બધું ખૂબ જ ખરાબ છે અથવા ટ્રાફિક અવરોધનો એક નવો પ્રકાર છે

RIPE વિરોધી દુરુપયોગ કાર્યકારી જૂથને 13 માર્ચ એક ઓફર મળી છે BGP હાઇજેક (hjjack) ને RIPE નીતિના ઉલ્લંઘન તરીકે ગણો. જો દરખાસ્ત સ્વીકારવામાં આવે તો, ટ્રાફિક અવરોધ દ્વારા હુમલો કરાયેલ ઇન્ટરનેટ પ્રદાતાને હુમલાખોરને ખુલ્લા પાડવા માટે વિશેષ વિનંતી મોકલવાની તક મળશે. જો સમીક્ષા ટીમે પૂરતા સહાયક પુરાવા એકત્રિત કર્યા હોય, તો LIR કે જે BGP ઇન્ટરસેપ્ટનો સ્ત્રોત હતો તેને ઘુસણખોર ગણવામાં આવશે અને તેની LIR સ્થિતિ છીનવી શકાશે. કેટલીક દલીલો પણ થઈ હતી આની સામે ફેરફારો

આ પ્રકાશનમાં અમે હુમલાનું ઉદાહરણ બતાવવા માંગીએ છીએ જ્યાં માત્ર વાસ્તવિક હુમલાખોર જ પ્રશ્નમાં ન હતો, પરંતુ અસરગ્રસ્ત ઉપસર્ગોની સંપૂર્ણ સૂચિ પણ. તદુપરાંત, આવા હુમલાથી આ પ્રકારના ટ્રાફિકના ભાવિ અવરોધોના હેતુઓ વિશે ફરીથી પ્રશ્નો ઉભા થાય છે.

છેલ્લા કેટલાક વર્ષોમાં, MOAS (મલ્ટીપલ ઓરિજિન ઓટોનોમસ સિસ્ટમ) જેવા સંઘર્ષોને જ BGP ઈન્ટરસેપ્શન્સ તરીકે પ્રેસમાં આવરી લેવામાં આવ્યા છે. MOAS એ એક વિશિષ્ટ કેસ છે જ્યાં બે અલગ અલગ સ્વાયત્ત પ્રણાલીઓ AS_PATH (AS_PATH માં પ્રથમ ASN, ત્યારબાદ મૂળ ASN તરીકે ઓળખવામાં આવે છે) માં અનુરૂપ ASN સાથે વિરોધાભાસી ઉપસર્ગની જાહેરાત કરે છે. જો કે, અમે ઓછામાં ઓછા નામ આપી શકીએ છીએ 3 વધારાના પ્રકારો ટ્રાફિક ઇન્ટરસેપ્શન, હુમલાખોરને ફિલ્ટરિંગ અને મોનિટરિંગ માટે આધુનિક અભિગમોને બાયપાસ કરવા સહિત વિવિધ હેતુઓ માટે AS_PATH એટ્રિબ્યુટની હેરફેર કરવાની મંજૂરી આપે છે. જાણીતા હુમલા પ્રકાર પિલોસોવા-કેપલી - આવા વિક્ષેપનો છેલ્લો પ્રકાર, પરંતુ મહત્વમાં બિલકુલ નથી. તે તદ્દન શક્ય છે કે આ ચોક્કસ પ્રકારનો હુમલો છે જે આપણે છેલ્લા અઠવાડિયામાં જોયો છે. આવી ઘટના સમજી શકાય તેવી પ્રકૃતિ અને તદ્દન ગંભીર પરિણામો ધરાવે છે.

જેઓ TL;DR સંસ્કરણ શોધી રહ્યાં છે તેઓ "પરફેક્ટ એટેક" સબટાઈટલ સુધી સ્ક્રોલ કરી શકે છે.

નેટવર્ક પૃષ્ઠભૂમિ

(આ ઘટનામાં સામેલ પ્રક્રિયાઓને વધુ સારી રીતે સમજવામાં તમને મદદ કરવા માટે)

જો તમે પેકેટ મોકલવા માંગતા હો અને તમારી પાસે ગંતવ્ય IP સરનામું ધરાવતા રૂટીંગ કોષ્ટકમાં બહુવિધ ઉપસર્ગો છે, તો તમે સૌથી લાંબી લંબાઈવાળા ઉપસર્ગ માટેના રૂટનો ઉપયોગ કરશો. જો રૂટીંગ કોષ્ટકમાં સમાન ઉપસર્ગ માટે ઘણા જુદા જુદા માર્ગો છે, તો તમે શ્રેષ્ઠ માર્ગ પસંદ કરશો (શ્રેષ્ઠ પાથ પસંદગી પદ્ધતિ અનુસાર).

