{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Miks internet ikkagi online on?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Interneti n\u00e4ib olevat tugev, iseseisev ja purunematu struktuur. Teoorias peaks v\u00f5rgu tugevus piisama, et taluda ka tuumaplahvatust. Kuid reaalsuses v\u00f5ib internet kukutada \u00fche v\u00e4ikese ruuteri. K\u00f5ik see tuleneb sellest, et internet on konfliktide, haavatavuste, vigade ja kassivideote kogum. Interneti alus, BGP-protokoll, sisaldab hulga probleeme. On \u00fcllatav, et see veel t\u00f6\u00f6tab. Lisaks interneti enda vigadele purustavad seda ka k\u00f5ik, kel v\u00e4hegi tahtmist: suured internetiteenuse pakkujad, korporatsioonid, riigid ja DDoS-r\u00fcnnakud. Mida sellega teha ja kuidas sellega elada?<\/p>\n

\"Miks
\n
\nVastuse teab Aleksei U\u010dakin<\/b> (Night_Snake<\/a><\/noindex>) \u2014 IQ Optioni ettev\u00f5tte v\u00f5rgin\u017eenereid juhtiv meeskonna liider. Tema peamiseks \u00fclesandeks on platvormi kergesti k\u00e4tte saamine kasutajatele. Ajal, mil Aleksei k\u00f5ne protokollis\u00a0Saint HighLoad++ 2019<\/a><\/noindex> r\u00e4\u00e4gime BGP-st, DDoS-r\u00fcnnakutest, interneti l\u00fclitist, teenusepakkujate vigadest, detsentraliseerimisest ja juhtumitest, kus v\u00e4ike ruuter sundis internetti puhkama. L\u00f5pus \u2014 m\u00f5ned n\u00f5uanded, kuidas k\u00f5ike seda \u00fcle elada.
\n<\/a><\/noindex>
\n

\r\n \"Vaata\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

P\u00e4ev, mil internet katkes<\/h2>\n

\nToon vaid m\u00f5ned juhtumid, mil internetis katkes \u00fchendus. Seda on piisavalt, et saada t\u00e4ielik \u00fclevaade.<\/p>\n

\u00abAS7007 intsident\u00bb<\/b>. Esimene kord, kui internet katkestus, oli aprillis 1997. \u00dche AS7007 ruuteri tarkvaras esines viga. Teatud hetkel reklaamis ruuter oma naabritele oma sisemist marsruutimistabelit ja saatis poole v\u00f5rgu musta auku.<\/p>\n

\u00abPakistan YouTube vastu\u00bb<\/b>. 2008. aastal otsustasid julged noormehed Pakistanis YouTube'i blokeerida. Nad tegid seda nii h\u00e4sti, et ilma kassideta j\u00e4i pool maailma.<\/p>\n

\u00abVISA, MasterCard ja Symantec-i prefiksite haaramine Rostelecomi poolt\u00bb<\/b>. 2017. aastal hakkas Rostelecom ekslikult reklaamima VISA, MasterCard ja Symantec'i prefikse. Tulemuseks suunati finantstrafik kanalitesse, mida kontrollis teenusepakkuja. Leake kestis l\u00fchikest aega, kuid finantsettev\u00f5tetele oli see ebameeldiv.<\/p>\n

\u00abGoogle Jaapani vastu\u00bb<\/b>. Augustringil 2017 hakkas Google m\u00f5nes oma \u00fcles\u00f5iduks reklaamima suuremate Jaapani teenusepakkujate NTT ja KDDI prefikse. Trafik j\u00f5udis Google'i kui transiiditrafik, t\u00f5en\u00e4oliselt eksitusest. Kuna Google ei ole teenusepakkuja ja transiiditrafikut ei edasta, j\u00e4i suur osa Jaapanist internetita.<\/p>\n

\u00abDV LINK haaras Google'i, Apple'i, Facebooki, Microsofti prefikseid\u00bb<\/b>. 2017. aastal hakkas Vene teenusepakkuja DV LINK kummaliselt kuulutama Google'i, Apple'i, Facebooki, Microsofti ja m\u00f5nede teiste suurte m\u00e4ngijate v\u00f5rke.<\/p>\n

\u201eUSA eNet haaras AWS Route53 ja MyEtherwalleti prefikseid\u201c<\/b>. 2018. aastal kuulutas Ohio teenusepakkuja v\u00f5i keegi tema klientidest Amazon Route53 ja kr\u00fcptorahakoti MyEtherwalleti v\u00f5rke. R\u00fcnnak \u00f5nnestus: hoolimata enese-allkirjastatud sertifikaadist, mille hoiatus kuvatakse kasutajale MyEtherwalleti saidile sisenemisel, varastati paljusid rahakotte ja osa kr\u00fcptovaluutast.<\/p>\n

