यांडेक्स आरपीकेआई लागू करता है

नमस्ते, मेरा नाम अलेक्जेंडर अज़ीमोव है। यांडेक्स में, मैं विभिन्न निगरानी प्रणालियों के साथ-साथ परिवहन नेटवर्क आर्किटेक्चर भी विकसित करता हूं। लेकिन आज हम बात करेंगे बीजीपी प्रोटोकॉल के बारे में।

एक सप्ताह पहले, यांडेक्स ने सभी सहकर्मी भागीदारों के साथ-साथ ट्रैफ़िक विनिमय बिंदुओं के साथ इंटरफेस पर आरओवी (रूट ओरिजिन वैलिडेशन) सक्षम किया था। ऐसा क्यों किया गया और इसका दूरसंचार ऑपरेटरों के साथ बातचीत पर क्या प्रभाव पड़ेगा, इसके बारे में नीचे पढ़ें।

बीजीपी और इसमें गलत क्या है?

आप शायद जानते होंगे कि बीजीपी को एक इंटरडोमेन रूटिंग प्रोटोकॉल के रूप में डिज़ाइन किया गया था। हालाँकि, साथ ही, उपयोग के मामलों की संख्या बढ़ने में कामयाब रही: आज, बीजीपी, कई एक्सटेंशनों के लिए धन्यवाद, एक संदेश बस में बदल गया है, जो ऑपरेटर वीपीएन से लेकर अब फैशनेबल एसडी-डब्ल्यूएएन तक के कार्यों को कवर करता है, और यहां तक ​​कि इसे एप्लिकेशन भी मिल गया है। एसडीएन-जैसे नियंत्रक के लिए एक परिवहन, दूरी वेक्टर बीजीपी को लिंक सैट प्रोटोकॉल के समान कुछ में बदल देता है।

अंजीर. 1. बीजीपी सफ़ी

बीजीपी को इतने अधिक उपयोग क्यों प्राप्त हुए हैं (और प्राप्त हो रहे हैं)? दो मुख्य कारण हैं:

• बीजीपी एकमात्र प्रोटोकॉल है जो स्वायत्त प्रणालियों (एएस) के बीच काम करता है;
• बीजीपी टीएलवी (प्रकार-लंबाई-मान) प्रारूप में विशेषताओं का समर्थन करता है। हां, इसमें प्रोटोकॉल अकेला नहीं है, लेकिन चूंकि टेलीकॉम ऑपरेटरों के बीच जंक्शनों पर इसे बदलने के लिए कुछ भी नहीं है, इसलिए अतिरिक्त रूटिंग प्रोटोकॉल का समर्थन करने की तुलना में इसमें एक और कार्यात्मक तत्व संलग्न करना हमेशा अधिक लाभदायक होता है।

उसको क्या हुआ है? संक्षेप में, प्रोटोकॉल में प्राप्त जानकारी की सत्यता की जांच के लिए कोई अंतर्निहित तंत्र नहीं है। यानी, बीजीपी एक प्राथमिक ट्रस्ट प्रोटोकॉल है: यदि आप दुनिया को बताना चाहते हैं कि अब आप रोस्टेलकॉम, एमटीएस या यांडेक्स के नेटवर्क के मालिक हैं, तो कृपया!

आईआरआरडीबी आधारित फिल्टर - सबसे खराब में से सबसे अच्छा

सवाल उठता है कि ऐसी स्थिति में भी इंटरनेट क्यों काम करता है? हां, यह ज्यादातर समय काम करता है, लेकिन साथ ही यह समय-समय पर विस्फोट करता है, जिससे पूरे राष्ट्रीय खंड दुर्गम हो जाते हैं। हालाँकि बीजीपी में हैकर गतिविधि भी बढ़ रही है, अधिकांश विसंगतियाँ अभी भी बग के कारण होती हैं। इस साल का उदाहरण है छोटी ऑपरेटर त्रुटि बेलारूस में, जिसने आधे घंटे के लिए इंटरनेट के एक महत्वपूर्ण हिस्से को मेगाफोन उपयोगकर्ताओं के लिए दुर्गम बना दिया। एक और उदाहरण - पागल बीजीपी अनुकूलक दुनिया के सबसे बड़े सीडीएन नेटवर्क में से एक को तोड़ दिया।

