p>\n

S\u00e1m Google nen\u00ed oper\u00e1tor ani tranzitn\u00ed autonomn\u00ed syst\u00e9m. Ale kdy\u017e ozn\u00e1mil sv\u00e9mu poskytovateli s\u00edt\u011b japonsk\u00fdch oper\u00e1tor\u016f, pak byl provoz p\u0159es Google na AS Path vid\u011bn jako prioritn\u011bj\u0161\u00ed. Provoz \u0161el tam a byl prost\u011b zahozen, proto\u017ee nastaven\u00ed sm\u011brov\u00e1n\u00ed uvnit\u0159 Google bylo slo\u017eit\u011bj\u0161\u00ed ne\u017e jen filtry na hranici.<\/p>\n

Pro\u010d filtry nefunguj\u00ed?<\/h3>\n

\nNikdo se nestar\u00e1<\/b>. To je hlavn\u00ed d\u016fvod \u2013 v\u0161em je to jedno. Administr\u00e1tor mal\u00e9 spole\u010dnosti nebo poskytovatele, kter\u00fd se p\u0159ipojil k poskytovateli p\u0159es BGP, vzal MikroTik, nastavil na n\u011bm BGP a ani nev\u00ed, \u017ee je mo\u017en\u00e9 nastavovat filtry.<\/p>\n

Chyby v konfiguraci<\/b>. N\u011bco debugovali, ud\u011blali chybu v masce, nastavili nespr\u00e1vnou s\u00ed\u0165 \u2013 a je tu op\u011bt chyba.<\/p>\n

Nen\u00ed technick\u00e1 mo\u017enost<\/b>. Nap\u0159\u00edklad poskytovatel\u00e9 slu\u017eeb maj\u00ed mnoho klient\u016f. Rozumn\u011b by bylo automaticky aktualizovat filtry pro ka\u017ed\u00e9ho klienta \u2013 sledovat, \u017ee m\u00e1 novou s\u00ed\u0165, \u017ee pronajal svou s\u00ed\u0165 n\u011bkomu jin\u00e9mu. Sledovat to je slo\u017eit\u00e9, ru\u010dn\u011b \u2013 je\u0161t\u011b slo\u017eit\u011bj\u0161\u00ed. Proto se jednodu\u0161e nastavuj\u00ed uvoln\u011bn\u00e9 filtry nebo se filtry v\u016fbec nenastavuj\u00ed.<\/p>\n

V\u00fdjimky<\/b>. Existuj\u00ed v\u00fdjimky pro obl\u00edben\u00e9 a velk\u00e9 klienty. Zejm\u00e9na v p\u0159\u00edpad\u011b mezooper\u00e1torsk\u00fdch spojen\u00ed. Nap\u0159\u00edklad TransTelecom a Rostelecom maj\u00ed spoustu s\u00edt\u00ed a mezi nimi spojen\u00ed. Pokud spojen\u00ed spadne \u2013 nikomu to nebude dob\u0159e, tak\u017ee filtry uvol\u0148uj\u00ed nebo \u00fapln\u011b odstra\u0148uj\u00ed.<\/p>\n

Zastaral\u00e9 nebo neaktu\u00e1ln\u00ed informace v IRR<\/b>. Filtry se stav\u00ed na z\u00e1klad\u011b informac\u00ed, kter\u00e9 jsou zaps\u00e1ny v\u00a0IRR \u2013 Internet Routing Registry<\/b>. Jedn\u00e1 se o registry region\u00e1ln\u00edch internetov\u00fdch registr\u00e1tor\u016f. \u010casto obsahuj\u00ed zastaral\u00e9 nebo neaktu\u00e1ln\u00ed informace, nebo oboj\u00ed.<\/p>\n

Kdo jsou tito registr\u00e1to\u0159i?<\/h3>\n

\"Pro\u010d
\n
\nV\u0161echny adresy na internetu pat\u0159\u00ed organizac\u00edm IANA \u2013 Internet Assigned Numbers Authority<\/b>. Kdy\u017e si od n\u011bkoho kupujete s\u00ed\u0165 IP, nekupujete adresy, ale pr\u00e1vo je pou\u017e\u00edvat. Adresy jsou nehmotn\u00fd zdroj a podle dohody pat\u0159\u00ed v\u0161em agentu\u0159e IANA.<\/p>\n