Selliseid intsidente oli ainult 2017. aastal \u00fcle 14 000! V\u00f5rk on endiselt detsentraliseeritud, seega ei purune k\u00f5ik ja mitte k\u00f5igil. Kuid intsidendid toimuvad tuhandetes ning nende k\u00f5ik on seotud BGP protokolliga, millel internet p\u00f5hineb.<\/p>\n

BGP ja selle probleemid<\/h2>\n

\nProtokoll BGP - Border Gateway Protocol<\/b>, kirjeldati esmakordselt 1989. aastal kahe inseneri, IBM-ist ja Cisco Systems-ist, poolt kolmel \"salvr\u00e4tikul\" - A4 formaadis lehtedel. Need \"salvr\u00e4tikud\"<\/a><\/noindex> on endiselt Cisco Systems'i peahoones San Franciscosse kui v\u00f5rgu maailma reliikvia.<\/p>\n

Protokolli aluseks on autonoomsete s\u00fcsteemide vaheline suhtlemine<\/b>\u00a0\u2014 Autonoomsed s\u00fcsteemid ehk l\u00fchidalt AS. Autonoomne s\u00fcsteem on lihtsalt mingi ID, millega on seotud IP-aadressid avalikus registris. Ruuter, millel on selline ID, v\u00f5ib nende v\u00f5rke maailmas kuulutada. Vastavalt sellele v\u00f5ib igat interneti marsruuti esitada vektorina, mida nimetatakse AS Path<\/b>. Vektor koosneb autonoomsete s\u00fcsteemide numbritest, mida peab l\u00e4bima, et j\u00f5uda sihtv\u00f5rku.<\/p>\n

N\u00e4iteks on olemas v\u00f5rk, mis koosneb m\u00f5nest autonoomsest s\u00fcsteemist. Peame minema s\u00fcsteemist AS65001 s\u00fcsteemi AS65003. Tee \u00fche s\u00fcsteemi ja teise vahel on esitatud AS Path skeemil. See koosneb kahest autonoomsest s\u00fcsteemist: 65002 ja 65003. Iga sihtaadressi jaoks on olemas AS Path vektor, mis koosneb autonoomsete s\u00fcsteemide numbritest, mida peame l\u00e4bima.<\/p>\n

\"Miks
\n
\nNii et millised on BGP probleemid?<\/p>\n

BGP on usaldusprotokoll<\/h3>\n

\nBGP protokoll on usaldusele p\u00f5hinev. See t\u00e4hendab, et me usaldame oma naabrit vaikimisi. See on paljude protokollide erip\u00e4ra, mis t\u00f6\u00f6tati v\u00e4lja interneti algusaegadel. Vaatame, mida t\u00e4hendab \u00abusaldame\u00bb.<\/p>\n

Naabri autentimist pole<\/b>. Formaalset taset pakub MD5, kuid MD5 2019. aastal on\u2026 noh, nii ja naa\u2026<\/p>\n

Filtreerimist pole<\/b>. BGP-l on filtrid ja need on kirjeldatud, kuid neid ei kasutata v\u00f5i kasutatakse valesti. Hiljem selgitan, miks.<\/p>\n

Naabruses seadistamine on v\u00e4ga lihtne<\/b>. Naabruse seadistamine BGP protokollis peaaegu igas ruuteris on paar rida konfigureerimist.<\/p>\n

BGP haldamise \u00f5igusi ei n\u00f5uta<\/b>. Ei pea sooritama katseid, mis kinnitavad teie kvalifikatsiooni. Keegi ei v\u00f5ta \u00e4ra \u00f5igusi BGP seadistamise eest purjus olles.<\/p>\n

Kaks peamist probleemi<\/h3>\n

\nPrefiksite \u00fclev\u00f5tud - prefix hijacks<\/b>. Prefiksite \u00fclev\u00f5tt - v\u00f5rgu kuulutamine, mis ei kuulu teile, nagu MyEtherwalleti puhul. Me v\u00f5tsime m\u00f5ned prefiksid, leppisime teenusepakkujaga kokku v\u00f5i h\u00e4kkisime ta ja kuulutame nende v\u00f5rkude kaudu neid v\u00f5rke.<\/p>\n

Marsruutide lekkeid - route leaks<\/b>. Lekete puhul on veidi keerulisem. Leake - see on AS Path'i muutmine<\/b>. Parimal juhul toob muudatus kaasa suurema viivituse, kuna tuleb minna pikemat marsruuti v\u00f5i v\u00e4hese mahutavuse lingile. Halvimal juhul kordub juhtum Google'i ja Jaapaniga.<\/p>\n

