A BGP-route-kiáramlás tömeges internetkapcsolati problémákat okozott.

A Cloudflare vállalat kiadta jelentés a tegnapi incidenst követően, amelynek következtében három órán át 13:34 és 16:26 (MSK) között hozzáférési problémák merültek fel sok globális forráshoz, beleértve a Cloudflare, Facebook, Akamai, Apple, Linode és Amazon AWS infrastruktúráját. A Cloudflare infrastruktúrájában, amely 16 millió webhely számára biztosít CDN-t, problémák jelentkeztek 14:02 és 16:02 (MSK) között. A Cloudflare becslése szerint a hiba idején körülbelül 15%-os globális forgalomcsökkenés történt.

A probléma is caused by útvonalak kiszivárgásával függött össze a BGP-n keresztül, amely során körülbelül 20 ezer prefixet irányítottak tévesen 2400 hálózat számára. A kiszivárgás forrása a DQE Communications szolgáltató volt, amely BGP Optimizer szoftvert használt az útvonalak optimalizálására. A BGP Optimizer az IP-prefixeket kisebb egységekre bontja, például a 104.20.0.0/20-prefixet 104.20.0.0/21 és 104.20.8.0/21 részekre, így a DQE Communications nagy számú specifikus útvonalat tartott a saját oldalán, amelyek felülbírálják az általános útvonalakat (tehát a Cloudflare általános útvonalai helyett konkrétabb útvonalakat használtak a Cloudflare specifikus alhálózataihoz).

Ezeket a konkrét útvonalakat bejelentették egy ügyfélnek (Allegheny Technologies, AS396531), amely szintén kapcsolatban állt egy másik szolgáltatóval. Az Allegheny Technologies a kapott útvonalakat egy másik tranzit szolgáltatónak (Verizon, AS701) továbbította. A BGP-bejelentések megfelelő szűrésének hiánya és a prefixek számának limitációja miatt a Verizon felkapta ezt a bejelentést és továbbította a kapott 20 ezer prefixet a többi internet számára. A téves prefixek a granularitásuk folytán priorizálva lettek, mivel a konkrét útvonal magasabb prioritással bír, mint az általános.

Ennek következtében sok nagy hálózat forgalma a Verizonon keresztül egy kisebb szolgáltatóhoz, a DQE Communications-hez irányult, amely nem tudta kezelni a hirtelen megnövekedett forgalmat, ami összeomláshoz vezetett (a hatás hasonlítható azzal, mintha egy zsúfolt autópálya egy darabját földútra cserélnénk).

A hasonló incidenst előzése érdekében a jövőben
ajánlott:

• Használja a a bejelentések validálása RPKI alapú validálással (BGP Origin Validation, engedélyezi csak a hálózati tulajdonosoktól érkező bejelentéseket);
• A maximálisan elfogadható prefixek számának korlátozása minden EBGP üléshez (a maximum-prefix beállítás azonnal segítene kiszűrni a 20 ezer prefixet egy ülésszak alatt);
• Alkalmazza az IRR (Internet Routing Registry) nyilvántartás alapú szűrést, amely meghatározza az AS-t, amelyeken keresztül a megadott prefixek routolása engedélyezett;
• Használja a RFC 8212-ben javasolt beállításokat az alapértelmezett blokkolás (‘default deny’) érdekében a routereken;
• A BGP optimalizálók meggondolatlan használatának mellőzése.

Forrás: opennet.ru