Syst\u00e9m funguje takto. IANA deleguje spr\u00e1vu IP adres a \u010d\u00edsel autonomn\u00edch syst\u00e9m\u016f p\u011bti region\u00e1ln\u00edm registr\u00e1tor\u016fm. Ti vyd\u00e1vaj\u00ed autonomn\u00ed syst\u00e9my LIR \u2013 lok\u00e1ln\u00edm internetov\u00fdm registr\u00e1tor\u016fm<\/b>. D\u00e1le LIR p\u0159id\u011bluj\u00ed IP adresy koncov\u00fdm u\u017eivatel\u016fm.<\/p>\n

Nev\u00fdhodou syst\u00e9mu je, \u017ee ka\u017ed\u00fd z region\u00e1ln\u00edch registr\u00e1tor\u016f vede sv\u00e9 registry po sv\u00e9m. Ka\u017ed\u00fd m\u00e1 sv\u016fj pohled na to, jak\u00e9 informace by m\u011bly b\u00fdt v registrech, kdo by je m\u011bl \u010di nem\u011bl kontrolovat. V\u00fdsledkem je chaos, kter\u00fd m\u00e1me nyn\u00ed.<\/p>\n

Jak jinak lze bojovat s t\u011bmito probl\u00e9my?<\/h3>\n

\nIRR \u2013 pr\u016fm\u011brn\u00e1 kvalita<\/b>. S IRR je to jasn\u00e9 \u2013 je to \u0161patn\u00e9.<\/p>\n

BGP-communities<\/b>. To je ur\u010dit\u00fd atribut, kter\u00fd je pops\u00e1n v protokolu. M\u016f\u017eeme p\u0159ipojit nap\u0159\u00edklad speci\u00e1ln\u00ed community k na\u0161emu ozn\u00e1men\u00ed, aby soused neodes\u00edlal na\u0161e s\u00edt\u011b sv\u00fdm soused\u016fm. Kdy\u017e m\u00e1me link P2P, vym\u011b\u0148ujeme si jen na\u0161e s\u00edt\u011b. Aby n\u00e1hodou cesta neode\u0161la do jin\u00fdch s\u00edt\u00ed, p\u0159ipojujeme community.<\/p>\n

Community nejsou tranzitivn\u00ed<\/b>. Je to v\u017edy dohoda mezi dv\u011bma, a to je jejich nev\u00fdhoda. Nem\u016f\u017eeme p\u0159ipojit \u017e\u00e1dnou community, krom\u011b jedn\u00e9, kterou p\u0159ij\u00edmaj\u00ed v\u0161ichni jako v\u00fdchoz\u00ed. Nem\u016f\u017eeme si b\u00fdt jisti, \u017ee tuto community v\u0161ichni p\u0159ijmou a spr\u00e1vn\u011b interpretuj\u00ed. Proto, v nejlep\u0161\u00edm p\u0159\u00edpad\u011b, pokud se domluv\u00edte se sv\u00fdm uplinkem, pochop\u00ed, co od n\u011bj chcete p\u0159es community. Ale m\u016f\u017ee to nepochopit jeho soused, nebo oper\u00e1tor prost\u011b odstran\u00ed va\u0161i zna\u010dku a nedos\u00e1hnete toho, co jste cht\u011bli.<\/p>\n

RPKI + ROA \u0159e\u0161\u00ed pouze malou \u010d\u00e1st probl\u00e9m\u016f<\/b>. RPKI \u2013 to je Resource Public Key Infrastructure\u00a0<\/b> \u2013 speci\u00e1ln\u00ed r\u00e1mec pro podepisov\u00e1n\u00ed sm\u011brovac\u00edch informac\u00ed. Dobr\u00e1 my\u0161lenka, jak donutit LIR a jejich klienty v\u00e9st aktu\u00e1ln\u00ed datab\u00e1zi adresn\u00edho prostoru. Ale s t\u00edm je jeden probl\u00e9m.<\/p>\n

RPKI je tak\u00e9 hierarchick\u00fd syst\u00e9m otev\u0159en\u00fdch kl\u00ed\u010d\u016f. IANA m\u00e1 kl\u00ed\u010d, od kter\u00e9ho jsou vytv\u00e1\u0159eny kl\u00ed\u010de RIR, a od nich kl\u00ed\u010de LIR, kter\u00fdmi podepisuj\u00ed sv\u00e9 adresn\u00ed prostory pomoc\u00ed ROA \u2014 Route Origin Authorisations:<\/p>\n

\u2014 Uji\u0161\u0165uji, \u017ee tento prefix bude vyhla\u0161ov\u00e1n jm\u00e9nem t\u00e9to autonomn\u00ed s\u00edt\u011b.<\/i><\/p>\n