હાલના ફિલ્ટરિંગ અને મોનિટરિંગ અભિગમો AS_PATH એટ્રિબ્યુટનું વિશ્લેષણ કરીને રૂટ્સનું વિશ્લેષણ કરવાનો અને નિર્ણય લેવાનો પ્રયાસ કરે છે. રાઉટર જાહેરાત દરમિયાન આ લક્ષણને કોઈપણ મૂલ્યમાં બદલી શકે છે. AS_PATH (મૂળ ASN તરીકે) ની શરૂઆતમાં માલિકનું ASN ઉમેરવાનું વર્તમાન મૂળ ચકાસણી પદ્ધતિને બાયપાસ કરવા માટે પૂરતું હોઈ શકે છે. તદુપરાંત, જો હુમલો કરેલ ASN થી તમારા માટે કોઈ માર્ગ હોય, તો તમારી અન્ય જાહેરાતોમાં આ માર્ગના AS_PATH ને કાઢવા અને તેનો ઉપયોગ કરવો શક્ય બને છે. તમારી રચિત જાહેરાતો માટે કોઈપણ AS_PATH-માત્ર માન્યતા તપાસ આખરે પસાર થશે.

ઉલ્લેખનીય છે કે હજુ પણ કેટલીક મર્યાદાઓ છે. પ્રથમ, અપસ્ટ્રીમ પ્રદાતા દ્વારા ઉપસર્ગ ફિલ્ટરિંગના કિસ્સામાં, જો ઉપસર્ગ અપસ્ટ્રીમ પર રૂપરેખાંકિત તમારા ક્લાયંટ શંકુનો ન હોય તો પણ તમારો રૂટ ફિલ્ટર થઈ શકે છે (સાચા AS_PATH સાથે પણ). બીજું, એક માન્ય AS_PATH અમાન્ય બની શકે છે જો બનાવેલ રૂટની જાહેરાત ખોટી દિશામાં કરવામાં આવે અને આમ, રૂટીંગ નીતિનું ઉલ્લંઘન કરે. છેલ્લે, ઉપસર્ગ સાથેનો કોઈપણ માર્ગ જે ROA લંબાઈનું ઉલ્લંઘન કરે છે તે અમાન્ય ગણી શકાય.

ઘટના

થોડા અઠવાડિયા પહેલા અમને અમારા વપરાશકર્તાઓમાંથી એક તરફથી ફરિયાદ મળી હતી. અમે તેના મૂળ ASN અને /25 ઉપસર્ગો સાથે રૂટ જોયા, જ્યારે વપરાશકર્તાએ દાવો કર્યો કે તેણે તેની જાહેરાત કરી નથી.

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
એપ્રિલ 2019 ની શરૂઆત માટેની ઘોષણાઓનાં ઉદાહરણો

/25 ઉપસર્ગ માટેના પાથમાં NTT તેને ખાસ કરીને શંકાસ્પદ બનાવે છે. ઘટના સમયે LG NTT આ માર્ગથી અજાણ હતી. તો હા, કેટલાક ઓપરેટર આ ઉપસર્ગો માટે સંપૂર્ણ AS_PATH બનાવે છે! અન્ય રાઉટર્સ પર તપાસ કરવાથી એક ચોક્કસ ASN દેખાય છે: AS263444. આ સ્વાયત્ત સિસ્ટમ સાથેના અન્ય માર્ગો જોયા પછી, અમને નીચેની પરિસ્થિતિનો સામનો કરવો પડ્યો:

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
અહીં શું ખોટું છે તે અનુમાન કરવાનો પ્રયાસ કરો

એવું લાગે છે કે કોઈએ રૂટમાંથી ઉપસર્ગ લીધો, તેને બે ભાગોમાં વિભાજિત કર્યો, અને તે બે ઉપસર્ગો માટે સમાન AS_PATH સાથે રૂટની જાહેરાત કરી.

