Dh'adhbhraich aodion slighe BGP ann an Rostelecom aimhreit air ceanglaichean nan lìonraidhean as motha

Mar thoradh air fios mearachdach BGP, tha còrr air 8800 ro-leasachan lìonra cèin thionndaidh suas air ath-stiùireadh tro lìonra Rostelecom, a lean gu tuiteam geàrr-ùine ann an slighe, briseadh air ceangal lìonra agus duilgheadasan le ruigsinneachd air cuid de sheirbheisean air feadh an t-saoghail. Trioblaid còmhdaichte barrachd air siostaman fèin-riaghailteach 200 a tha le prìomh chompanaidhean eadar-lìn agus lìonraidhean lìbhrigidh susbaint, nam measg Akamai, Cloudflare, Cuan Digiteach, Amazon AWS, Hetzner, Level3, Facebook, Alibaba agus Linode.

Chaidh an ainmeachadh mearachdach a dhèanamh le Rostelecom (AS12389) air 1 Giblean aig 22:28 (MSK), an uairsin chaidh a thogail leis an t-solaraiche Rascom (AS20764) agus nas fhaide air adhart air an t-seine sgaoil e gu Cogent (AS174) agus Ìre 3 (AS3356) , anns an robh an raon a’ còmhdach cha mhòr a h-uile solaraiche eadar-lìn aig a’ chiad ìre (Slat-1). Seirbheisean monitoringa Chuir BGP fios gu Rostelecom gu sgiobalta mun duilgheadas, agus mar sin mhair an tachartas timcheall air 10 mionaidean (a rèir dàta eile chaidh na buaidhean fhaicinn airson timcheall air uair a thìde).

Chan e seo a’ chiad tachartas anns an robh mearachd air taobh Rostelecom. Ann an 2017 taobh a-staigh 5-7 mionaidean tro Rostelecom air an ath-stiùireadh lìonraidhean de na bancaichean as motha agus seirbheisean ionmhais, nam measg Visa agus MasterCard. Anns an dà thachartas, tha e coltach gu bheil tùs na trioblaid frithealadh obair co-cheangailte ri riaghladh trafaic, mar eisimpleir, dh’ fhaodadh aodion slighean tachairt nuair a bhios tu a’ cur air dòigh sgrùdadh taobh a-staigh, prìomhachasadh no sgàthan air trafaic a’ dol tro Rostelecom airson seirbheisean sònraichte agus CDNn (mar thoradh air àrdachadh ann an luchd lìonra mar thoradh air obair mhòr bhon dachaigh aig deireadh na Am Màrt air a dheasbad a’ cheist mu bhith a’ lughdachadh prìomhachas trafaic sheirbheisean cèin a thaobh goireasan dachaigheil). Mar eisimpleir, o chionn grunn bhliadhnaichean chaidh oidhirp a dhèanamh ann am Pacastan pasgadh Mar thoradh air subnets YouTube air an eadar-aghaidh null thàinig coltas na subnets sin ann an sanasan BGP agus sruthadh trafaic YouTube gu Pacastan.

Tha e inntinneach gu bheil an latha ron tachartas le Rostelecom, an solaraiche beag "New Reality" (AS50048) bhon bhaile. Sumerlya tro Transtelecom bha e ainmeachadh 2658 ro-leasachan a’ toirt buaidh air Orange, Akamai, Rostelecom agus lìonraidhean còrr air 300 companaidh. Mar thoradh air an t-slighe a chaidh a leigeil ma sgaoil thàinig grunn tonnan de ath-sheòlaidhean trafaic a mhair grunn mhionaidean. Aig an ìre as àirde, thug an duilgheadas buaidh air suas ri 13.5 millean seòladh IP. Chaidh aimhreit chruinneil follaiseach a sheachnadh mar thoradh air mar a chleachd Transtelecom de chuingealachaidhean slighe airson gach neach-dèiligidh.

Bidh tachartasan coltach ris a’ tachairt air an eadar-lìn gu cunbhalach agus leanaidh iad gus am bi iad air an cur an gnìomh anns gach àite dòighean ceadachaidh Sanasan BGP stèidhichte air RPKI (BGP Origin Validation), a’ ceadachadh sanasan bho luchd-seilbh lìonra a-mhàin. Às aonais cead, faodaidh gnìomhaiche sam bith subnet a shanasachadh le fiosrachadh meallta mu fhad an t-slighe agus gluasad troimhe fhèin de phàirt den trafaic bho shiostaman eile nach eil a’ cleachdadh sìoladh sanasachd.

Aig an aon àm, anns an tachartas air a bheilear a’ beachdachadh, thionndaidh seic a’ cleachdadh stòr-tasgaidh RIPE RPKI gun fheum. Le co-thuiteamas, trì uairean mus deach slighe BGP a leigeil ma sgaoil ann an Rostelecom, rè a’ phròiseas ùrachadh bathar-bog RIPE, air a sguabadh às gun fhiosta Clàran 4100 ROA (Ùghdarras Tùs Slighe RPKI). Cha deach an stòr-dàta ath-nuadhachadh ach air 2 Giblean, agus fad na h-ùine seo bha an t-seic neo-obrachail airson teachdaichean RIPE (cha tug an duilgheadas buaidh air tasgaidhean RPKI de luchd-clàraidh eile). An-diugh tha duilgheadasan ùra aig RIPE agus tasgadh RPKI taobh a-staigh 7 uairean cha robh e ri fhaighinn.

Faodar sìoladh stèidhichte air clàr a chleachdadh cuideachd mar fhuasgladh gus casg a chuir air aoidion IRR (Clàr Slighean Eadar-lìn), a tha a’ mìneachadh siostaman fèin-riaghailteach tro bheilear a’ ceadachadh ro-leasachan ainmichte. Nuair a bhios tu ag eadar-obrachadh le gnìomhaichean beaga, gus buaidh mhearachdan daonna a lughdachadh, faodaidh tu an àireamh as motha de ro-leasanan ris an gabhar airson seiseanan EBGP a chuingealachadh (an suidheachadh ro-leasachan as àirde).

Anns a 'mhòr-chuid de chùisean, tha tachartasan mar thoradh air mearachdan tubaist luchd-obrach, ach o chionn ghoirid tha ionnsaighean cuimsichte air a bhith ann cuideachd, nuair a tha luchd-ionnsaigh a' dèanamh cron air bun-structar luchd-solair. cuir air dòigh ath-stiùireadh и eadar-ghuidhe trafaig airson ionadachadh làraich sònraichte tro bhith a’ cur air dòigh ionnsaigh MiTM an àite freagairtean DNS.
Gus a dhèanamh nas duilghe teisteanasan TLS fhaighinn rè ionnsaighean mar sin, tha ùghdarras teisteanais Let's Encrypt tionndadh o chionn ghoirid gu sgrùdadh fearainn ioma-suidheachadh a’ cleachdadh diofar subnets. Gus faighinn seachad air an t-seic seo, feumaidh neach-ionnsaigh ath-stiùireadh slighe a choileanadh aig an aon àm airson grunn shiostaman fèin-riaghailteach de sholaraichean le diofar cheanglaichean suas, rud a tha tòrr nas duilghe na bhith ag ath-stiùireadh aon shlighe.

Source: fosgailtenet.ru