Google ei ole operaator ega ka \u00fclemineku autonoomne s\u00fcsteem. Kuid kui ta viis oma jaapani operaatorite v\u00f5rgu pakkujaga l\u00e4bi reklaami, siis Google'i kaudu liiklev liiklus n\u00e4hti AS Path'is prioriteedina. Liiklus suunati sinna ja kukkus kinni, kuna Google'i sisesed marsruutimiseseadistused on keerulisemad kui lihtsalt piirdeahelad.<\/p>\n

Miks filtrid ei t\u00f6\u00f6ta?<\/h3>\n

\nKellele on oluline<\/b>. See on p\u00f5hjus, miks - kellelgi pole sellest \u00fcksk\u00f5ik. V\u00e4ikese teenusepakkuja administraator v\u00f5i ettev\u00f5te, mis on \u00fchendatud pakkujaga BGP kaudu, ostis MikroTiki, seadistas selle BGP ja isegi ei tea, et seal saab filtreid seadistada.<\/p>\n

Seadistusvead<\/b>. Midagi deba\u0161eeris, eksis maskis, seadis vale v\u00f5rgu ja j\u00e4lle on viga.<\/p>\n

Puuduvad tehnilised v\u00f5imalused<\/b>. N\u00e4iteks on sidepakkujatel palju kliente. Targalt tuleks iga kliendi filtreid automaatselt uuendada - j\u00e4lgida, et tal ilmneb uus v\u00f5rk, et ta rentis oma v\u00f5rgu kellelegi. Selle j\u00e4lgimine on keeruline, k\u00e4sitsi veelgi raskem. Seet\u00f5ttu pannakse lihtsalt l\u00f5dvad filtrid v\u00f5i ei panda \u00fcldse filtreid.<\/p>\n

Erandid<\/b>. On olemas erandeid lemmikutele ja suurtele klientidele. Eriti juhul, kui teeme koost\u00f6\u00f6d operaatorite vahel. N\u00e4iteks TransTeleComil ja Rostelecomil on palju v\u00f5rke ning nende vahel on \u00fchendus. Kui \u00fchendus katkeb, siis ei ole kellelgi hea, seega filtreid leevendatakse v\u00f5i eemaldatakse t\u00e4iesti.<\/p>\n

Aegunud v\u00f5i ebat\u00e4pne teave IRR-is<\/b>. Filtrid p\u00f5hinevad teabel, mis on registreeritud\u00a0IRR \u2014 Interneti Marsruutimise Register<\/b>. Need on piirkondlike interneti registreerijate registrid. Tihti on registrites aegunud v\u00f5i ebat\u00e4pne teave, v\u00f5i isegi k\u00f5ik kokku.<\/p>\n

Kes need registreerijad siis on?<\/h3>\n

\"Miks
\n
\nK\u00f5ik interneti aadressid kuuluvad organisatsioonile IANA \u2014 Interneti M\u00e4\u00e4ratud Numbrite Amet<\/b>. Kui ostate kelleltki IP-v\u00f5rgu, siis ostate mitte aadresse, vaid nende kasutamise \u00f5iguse. Aadressid on mittef\u00fc\u00fcsiline ressurss ja \u00fcldise kokkuleppe kohaselt kuuluvad k\u00f5ik need IANA agentuurile.<\/p>\n

S\u00fcsteem t\u00f6\u00f6tab nii. IANA delegeerib IP-aadresside ja autonoomsete s\u00fcsteemide numbrite haldamise viiele piirkondlikule registreerijale. Need v\u00e4ljastavad autonoomsed s\u00fcsteemid LIR \u2014 kohalikud interneti registreerijad<\/b>. Edasi andmed LIR jagavad IP-aadresse l\u00f5ppkasutajatele.<\/p>\n

S\u00fcsteemi puuduseks on see, et iga piirkondlik registrator peab oma registrit omamoodi. Iga\u00fchel on erinev arusaam, milline teave peaks registrites olema, kes peab seda kontrollima ja kes mitte. Tulemuseks on segadus, mis praegu eksisteerib.<\/p>\n

Kuidas veel saab nende probleemidega v\u00f5idelda?<\/h3>\n

\nIRR - keskp\u00e4rane kvaliteet<\/b>. IRR-i osas on selge - seal on k\u00f5ik halvad.<\/p>\n

BGP-kogukonnad<\/b>. See on teatud atribuut, mis on protokollis kirjeldatud. Saame n\u00e4iteks siduda meie kuulutusele spetsiifilise kogukonna, et naabri ei saadaks meie v\u00f5rgustikke oma naabritele. Kui meil on P2P-link, vahetame me ainult oma v\u00f5rgustikke. Et juhuslik marsruut ei l\u00e4heks teistesse v\u00f5rkudesse, seome kogukonna.<\/p>\n