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
વિભાજિત ઉપસર્ગ જોડીમાંથી એક માટેના ઉદાહરણ માર્ગો

એક સાથે અનેક પ્રશ્નો ઉભા થાય છે. શું કોઈએ ખરેખર વ્યવહારમાં આ પ્રકારના અવરોધનો પ્રયાસ કર્યો છે? શું કોઈએ આ માર્ગો લીધા છે? કયા ઉપસર્ગો પ્રભાવિત થયા હતા?

અહીંથી આપણી નિષ્ફળતાઓનો દોર શરૂ થાય છે અને ઇન્ટરનેટના સ્વાસ્થ્યની વર્તમાન સ્થિતિને લઈને નિરાશાનો બીજો રાઉન્ડ.

નિષ્ફળતાનો માર્ગ

પ્રથમ વસ્તુઓ પ્રથમ. અમે કેવી રીતે નક્કી કરી શકીએ કે કયા રાઉટર્સે આવા ઇન્ટરસેપ્ટ કરેલા રૂટ સ્વીકાર્યા હતા અને કોનો ટ્રાફિક આજે ફરીથી રૂટ કરી શકાય છે? અમે વિચાર્યું કે અમે /25 ઉપસર્ગ સાથે પ્રારંભ કરીશું કારણ કે તેઓ "માત્ર વૈશ્વિક વિતરણ ધરાવી શકતા નથી." જેમ તમે અનુમાન કરી શકો છો, અમે ખૂબ જ ખોટા હતા. આ મેટ્રિક ખૂબ ઘોંઘાટીયા હોવાનું બહાર આવ્યું છે અને આવા ઉપસર્ગો સાથેના રૂટ્સ ટાયર -1 ઓપરેટરોમાંથી પણ દેખાઈ શકે છે. ઉદાહરણ તરીકે, NTT લગભગ 50 આવા ઉપસર્ગ ધરાવે છે, જે તે તેના પોતાના ગ્રાહકોને વિતરિત કરે છે. બીજી બાજુ, આ મેટ્રિક ખરાબ છે કારણ કે જો ઓપરેટર ઉપયોગ કરે તો આવા ઉપસર્ગને ફિલ્ટર કરી શકાય છે નાના ઉપસર્ગ ફિલ્ટરિંગ, બધી દિશામાં. તેથી, આ પદ્ધતિ એવા તમામ ઓપરેટરોને શોધવા માટે યોગ્ય નથી કે જેમના ટ્રાફિકને આવી ઘટનાના પરિણામે રીડાયરેક્ટ કરવામાં આવ્યો હતો.

અન્ય એક સારો વિચાર જે અમે વિચાર્યું તે જોવાનું હતું પોવ. ખાસ કરીને એવા રૂટ માટે કે જે અનુરૂપ ROA ના maxLength નિયમનું ઉલ્લંઘન કરે છે. આ રીતે આપણે અમાન્ય સ્ટેટસ સાથે વિવિધ મૂળના ASN ની સંખ્યા શોધી શકીએ છીએ જે આપેલ AS માટે દૃશ્યમાન હતા. જો કે, ત્યાં એક "નાની" સમસ્યા છે. આ સંખ્યાની સરેરાશ (મધ્યમ અને સ્થિતિ) (વિવિધ મૂળ ASN ની સંખ્યા) લગભગ 150 છે અને, જો આપણે નાના ઉપસર્ગને ફિલ્ટર કરીએ તો પણ તે 70 થી ઉપર રહે છે. આ સ્થિતિની ખૂબ જ સરળ સમજૂતી છે: ત્યાં ફક્ત એક જ છે. થોડા ઓપરેટરો કે જેઓ પહેલાથી જ એન્ટ્રી પોઈન્ટ પર "રીસેટ અમાન્ય રૂટ્સ" નીતિ સાથે ROA- ફિલ્ટર્સનો ઉપયોગ કરે છે, જેથી વાસ્તવિક દુનિયામાં જ્યાં પણ ROA ઉલ્લંઘન સાથેનો માર્ગ દેખાય, તે બધી દિશામાં પ્રચાર કરી શકે.

