BGP-rute lækage førte til massiv forbindelsesbrud på internettet.

Cloudflare offentliggjorde rapport om gårsdagens hændelse, som forårsagede tre timer fra 13:34 til 16:26 (MSK) oplevedes problemer med adgangen til mange ressourcer på det globale netværk, inklusive Cloudflare, Facebook, Akamai, Apple, Linode og Amazon AWS. Problemerne i Cloudflares infrastruktur, der sørger for CDN til 16 mio. websteder, blev observeret fra 14:02 til 16:02 (MSK). Ifølge Cloudflare var der under nedbruddet et tab på cirka 15% af den globale trafik.

Problemet var er forårsaget en ruteutslipning via BGP, hvor omkring 20.000 præfikser for 2400 netværk blev omdirigeret forkert. Kilden til udsivningen var udbyderen DQE Communications, som brugte softwaren BGP Optimizer til at optimere routing. BGP Optimizer opdeler IP-præfikser i mindre dele, for eksempel opdeler 104.20.0.0/20 i 104.20.0.0/21 og 104.20.8.0/21, hvilket medførte, at DQE Communications havde mange specifikke ruter på sin side, som omdefinerede mere generelle ruter (dvs. i stedet for de generelle ruter til Cloudflare blev der brugt mere granulære ruter til specifikke subnetværk fra Cloudflare).

Disse punkt-ruter blev annonceret til en af kunderne (Allegheny Technologies, AS396531), som også havde forbindelse via en anden udbyder. Allegheny Technologies broadcastede de modtagne ruter til en anden transitudbyder (Verizon, AS701). På grund af manglende korrekt filtrering af BGP-annoncer og begrænsning af antallet af præfikser, tog Verizon denne annonce til sig og broadcastede de modtagne 20.000 præfikser til resten af internettet. De forkert præfikser blev på grund af deres granularitet opfattet som mere prioriterede, da en specifik rute har højere prioritet end en generel.

Som følge heraf blev trafikken til mange store netværk dirigeret gennem Verizon til den lille udbyder DQE Communications, som ikke var i stand til at håndtere det store trafikpres, hvilket førte til et kollaps (effekten kan sammenlignes med, at en del af en overbelastet motorvej blev erstattet med en grusvej).

For at forhindre opståen af lignende hændelser i fremtiden
anbefales:

• Brug verificering af annoncer baseret på RPKI (BGP Origin Validation, tillader kun modtagelse af annoncer fra netværsejere);
• Begræns det maksimale antal modtagne præfikser for alle EBGP-sessioner (indstillingen maximum-prefix ville straks have afvist overførslen af 20.000 præfikser inden for én session);
• Anvend filtrering baseret på IRR-registeret (Internet Routing Registry, der definerer AS, som tillader routing af angivne præfikser);
• Brug de anbefalede indstillinger fra RFC 8212 på routere til standardblokering (‘default deny’);
• Stop det tankeløse brug af BGP-optimerere.

Kilde: opennet.ru