Krom\u011b ROA existuj\u00ed i dal\u0161\u00ed objekty, ale o t\u011bch n\u011bkdy jindy. Zd\u00e1 se, \u017ee je to u\u017eite\u010dn\u00e1 a dobr\u00e1 v\u011bc. Ale tato ochrana n\u00e1s neochr\u00e1n\u00ed p\u0159ed \u00faniky, to znamen\u00e1, \u017ee ne\u0159e\u0161\u00ed v\u0161echny probl\u00e9my s kr\u00e1de\u017e\u00ed prefix\u016f. Proto se hr\u00e1\u010di do jej\u00edho zav\u00e1d\u011bn\u00ed nesna\u017e\u00ed p\u0159ehnan\u011b sp\u011bchat. I kdy\u017e u\u017e od velk\u00fdch hr\u00e1\u010d\u016f, jako je AT&T a velk\u00fdch IX, m\u00e1me z\u00e1ruky, \u017ee prefixy s invalidn\u00edmi z\u00e1pisy ROA budou vyhazov\u00e1ny. <\/p>\n

Mo\u017en\u00e1 to budou d\u011blat, ale zat\u00edm m\u00e1me ohromn\u00e9 mno\u017estv\u00ed prefix\u016f, kter\u00e9 nejsou nijak podeps\u00e1ny. Na jedn\u00e9 stran\u011b nen\u00ed jasn\u00e9, jestli jsou vyhla\u0161ov\u00e1ny platn\u011b. Na druh\u00e9 stran\u011b je nem\u016f\u017eeme vyhazovat automaticky, proto\u017ee si nejsme jisti, zda je to spr\u00e1vn\u00e9 nebo ne.<\/p>\n

Co dal\u0161\u00edho existuje?<\/h3>\n

\nBGPSec<\/b>. To je skv\u011bl\u00e1 v\u011bc, kterou vymysleli akademici pro s\u00ed\u0165 r\u016f\u017eov\u00fdch pon\u00edk\u016f. \u0158ekli:<\/p>\n

\u2014 M\u00e1me RPKI + ROA \u2014 mechanismus zaji\u0161t\u011bn\u00ed podpisu adresn\u00edho prostoru. Poj\u010fme zav\u00e9st samostatn\u00fd BGP atribut a nazv\u011bme ho BGPSec Path. Ka\u017ed\u00fd router podep\u00ed\u0161e sv\u00e9 v\u00fdstupy, kter\u00e9 vyhla\u0161uje soused\u016fm. Tak z\u00edsk\u00e1me d\u016fv\u011bryhodnou cestu z \u0159et\u011bzce podepsan\u00fdch ozn\u00e1men\u00ed, kterou budeme moci ov\u011b\u0159it.<\/i><\/p>\n

V teorii je to dobr\u00e9, ale v praxi je mnoho probl\u00e9m\u016f. BGPSec naru\u0161uje mnoh\u00e9 st\u00e1vaj\u00edc\u00ed mechaniky BGP p\u0159i v\u00fdb\u011bru next-hop a \u0159\u00edzen\u00ed p\u0159\u00edchoz\u00edho\/odchoz\u00edho provozu p\u0159\u00edmo na routeru. BGPSec nefunguje, dokud ho nezavedou 95 % \u00fa\u010dastn\u00edk\u016f cel\u00e9ho trhu, co\u017e samo o sob\u011b je utopie.<\/p>\n

BGPSec m\u00e1 obrovsk\u00e9 probl\u00e9my s v\u00fdkonem. Na sou\u010dasn\u00e9m hardwaru je rychlost ov\u011b\u0159ov\u00e1n\u00ed ozn\u00e1men\u00ed p\u0159ibli\u017en\u011b 50 prefix\u016f za sekundu. Pro porovn\u00e1n\u00ed: sou\u010dasn\u00e1 tabulka internetu s 700 000 prefixy by byla napln\u011bna za 5 hodin, b\u011bhem kter\u00fdch se je\u0161t\u011b 10kr\u00e1t zm\u011bn\u00ed.<\/p>\n

BGP Open Policy (Role-based BGP)<\/b>. Nov\u00fd n\u00e1vrh na z\u00e1klad\u011b modelu Gao-Rexforda<\/b>. To jsou dva v\u011bdci, kte\u0159\u00ed se zab\u00fdvaj\u00ed v\u00fdzkumem BGP.<\/p>\n

Model Gao-Rexforda spo\u010d\u00edv\u00e1 v n\u00e1sleduj\u00edc\u00edm. Pokud to zjednodu\u0161\u00edme, v p\u0159\u00edpad\u011b BGP existuje mal\u00e9 mno\u017estv\u00ed typ\u016f interakc\u00ed:<\/p>\n