છેલ્લા બે અભિગમો અમને એવા ઓપરેટરોને શોધવાની મંજૂરી આપે છે કે જેમણે અમારી ઘટના જોઈ હતી (કારણ કે તે ખૂબ મોટી હતી), પરંતુ સામાન્ય રીતે તે લાગુ પડતા નથી. ઠીક છે, પણ શું આપણે ઘુસણખોરને શોધી શકીએ? આ AS_PATH મેનીપ્યુલેશનની સામાન્ય વિશેષતાઓ શું છે? ત્યાં કેટલીક મૂળભૂત ધારણાઓ છે:

• ઉપસર્ગ પહેલાં ક્યાંય જોવા મળ્યો ન હતો;
• મૂળ ASN (રિમાઇન્ડર: AS_PATH માં પ્રથમ ASN) માન્ય છે;
• AS_PATH માં છેલ્લું ASN એ હુમલાખોરનું ASN છે (જો તેનો પાડોશી બધા આવતા માર્ગો પર પાડોશીના ASNને તપાસે છે);
• હુમલો એક જ પ્રદાતામાંથી ઉદ્દભવે છે.

જો બધી ધારણાઓ સાચી હોય, તો બધા ખોટા માર્ગો હુમલાખોરના ASN (મૂળ ASN સિવાય) રજૂ કરશે અને આમ, આ એક "જટિલ" બિંદુ છે. સાચા હાઇજેકર્સમાં AS263444 હતો, જો કે અન્ય લોકો પણ હતા. અમે વિચારણામાંથી ઘટના માર્ગો કાઢી નાખ્યા ત્યારે પણ. શા માટે? સાચા માર્ગો માટે પણ એક મહત્વપૂર્ણ બિંદુ મહત્વપૂર્ણ રહી શકે છે. તે કાં તો પ્રદેશમાં નબળી કનેક્ટિવિટી અથવા આપણી પોતાની દૃશ્યતામાં મર્યાદાઓનું પરિણામ હોઈ શકે છે.

પરિણામે, હુમલાખોરને શોધવાનો એક માર્ગ છે, પરંતુ જો ઉપરોક્ત તમામ શરતો પૂરી થાય અને માત્ર ત્યારે જ જ્યારે વિક્ષેપ મોનિટરિંગ થ્રેશોલ્ડ પસાર કરવા માટે પૂરતો મોટો હોય. જો આમાંના કેટલાક પરિબળો મળ્યા ન હોય, તો શું આપણે આવા વિક્ષેપથી પીડાતા ઉપસર્ગોને ઓળખી શકીએ? ચોક્કસ ઓપરેટરો માટે - હા.

જ્યારે હુમલાખોર વધુ ચોક્કસ માર્ગ બનાવે છે, ત્યારે સાચા માલિક દ્વારા આવા ઉપસર્ગની જાહેરાત કરવામાં આવતી નથી. જો તમારી પાસે તેના તમામ ઉપસર્ગોની ગતિશીલ સૂચિ છે, તો પછી સરખામણી કરવી અને વિકૃત વધુ ચોક્કસ માર્ગો શોધવાનું શક્ય બને છે. અમે અમારા BGP સત્રોનો ઉપયોગ કરીને ઉપસર્ગોની આ સૂચિ એકત્રિત કરીએ છીએ, કારણ કે અમને હમણાં ઑપરેટરને દેખાતા રૂટની સંપૂર્ણ સૂચિ જ નહીં, પણ તે વિશ્વ સમક્ષ તે જાહેરાત કરવા માગે છે તે તમામ ઉપસર્ગોની સૂચિ પણ આપવામાં આવી છે. કમનસીબે, હવે ઘણા ડઝન રડાર વપરાશકર્તાઓ છે જેઓ છેલ્લા ભાગને યોગ્ય રીતે પૂર્ણ કરતા નથી. અમે ટૂંક સમયમાં તેમને સૂચિત કરીશું અને આ સમસ્યાને ઉકેલવાનો પ્રયાસ કરીશું. અન્ય દરેક વ્યક્તિ અત્યારે અમારી મોનિટરિંગ સિસ્ટમમાં જોડાઈ શકે છે.

જો આપણે મૂળ ઘટના પર પાછા ફરીએ, તો હુમલાખોર અને વિતરણ વિસ્તાર બંને અમે નિર્ણાયક બિંદુઓની શોધ કરીને શોધી કાઢ્યા હતા. આશ્ચર્યજનક રીતે, AS263444 એ તેના તમામ ગ્રાહકોને બનાવટી રૂટ મોકલ્યા ન હતા. જો કે ત્યાં એક અજાણી ક્ષણ છે.

