યાન્ડેક્ષ RPKI લાગુ કરે છે

હેલો, મારું નામ એલેક્ઝાન્ડર અઝીમોવ છે. યાન્ડેક્સ પર, હું વિવિધ મોનિટરિંગ સિસ્ટમ્સ, તેમજ ટ્રાન્સપોર્ટ નેટવર્ક આર્કિટેક્ચર વિકસાવું છું. પરંતુ આજે આપણે BGP પ્રોટોકોલ વિશે વાત કરીશું.

એક અઠવાડિયા પહેલા, Yandex એ તમામ પીઅરિંગ પાર્ટનર્સ તેમજ ટ્રાફિક એક્સચેન્જ પોઈન્ટ સાથેના ઈન્ટરફેસ પર ROV (રૂટ ઓરિજિન વેલિડેશન) સક્ષમ કર્યું હતું. આ શા માટે કરવામાં આવ્યું હતું અને તે ટેલિકોમ ઓપરેટરો સાથેની ક્રિયાપ્રતિક્રિયાને કેવી રીતે અસર કરશે તે વિશે નીચે વાંચો.

BGP અને તેમાં શું ખોટું છે

તમે કદાચ જાણો છો કે BGP ને ઇન્ટરડોમેઇન રૂટીંગ પ્રોટોકોલ તરીકે ડિઝાઇન કરવામાં આવી હતી. જો કે, રસ્તામાં, ઉપયોગના કેસોની સંખ્યા વધવા માટે વ્યવસ્થાપિત: આજે, BGP, અસંખ્ય એક્સ્ટેંશનને કારણે, સંદેશ બસમાં ફેરવાઈ ગઈ છે, જેમાં ઑપરેટર VPN થી લઈને હવે ફેશનેબલ SD-WAN સુધીના કાર્યોને આવરી લેવામાં આવ્યા છે, અને તેને એપ્લિકેશન પણ મળી છે. SDN-જેવા નિયંત્રક માટેનું પરિવહન, જે અંતર વેક્ટર BGP ને લિંક્સ સેટ પ્રોટોકોલ જેવું જ કંઈક બનાવે છે.

ફિગ. 1. BGP SAFI

શા માટે BGPને આટલા બધા ઉપયોગો પ્રાપ્ત થયા છે (અને પ્રાપ્ત કરવાનું ચાલુ છે)? ત્યાં બે મુખ્ય કારણો છે:

• BGP એ એકમાત્ર પ્રોટોકોલ છે જે ઓટોનોમસ સિસ્ટમ્સ (AS) વચ્ચે કામ કરે છે;
• BGP TLV (ટાઈપ-લેન્થ-વેલ્યુ) ફોર્મેટમાં વિશેષતાઓને સપોર્ટ કરે છે. હા, પ્રોટોકોલ આમાં એકલો નથી, પરંતુ ટેલિકોમ ઓપરેટરો વચ્ચેના જંકશન પર તેને બદલવા માટે કંઈ ન હોવાથી, વધારાના રૂટીંગ પ્રોટોકોલને ટેકો આપવા કરતાં તેની સાથે અન્ય કાર્યાત્મક તત્વને જોડવાનું હંમેશા વધુ નફાકારક હોવાનું બહાર આવ્યું છે.

તેની સાથે શું ખોટું છે? ટૂંકમાં, પ્રોટોકોલમાં પ્રાપ્ત માહિતીની શુદ્ધતા ચકાસવા માટે બિલ્ટ-ઇન મિકેનિઝમ્સ નથી. એટલે કે, BGP એ પ્રાયોરી ટ્રસ્ટ પ્રોટોકોલ છે: જો તમે વિશ્વને કહેવા માંગતા હોવ કે તમે હવે Rostelecom, MTS અથવા Yandex ના નેટવર્કના માલિક છો, તો કૃપા કરીને!