चावल। 2. क्लाउडफ़ेयर ट्रैफ़िक अवरोधन

लेकिन फिर भी, ऐसी विसंगतियाँ हर छह महीने में एक बार क्यों होती हैं, हर दिन क्यों नहीं? क्योंकि वाहक बीजीपी पड़ोसियों से जो प्राप्त करते हैं उसे सत्यापित करने के लिए रूटिंग जानकारी के बाहरी डेटाबेस का उपयोग करते हैं। ऐसे कई डेटाबेस हैं, उनमें से कुछ रजिस्ट्रार (RIPE, APNIC, ARIN, AFRINIC) द्वारा प्रबंधित किए जाते हैं, कुछ स्वतंत्र खिलाड़ी हैं (सबसे प्रसिद्ध RADB है), और बड़ी कंपनियों के स्वामित्व वाले रजिस्ट्रारों का एक पूरा सेट भी है (स्तर 3) , एनटीटी, आदि)। यह इन डेटाबेस के लिए धन्यवाद है कि इंटर-डोमेन रूटिंग अपने संचालन की सापेक्ष स्थिरता बनाए रखता है।

हालाँकि, बारीकियाँ हैं। रूटिंग जानकारी की जाँच रूट-ऑब्जेक्ट्स और एएस-सेट ऑब्जेक्ट्स के आधार पर की जाती है। और यदि पहला IRRDB के भाग के लिए प्राधिकरण दर्शाता है, तो दूसरे वर्ग के लिए एक वर्ग के रूप में कोई प्राधिकरण नहीं है। यानी, कोई भी किसी को भी अपने सेट में जोड़ सकता है और इस तरह अपस्ट्रीम प्रदाताओं के फ़िल्टर को बायपास कर सकता है। इसके अलावा, विभिन्न आईआरआर आधारों के बीच एएस-सेट नामकरण की विशिष्टता की गारंटी नहीं है, जिससे टेलीकॉम ऑपरेटर के लिए कनेक्टिविटी के अचानक नुकसान के साथ आश्चर्यजनक प्रभाव पड़ सकता है, जिसने अपनी ओर से कुछ भी नहीं बदला है।

एक अतिरिक्त चुनौती AS-SET का उपयोग पैटर्न है। यहां दो बिंदु हैं:

• जब किसी ऑपरेटर को कोई नया क्लाइंट मिलता है, तो वह उसे अपने AS-SET में जोड़ता है, लेकिन लगभग कभी भी उसे हटाता नहीं है;
• फ़िल्टर स्वयं केवल क्लाइंट के साथ इंटरफ़ेस पर कॉन्फ़िगर किए गए हैं।

परिणामस्वरूप, बीजीपी फिल्टर के आधुनिक प्रारूप में ग्राहकों के साथ इंटरफेस पर धीरे-धीरे खराब होने वाले फिल्टर और सहकर्मी भागीदारों और आईपी ट्रांजिट प्रदाताओं से जो मिलता है उस पर प्राथमिक भरोसा शामिल है।

AS-SET के आधार पर उपसर्ग फ़िल्टर को प्रतिस्थापित करना क्या है? सबसे दिलचस्प बात यह है कि अल्पावधि में - कुछ भी नहीं। लेकिन अतिरिक्त तंत्र उभर रहे हैं जो आईआरआरडीबी-आधारित फिल्टर के काम को पूरक करते हैं, और सबसे पहले, यह, निश्चित रूप से, आरपीकेआई है।

आरपीकेआई

सरलीकृत तरीके से, आरपीकेआई आर्किटेक्चर को एक वितरित डेटाबेस के रूप में सोचा जा सकता है जिसके रिकॉर्ड को क्रिप्टोग्राफ़िक रूप से सत्यापित किया जा सकता है। आरओए (रूट ऑब्जेक्ट ऑथराइजेशन) के मामले में, हस्ताक्षरकर्ता पता स्थान का मालिक है, और रिकॉर्ड स्वयं एक ट्रिपल (उपसर्ग, एएसएन, अधिकतम लंबाई) है। अनिवार्य रूप से, यह प्रविष्टि निम्नलिखित को दर्शाती है: $prefix पता स्थान के मालिक ने $max_length से अधिक लंबाई वाले उपसर्गों का विज्ञापन करने के लिए AS संख्या $asn को अधिकृत किया है। और राउटर, आरपीकेआई कैश का उपयोग करके, अनुपालन के लिए जोड़ी की जांच करने में सक्षम हैं उपसर्ग - रास्ते में पहला वक्ता.

चित्र 3. आरपीकेआई वास्तुकला

आरओए वस्तुओं को काफी समय से मानकीकृत किया गया है, लेकिन हाल तक वे वास्तव में आईईटीएफ जर्नल में केवल कागज पर ही बने रहे। मेरी राय में, इसका कारण डरावना लगता है - खराब मार्केटिंग। मानकीकरण पूरा होने के बाद, प्रोत्साहन यह था कि आरओए बीजीपी अपहरण से सुरक्षित रहे - जो सच नहीं था। पथ की शुरुआत में सही एसी नंबर डालकर हमलावर आसानी से आरओए-आधारित फिल्टर को बायपास कर सकते हैं। और जैसे ही यह अहसास हुआ, अगला तार्किक कदम आरओए के उपयोग को छोड़ना था। और वास्तव में, अगर यह काम नहीं करती तो हमें प्रौद्योगिकी की आवश्यकता क्यों है?