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
અમારી સરનામાંની જગ્યાને અટકાવવાના પ્રયાસનું તાજેતરનું ઉદાહરણ

જ્યારે અમારા ઉપસર્ગો માટે વધુ ચોક્કસ બનાવવામાં આવ્યા હતા, ત્યારે ખાસ બનાવેલ AS_PATH નો ઉપયોગ કરવામાં આવ્યો હતો. જો કે, આ AS_PATH અમારા અગાઉના કોઈપણ રૂટ પરથી લઈ શકાયું નથી. અમારી પાસે AS6762 સાથે વાતચીત પણ નથી. ઘટનામાં અન્ય માર્ગો પર જોતાં, તેમાંના કેટલાકમાં વાસ્તવિક AS_PATH હતો જેનો અગાઉ ઉપયોગ કરવામાં આવ્યો હતો, જ્યારે અન્ય પાસે ન હતો, પછી ભલે તે વાસ્તવિક જેવો દેખાય. વધારામાં AS_PATH બદલવાનો કોઈ વ્યવહારુ અર્થ નથી, કારણ કે ટ્રાફિક કોઈપણ રીતે હુમલાખોરને રીડાયરેક્ટ કરવામાં આવશે, પરંતુ "ખરાબ" AS_PATH સાથેના રૂટને ASPA અથવા કોઈપણ અન્ય નિરીક્ષણ પદ્ધતિ દ્વારા ફિલ્ટર કરી શકાય છે. અહીં આપણે હાઇજેકરની પ્રેરણા વિશે વિચારીએ છીએ. આ ઘટના એક આયોજનબદ્ધ હુમલો હતો તેની પુષ્ટિ કરવા માટે હાલમાં અમારી પાસે પૂરતી માહિતી નથી. તેમ છતાં, તે શક્ય છે. ચાલો કલ્પના કરવાનો પ્રયાસ કરીએ, જો કે હજી પણ કાલ્પનિક છે, પરંતુ સંભવિત રીતે તદ્દન વાસ્તવિક, પરિસ્થિતિ છે.

પરફેક્ટ એટેક

આપણી પાસે શું છે? ચાલો કહીએ કે તમે તમારા ક્લાયંટ માટે રૂટ બ્રોડકાસ્ટિંગ ટ્રાન્ઝિટ પ્રદાતા છો. જો તમારા ક્લાયંટની બહુવિધ હાજરી (મલ્ટિહોમ) હોય, તો તમે તેમના ટ્રાફિકનો માત્ર એક ભાગ પ્રાપ્ત કરશો. પરંતુ વધુ ટ્રાફિક, વધુ તમારી આવક. તેથી જો તમે સમાન AS_PATH સાથે આ સમાન રૂટ્સના સબનેટ ઉપસર્ગની જાહેરાત કરવાનું શરૂ કરો છો, તો તમને તેમનો બાકીનો ટ્રાફિક પ્રાપ્ત થશે. પરિણામે, બાકીના પૈસા.

શું ROA અહીં મદદ કરશે? કદાચ હા, જો તમે તેનો ઉપયોગ સંપૂર્ણપણે બંધ કરવાનું નક્કી કરો છો મહત્તમ લંબાઈ. વધુમાં, છેદતી ઉપસર્ગો સાથે ROA રેકોર્ડ્સ ધરાવવા અત્યંત અનિચ્છનીય છે. કેટલાક ઓપરેટરો માટે, આવા પ્રતિબંધો અસ્વીકાર્ય છે.

અન્ય રૂટીંગ સુરક્ષા મિકેનિઝમ્સને ધ્યાનમાં લેતા, ASPA આ કિસ્સામાં પણ મદદ કરશે નહીં (કારણ કે તે માન્ય રૂટમાંથી AS_PATH નો ઉપયોગ કરે છે). નીચા દત્તક દર અને ડાઉનગ્રેડ હુમલાની બાકી રહેલી શક્યતાઓને કારણે BGPSec હજુ પણ શ્રેષ્ઠ વિકલ્પ નથી.

તેથી અમને હુમલાખોર માટે સ્પષ્ટ લાભ અને સુરક્ષાનો અભાવ છે. સરસ મિશ્રણ!

