बीजीपी मार्ग के लीक होने से इंटरनेट पर व्यापक वियोग होता है

क्लाउडफ्लेयर कंपनी प्रकाशित कल की घटना पर रिपोर्ट, जिसके परिणामस्वरूप तीन घंटे 13:34 से 16:26 (MSK) तक, वैश्विक नेटवर्क पर कई संसाधनों तक पहुँचने में समस्याएँ थीं, जिनमें Cloudflare, Facebook, Akamai, Apple, Linode, और Amazon AWS के बुनियादी ढांचे शामिल हैं। क्लाउडफ्लेयर इंफ्रास्ट्रक्चर में समस्याएं, जो 16 मिलियन साइटों के लिए सीडीएन प्रदान करता है, देखा 14:02 से 16:02 (एमएसके) तक। Cloudflare का अनुमान है कि आउटेज के दौरान लगभग 15% वैश्विक ट्रैफ़िक खो गया था।

समस्या थी वजह बीजीपी के माध्यम से मार्ग रिसाव, जिसके दौरान 20 नेटवर्क के लिए लगभग 2400 हजार उपसर्ग गलत तरीके से पुनर्निर्देशित किए गए थे। रिसाव का स्रोत प्रदाता डीक्यूई कम्युनिकेशंस था, जो सॉफ्टवेयर का इस्तेमाल करता था बीजीपी अनुकूलक रूटिंग का अनुकूलन करने के लिए। बीजीपी ऑप्टिमाइज़र आईपी उपसर्गों को छोटे लोगों में तोड़ता है, उदाहरण के लिए, 104.20.0.0/20 को 104.20.0.0/21 और 104.20.8.0/21 में विभाजित करता है, और परिणामस्वरूप, डीक्यूई कम्युनिकेशंस ने बड़ी संख्या में विशिष्ट मार्गों को अपने पक्ष में रखा जो ओवरराइड करते हैं अधिक सामान्य मार्ग (अर्थात क्लाउडफ्लेयर के सामान्य मार्गों के बजाय, विशिष्ट क्लाउडफ्लेयर सबनेट के लिए अधिक दानेदार मार्गों का उपयोग किया गया था)।

इन बिंदु मार्गों को एक ग्राहक (एलेघेनी टेक्नोलॉजीज, AS396531) के लिए विज्ञापित किया गया था, जिसका एक अन्य प्रदाता के माध्यम से भी कनेक्शन था। Allegheny Technologies ने प्राप्त मार्गों को दूसरे ट्रांज़िट प्रदाता (Verizon, AS701) पर प्रसारित किया। बीजीपी घोषणाओं के उचित फ़िल्टरिंग की कमी और उपसर्गों की संख्या की सीमा के कारण, वेरिज़ोन ने इस घोषणा को उठाया और प्राप्त 20 हजार उपसर्गों को शेष इंटरनेट पर प्रसारित किया। गलत उपसर्ग, उनके ग्रैन्युलैरिटी के कारण, उच्च प्राथमिकता के रूप में माने जाते थे, क्योंकि एक विशिष्ट मार्ग की सामान्य की तुलना में उच्च प्राथमिकता होती है।

नतीजतन, कई बड़े नेटवर्क के लिए ट्रैफ़िक वेरिज़ोन के माध्यम से एक छोटे प्रदाता DQE कम्युनिकेशंस को निर्देशित किया जाने लगा, जो बाढ़ के ट्रैफ़िक को संभालने में असमर्थ था, जिसके कारण पतन हुआ (प्रभाव एक व्यस्त फ्रीवे के हिस्से को देश की सड़क के साथ बदलने के बराबर है) ).

ताकि भविष्य में इस तरह की घटनाओं को होने से रोका जा सके
अनुशंसित द्वारा:

• उपयोग करने के लिए सत्यापन आरपीकेआई पर आधारित घोषणाएं (बीजीपी ओरिजिन वैलिडेशन, केवल नेटवर्क मालिकों से घोषणाएं प्राप्त करने की अनुमति देता है);
• सभी ईबीजीपी सत्रों के लिए स्वीकृत उपसर्गों की अधिकतम संख्या को सीमित करें (अधिकतम-उपसर्ग सेट करने से एक सत्र के भीतर 20 हजार उपसर्गों के प्रसारण को तुरंत समाप्त करने में मदद मिलेगी);
• आईआरआर रजिस्ट्री के आधार पर फ़िल्टरिंग लागू करें (इंटरनेट रूटिंग रजिस्ट्री, एएस निर्धारित करती है जिसके माध्यम से दिए गए उपसर्गों की रूटिंग की अनुमति है);
• राउटर पर RFC 8212 में अनुशंसित डिफॉल्ट इनकार सेटिंग्स ('डिफ़ॉल्ट इनकार') का उपयोग करें;
• बीजीपी ऑप्टिमाइज़र का अंधाधुंध उपयोग बंद करें।

स्रोत: opennet.ru