Kogukonnad ei ole transitiivne<\/b>. See on alati kahe inimese leping ja see on nende puudus. Me ei saa rakendada mingit seltskonda, v\u00e4lja arvatud \u00fcks, mis on vaikimisi k\u00f5igi poolt aktsepteeritud. Me ei saa olla kindlad, et see seltskond k\u00f5ik aktsepteerib ja \u00f5igesti t\u00f5lgendab. Seet\u00f5ttu, parimal v\u00f5imalikul juhul, kui te oma uplinkiga kokku lepite, v\u00f5ib ta m\u00f5ista, mida te temalt seltskonna osas soovite. Kuid naaber v\u00f5ib seda mitte m\u00f5ista, v\u00f5i operaator lihtsalt kustutab teie sildi, ning te ei saavuta seda, mida soovite.<\/p>\n

RPKI + ROA lahendab vaid v\u00e4ikese osa probleemidest<\/b>. RPKI on Ressursside Avaliku V\u00f5tme Infrastruktuur\u00a0<\/b> \u2014 spetsiaalne raamistik marsruutimise teabe allkirjastamiseks. Hea idee, et sundida LIR-e ja nende kliente pidama ajakohast aadressiruumide andmebaasi. Kuid sellega on \u00fcks probleem.<\/p>\n

RPKI on samuti hierarhiline avatud v\u00f5tmete s\u00fcsteem. IANA-l on v\u00f5tme, mille alusel luuakse RIR-ide v\u00f5tmed, ja neist LIR-ide v\u00f5tmed? millega nad allkirjastavad oma aadressiruumi ROA-de abil \u2014 Marsruudi Origini Autoriseerimised:<\/p>\n

\u2014 Kinnitan, et see eelisj\u00e4rjekord antakse v\u00e4lja selle autonoomse s\u00fcsteemi nimel.<\/i><\/p>\n

Lisaks ROA-le on veel teisi objekte, kuid neist r\u00e4\u00e4gime hiljem. Tundub, et tegemist on hea ja kasuliku asjaga. Kuid see ei kaitse meid lekkide eest s\u00f5na otseses m\u00f5ttes ja ei lahenda k\u00f5iki probleemidega sellega, seet\u00f5ttu ei kiirusta m\u00e4ngijad seda rakendama. Siiski on juba suurte m\u00e4ngijate nagu AT&T ja suurte IX-ide poolt lubadusi, et invalid-kirjeg ROA-ga prefikse hakatakse eemaldama. <\/p>\n

V\u00f5ib-olla nad teevad seda, kuid praegu on meil tohutult palju prefikse, millel ei ole mingeid allkirju. \u00dchelt poolt ei ole selge, kas need on valideeritavad. Teiselt poolt ei saa me neid vaikes\u00e4tte j\u00e4rgi eemaldada, kuna ei ole kindlad, kas see on \u00f5ige v\u00f5i mitte.<\/p>\n

Mis on veel?<\/h3>\n

\nBGPSec<\/b>. See on \u00e4ge asi, mille l\u00f5id akadeemikud roosade ponide v\u00f5rgule. Nad \u00fctlesid:<\/p>\n

\u2014 Meil on RPKI + ROA \u2013 aadressiruumi allkirjastamise mehhanism. Loome eraldi BGP-attribuudi ja nimetame selle BGPSec Path. Iga ruuter allkirjastab oma allkirjaga anoonse, mida ta naabritele teeb. Nii saame me usaldusv\u00e4\u00e4rse tee allkirjastatud anoonse ahelas ja saame seda kontrollida.<\/i><\/p>\n

Teoreetiliselt k\u00f5lab h\u00e4sti, kuid praktikas on palju probleeme. BGPSec l\u00f5hub paljusid olemasolevaid BGP-mehhanisme next-hop'i valiku ja sissetuleva\/v\u00e4ljumise liikluse haldamise osas otse ruuteris. BGPSec ei t\u00f6\u00f6ta, kuni seda ei rakenda 95% turuosalistest, mis on iseenesest utoopia.<\/p>\n

BGPSec-l on tohutud j\u00f5udlusprobleemid. Praeguste seadmete puhul kontrollitakse reklaame kiirusel umbes 50 eelm\u00fc\u00fcki sekundis. V\u00f5rdluseks: praegune Interneti tabel 700 000 eelm\u00fc\u00fcgist laaditakse \u00fcles 5 tunni jooksul, mille jooksul 10 korda muutub.<\/p>\n

BGP Avatud Poliitika (Rollip\u00f5hine BGP)<\/b>. Uus ettepanek mudeli alusel Gao-Rexford<\/b>. Need on kaks teadlast, kes tegelevad BGP uurimisega.<\/p>\n

Gao-Rexfordi mudel seisneb j\u00e4rgnevas. Lihtsustatult \u00f6eldes on BGP-l v\u00e4ike hulk suhtlemist\u00fc\u00fcpe:<\/p>\n