IRRDB આધારિત ફિલ્ટર - સૌથી ખરાબમાં શ્રેષ્ઠ

પ્રશ્ન ઊભો થાય છે: આવી પરિસ્થિતિમાં પણ ઇન્ટરનેટ શા માટે કામ કરે છે? હા, તે મોટાભાગે કામ કરે છે, પરંતુ તે જ સમયે તે સમયાંતરે વિસ્ફોટ થાય છે, જે સમગ્ર રાષ્ટ્રીય ભાગોને અગમ્ય બનાવે છે. જો કે BGP માં હેકર પ્રવૃત્તિ પણ વધી રહી છે, મોટાભાગની વિસંગતતાઓ હજુ પણ ભૂલોને કારણે થાય છે. આ વર્ષનું ઉદાહરણ છે નાની ઓપરેટરની ભૂલ બેલારુસમાં, જેણે અડધા કલાક માટે મેગાફોન વપરાશકર્તાઓ માટે ઈન્ટરનેટનો નોંધપાત્ર ભાગ અપ્રાપ્ય બનાવ્યો. બીજું ઉદાહરણ - ક્રેઝી BGP ઑપ્ટિમાઇઝર વિશ્વના સૌથી મોટા CDN નેટવર્કમાંનું એક તોડ્યું.

ચોખા. 2. Cloudflare ટ્રાફિક અવરોધ

પરંતુ તેમ છતાં, શા માટે આવી વિસંગતતાઓ દર છ મહિનામાં એકવાર થાય છે, અને દરરોજ નહીં? કારણ કે કેરિયર્સ BGP પડોશીઓ પાસેથી તેઓ શું મેળવે છે તે ચકાસવા માટે રૂટીંગ માહિતીના બાહ્ય ડેટાબેઝનો ઉપયોગ કરે છે. આવા ઘણા ડેટાબેસેસ છે, તેમાંના કેટલાક રજિસ્ટ્રાર (RIPE, APNIC, ARIN, AFRINIC) દ્વારા સંચાલિત થાય છે, કેટલાક સ્વતંત્ર ખેલાડીઓ છે (સૌથી વધુ પ્રખ્યાત RADB છે), અને મોટી કંપનીઓ (લેવલ3) ની માલિકીના રજિસ્ટ્રારનો સંપૂર્ણ સમૂહ પણ છે. , NTT, વગેરે). તે આ ડેટાબેસેસને આભારી છે કે ઇન્ટર-ડોમેન રૂટીંગ તેની કામગીરીની સંબંધિત સ્થિરતા જાળવી રાખે છે.

જો કે, ત્યાં ઘોંઘાટ છે. રૂટીંગ માહિતી ROUTE-OBJECTS અને AS-SET ઑબ્જેક્ટ્સના આધારે તપાસવામાં આવે છે. અને જો પ્રથમ IRRDB ના ભાગ માટે અધિકૃતતા સૂચવે છે, તો પછી બીજા વર્ગ માટે વર્ગ તરીકે કોઈ અધિકૃતતા નથી. એટલે કે, કોઈપણ કોઈપણને તેમના સેટમાં ઉમેરી શકે છે અને ત્યાંથી અપસ્ટ્રીમ પ્રદાતાઓના ફિલ્ટર્સને બાયપાસ કરી શકે છે. તદુપરાંત, વિવિધ IRR બેઝ વચ્ચે AS-SET નામકરણની વિશિષ્ટતાની ખાતરી આપવામાં આવતી નથી, જે ટેલિકોમ ઓપરેટર માટે અચાનક જોડાણ ગુમાવવા સાથે આશ્ચર્યજનક અસરો તરફ દોરી શકે છે, જેણે તેના ભાગ માટે, કંઈપણ બદલ્યું નથી.

એક વધારાનો પડકાર એએસ-સેટની ઉપયોગની પદ્ધતિ છે. અહીં બે મુદ્દા છે:

• જ્યારે ઓપરેટરને નવો ક્લાયંટ મળે છે, ત્યારે તે તેને તેના AS-SETમાં ઉમેરે છે, પરંતુ લગભગ ક્યારેય તેને દૂર કરતું નથી;
• ફિલ્ટર્સ પોતે ક્લાયંટ સાથેના ઇન્ટરફેસ પર જ ગોઠવાયેલા છે.

પરિણામે, BGP ફિલ્ટર્સના આધુનિક ફોર્મેટમાં ક્લાઈન્ટો સાથેના ઈન્ટરફેસ પર ધીમે ધીમે અધોગતિ કરતા ફિલ્ટર્સનો સમાવેશ થાય છે અને પીઅરિંગ પાર્ટનર્સ અને આઈપી ટ્રાન્ઝિટ પ્રદાતાઓ તરફથી જે આવે છે તેના પર પ્રાથમિક વિશ્વાસ છે.