મારે શું કરવું જોઈએ?

સ્પષ્ટ અને સૌથી સખત પગલું એ તમારી વર્તમાન રૂટીંગ નીતિની સમીક્ષા કરવાનું છે. તમારી એડ્રેસ સ્પેસને નાનામાં નાના ભાગોમાં વિભાજિત કરો (કોઈ ઓવરલેપ નહીં) જેની તમે જાહેરાત કરવા માંગો છો. MAXLength પેરામીટરનો ઉપયોગ કર્યા વિના માત્ર તેમના માટે ROA પર સહી કરો. આ કિસ્સામાં, તમારું વર્તમાન પીઓવી તમને આવા હુમલાથી બચાવી શકે છે. જો કે, ફરીથી, કેટલાક ઓપરેટરો માટે આ અભિગમ વધુ ચોક્કસ રૂટના વિશિષ્ટ ઉપયોગને કારણે વાજબી નથી. ROA અને રૂટ ઑબ્જેક્ટ્સની વર્તમાન સ્થિતિ સાથેની તમામ સમસ્યાઓનું વર્ણન અમારી ભવિષ્યની સામગ્રીમાં કરવામાં આવશે.

વધુમાં, તમે આવા અવરોધોને મોનિટર કરવાનો પ્રયાસ કરી શકો છો. આ કરવા માટે, અમને તમારા ઉપસર્ગ વિશે વિશ્વસનીય માહિતીની જરૂર છે. આમ, જો તમે અમારા કલેક્ટર સાથે BGP સત્ર સ્થાપિત કરો અને અમને તમારી ઈન્ટરનેટ વિઝિબિલિટી વિશે માહિતી પ્રદાન કરો, તો અમે અન્ય ઘટનાઓ માટે અવકાશ શોધી શકીએ છીએ. જેઓ હજુ સુધી અમારી મોનિટરિંગ સિસ્ટમ સાથે જોડાયેલા નથી તેમના માટે, શરૂ કરવા માટે, ફક્ત તમારા ઉપસર્ગ સાથેના રૂટની સૂચિ પૂરતી હશે. જો તમારી પાસે અમારી સાથે સત્ર છે, તો કૃપા કરીને તપાસો કે તમારા બધા રૂટ મોકલવામાં આવ્યા છે. કમનસીબે, આ યાદ રાખવા યોગ્ય છે કારણ કે કેટલાક ઓપરેટરો એક અથવા બે ઉપસર્ગ ભૂલી જાય છે અને તેથી અમારી શોધ પદ્ધતિઓમાં દખલ કરે છે. જો યોગ્ય રીતે કરવામાં આવે તો, અમારી પાસે તમારા ઉપસર્ગ વિશે વિશ્વસનીય ડેટા હશે, જે ભવિષ્યમાં અમને તમારી સરનામાંની જગ્યા માટે આ (અને અન્ય) પ્રકારના ટ્રાફિક અવરોધને આપમેળે ઓળખવામાં અને શોધવામાં મદદ કરશે.

જો તમે વાસ્તવિક સમયમાં તમારા ટ્રાફિકના આવા વિક્ષેપથી વાકેફ થાઓ, તો તમે તેનો જાતે સામનો કરવાનો પ્રયાસ કરી શકો છો. પ્રથમ અભિગમ એ છે કે આ વધુ ચોક્કસ ઉપસર્ગો સાથે જાતે જ રૂટની જાહેરાત કરવી. આ ઉપસર્ગો પર નવા હુમલાના કિસ્સામાં, પુનરાવર્તન કરો.

બીજો અભિગમ એ છે કે હુમલાખોરને અને જેમના માટે તે નિર્ણાયક બિંદુ છે (સારા માર્ગો માટે) હુમલાખોરને તમારા માર્ગોની ઍક્સેસને કાપીને સજા કરવાનો છે. આ હુમલાખોરના ASN ને તમારા જૂના રૂટના AS_PATH માં ઉમેરીને કરી શકાય છે અને આ રીતે તેમને BGP માં બિલ્ટ-ઇન લૂપ ડિટેક્શન મિકેનિઝમનો ઉપયોગ કરીને AS ટાળવા માટે દબાણ કરો. તમારા પોતાના સારા માટે.

સોર્સ: www.habr.com