अब अपना मन बदलने का समय क्यों आ गया है? क्योंकि ये पूरा सच नहीं है. आरओए बीजीपी में हैकर गतिविधि से रक्षा नहीं करता है, लेकिन आकस्मिक यातायात अपहरण से बचाता हैउदाहरण के लिए, बीजीपी में स्थिर लीक से, जो आम होता जा रहा है। इसके अलावा, आईआरआर-आधारित फिल्टर के विपरीत, आरओवी का उपयोग न केवल ग्राहकों के साथ इंटरफेस पर किया जा सकता है, बल्कि साथियों और अपस्ट्रीम प्रदाताओं के साथ इंटरफेस पर भी किया जा सकता है। अर्थात्, आरपीकेआई की शुरूआत के साथ, बीजीपी से एक प्राथमिक विश्वास धीरे-धीरे गायब हो रहा है।

अब, आरओए पर आधारित मार्गों की जांच धीरे-धीरे प्रमुख खिलाड़ियों द्वारा लागू की जा रही है: सबसे बड़ा यूरोपीय IX पहले से ही टियर -1 ऑपरेटरों के बीच गलत मार्गों को छोड़ रहा है, यह एटी एंड टी को उजागर करने लायक है, जिसने अपने सहकर्मी भागीदारों के साथ इंटरफेस पर फिल्टर सक्षम किया है; सबसे बड़े सामग्री प्रदाता भी इस परियोजना के लिए संपर्क कर रहे हैं। और दर्जनों मध्यम आकार के ट्रांजिट ऑपरेटरों ने इसके बारे में किसी को बताए बिना, इसे पहले ही चुपचाप लागू कर दिया है। ये सभी ऑपरेटर आरपीकेआई क्यों लागू कर रहे हैं? उत्तर सरल है: अपने आउटगोइंग ट्रैफ़िक को अन्य लोगों की गलतियों से बचाने के लिए। यही कारण है कि यांडेक्स रूसी संघ में आरओवी को अपने नेटवर्क के किनारे पर शामिल करने वाले पहले लोगों में से एक है।

आगे क्या होगा?

अब हमने ट्रैफ़िक एक्सचेंज पॉइंट और प्राइवेट पियरिंग्स के साथ इंटरफेस पर रूटिंग जानकारी की जाँच करना सक्षम कर दिया है। निकट भविष्य में, अपस्ट्रीम ट्रैफ़िक प्रदाताओं के साथ सत्यापन भी सक्षम किया जाएगा।

इससे आपको क्या फर्क पड़ता है? यदि आप अपने नेटवर्क और यांडेक्स के बीच ट्रैफ़िक रूटिंग की सुरक्षा बढ़ाना चाहते हैं, तो हम अनुशंसा करते हैं:

• अपने पता स्थान पर हस्ताक्षर करें RIPE पोर्टल में - यह सरल है, इसमें औसतन 5-10 मिनट लगते हैं। यह उस स्थिति में हमारी कनेक्टिविटी की रक्षा करेगा जब कोई अनजाने में आपका पता स्थान चुरा लेता है (और यह निश्चित रूप से देर-सबेर होगा);
• ओपन सोर्स आरपीकेआई कैश में से एक स्थापित करें (परिपक्व-सत्यापनकर्ता, नियमित करनेवाला) और नेटवर्क सीमा पर रूट जांच सक्षम करें - इसमें अधिक समय लगेगा, लेकिन फिर भी, इससे कोई तकनीकी कठिनाई नहीं होगी।

यांडेक्स नए आरपीकेआई ऑब्जेक्ट पर आधारित फ़िल्टरिंग सिस्टम के विकास का भी समर्थन करता है - स्पा (स्वायत्त सिस्टम प्रदाता प्राधिकरण)। ASPA और ROA ऑब्जेक्ट पर आधारित फ़िल्टर न केवल "लीकी" AS-SET को प्रतिस्थापित कर सकते हैं, बल्कि BGP का उपयोग करके MiTM हमलों के मुद्दों को भी बंद कर सकते हैं।

मैं एक महीने में अगले हॉप सम्मेलन में एएसपीए के बारे में विस्तार से बात करूंगा। नेटफ्लिक्स, फेसबुक, ड्रॉपबॉक्स, जुनिपर, मेलानॉक्स और यांडेक्स के सहकर्मी भी वहां बोलेंगे। यदि आप नेटवर्क स्टैक और भविष्य में इसके विकास में रुचि रखते हैं, तो आएं पंजीकरण खुला है.

स्रोत: www.habr.com