AS-SET પર આધારિત ઉપસર્ગ ફિલ્ટર્સને બદલવાનું શું છે? સૌથી રસપ્રદ બાબત એ છે કે ટૂંકા ગાળામાં - કંઈ નથી. પરંતુ વધારાની પદ્ધતિઓ ઉભરી રહી છે જે IRRDB-આધારિત ફિલ્ટર્સના કાર્યને પૂરક બનાવે છે, અને સૌ પ્રથમ, આ, અલબત્ત, RPKI છે.

RPKI

સરળ રીતે, RPKI આર્કિટેક્ચરને વિતરિત ડેટાબેઝ તરીકે વિચારી શકાય છે જેના રેકોર્ડ્સ ક્રિપ્ટોગ્રાફિકલી ચકાસી શકાય છે. ROA (રૂટ ઑબ્જેક્ટ ઑથોરાઇઝેશન) ના કિસ્સામાં, હસ્તાક્ષરકર્તા સરનામાં સ્થાનનો માલિક છે, અને રેકોર્ડ પોતે ટ્રિપલ છે (ઉપસર્ગ, asn, max_length). અનિવાર્યપણે, આ એન્ટ્રી નીચે મુજબનું અનુમાન કરે છે: $prefix એડ્રેસ સ્પેસના માલિકે AS નંબર $asn ને $max_length કરતાં વધુ લંબાઈ ધરાવતા ઉપસર્ગની જાહેરાત કરવા માટે અધિકૃત કર્યા છે. અને રાઉટર્સ, RPKI કેશનો ઉપયોગ કરીને, અનુપાલન માટે જોડીને તપાસવામાં સક્ષમ છે ઉપસર્ગ - માર્ગમાં પ્રથમ સ્પીકર.

આકૃતિ 3. RPKI આર્કિટેક્ચર

ROA ઑબ્જેક્ટ્સને ઘણા લાંબા સમયથી પ્રમાણિત કરવામાં આવ્યા છે, પરંતુ તાજેતરમાં સુધી તેઓ ખરેખર IETF જર્નલમાં માત્ર કાગળ પર જ રહ્યા હતા. મારા મતે, આનું કારણ ડરામણું લાગે છે - ખરાબ માર્કેટિંગ. માનકીકરણ પૂર્ણ થયા પછી, પ્રોત્સાહન એ હતું કે ROA BGP હાઇજેકિંગ સામે રક્ષણ આપે છે - જે સાચું ન હતું. હુમલાખોરો પાથની શરૂઆતમાં સાચો AC નંબર દાખલ કરીને ROA-આધારિત ફિલ્ટર્સને સરળતાથી બાયપાસ કરી શકે છે. અને જલદી આ અનુભૂતિ આવી, આગામી તાર્કિક પગલું ROA ના ઉપયોગને છોડી દેવાનું હતું. ખરેખર, જો ટેક્નોલોજી કામ ન કરતી હોય તો આપણને તેની શા માટે જરૂર છે?

તમારો વિચાર બદલવાનો સમય કેમ છે? કારણ કે આ સંપૂર્ણ સત્ય નથી. ROA BGP માં હેકર પ્રવૃત્તિ સામે રક્ષણ કરતું નથી, પરંતુ આકસ્મિક ટ્રાફિક હાઇજેકીંગ સામે રક્ષણ આપે છે, ઉદાહરણ તરીકે BGP માં સ્ટેટિક લીક્સમાંથી, જે વધુ સામાન્ય બની રહ્યું છે. ઉપરાંત, IRR-આધારિત ફિલ્ટર્સથી વિપરીત, ROV નો ઉપયોગ ફક્ત ગ્રાહકો સાથેના ઈન્ટરફેસ પર જ નહીં, પણ સાથીદારો અને અપસ્ટ્રીમ પ્રદાતાઓ સાથેના ઈન્ટરફેસ પર પણ થઈ શકે છે. એટલે કે, RPKI ની રજૂઆત સાથે, એક પ્રાથમિક ટ્રસ્ટ ધીમે ધીમે BGPમાંથી અદૃશ્ય થઈ રહ્યો છે.

હવે, ROA પર આધારિત રૂટ તપાસવાનું ધીમે ધીમે મુખ્ય ખેલાડીઓ દ્વારા લાગુ કરવામાં આવી રહ્યું છે: સૌથી મોટા યુરોપીયન IX પહેલાથી જ ટાયર-1 ઓપરેટરોમાં ખોટા રૂટ્સને છોડી દે છે, તે AT&Tને હાઇલાઇટ કરવા યોગ્ય છે, જેણે તેના પીઅરિંગ પાર્ટનર્સ સાથે ઇન્ટરફેસ પર ફિલ્ટર્સ સક્ષમ કર્યા છે. સૌથી મોટા સામગ્રી પ્રદાતાઓ પણ પ્રોજેક્ટનો સંપર્ક કરી રહ્યા છે. અને ડઝનેક મધ્યમ કદના ટ્રાન્ઝિટ ઓપરેટરોએ તેના વિશે કોઈને કહ્યા વિના, શાંતિથી તેનો અમલ કરી દીધો છે. આ બધા ઓપરેટરો શા માટે RPKI લાગુ કરી રહ્યા છે? જવાબ સરળ છે: તમારા આઉટગોઇંગ ટ્રાફિકને અન્ય લોકોની ભૂલોથી બચાવવા માટે. તેથી જ યાન્ડેક્સ એ રશિયન ફેડરેશનમાં તેના નેટવર્કની ધાર પર આરઓવીનો સમાવેશ કરનાર પ્રથમમાંનું એક છે.

આગળ શું થશે?

અમે હવે ટ્રાફિક એક્સચેન્જ પોઈન્ટ્સ અને ખાનગી પીઅરિંગ સાથે ઈન્ટરફેસ પર રૂટીંગ માહિતી તપાસવાનું સક્ષમ કર્યું છે. નજીકના ભવિષ્યમાં, અપસ્ટ્રીમ ટ્રાફિક પ્રદાતાઓ સાથે ચકાસણી પણ સક્ષમ કરવામાં આવશે.

આનાથી તમારા માટે શું ફરક પડે છે? જો તમે તમારા નેટવર્ક અને યાન્ડેક્ષ વચ્ચે ટ્રાફિક રૂટીંગની સુરક્ષા વધારવા માંગતા હો, તો અમે ભલામણ કરીએ છીએ:

• તમારી સરનામાની જગ્યા પર સહી કરો RIPE પોર્ટલમાં - તે સરળ છે, સરેરાશ 5-10 મિનિટ લે છે. આ અમારી કનેક્ટિવિટીનું રક્ષણ કરશે તે ઘટનામાં કે કોઈ અજાણતા તમારી સરનામાંની જગ્યા ચોરી કરે છે (અને આ ચોક્કસપણે વહેલા અથવા પછીથી થશે);
• ઓપન સોર્સ RPKI કેશમાંથી એક ઇન્સ્ટોલ કરો (ripe-validator, રૂટિનેટર) અને નેટવર્ક બોર્ડર પર રૂટ ચેકિંગને સક્ષમ કરો - આમાં વધુ સમય લાગશે, પરંતુ ફરીથી, તે કોઈપણ તકનીકી મુશ્કેલીઓનું કારણ બનશે નહીં.

યાન્ડેક્સ નવા RPKI ઑબ્જેક્ટ પર આધારિત ફિલ્ટરિંગ સિસ્ટમના વિકાસને પણ સમર્થન આપે છે - એએસપીએ (ઓટોનોમસ સિસ્ટમ પ્રોવાઈડર ઓથોરાઈઝેશન). ASPA અને ROA ઑબ્જેક્ટ પર આધારિત ફિલ્ટર્સ માત્ર "લીકી" AS-SET ને બદલી શકતા નથી, પરંતુ BGP નો ઉપયોગ કરીને MiTM હુમલાના મુદ્દાઓને પણ બંધ કરી શકે છે.

હું નેક્સ્ટ હોપ કોન્ફરન્સમાં એક મહિનામાં ASPA વિશે વિગતવાર વાત કરીશ. Netflix, Facebook, Dropbox, Juniper, Mellanox અને Yandex ના સાથીદારો પણ ત્યાં બોલશે. જો તમને નેટવર્ક સ્ટેક અને ભવિષ્યમાં તેના વિકાસમાં રસ હોય, તો આવો નોંધણી ખુલ્લી છે.

સોર્સ: www.habr.com