{"id":35550,"date":"2019-10-31T22:04:58","date_gmt":"2019-10-31T19:04:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/pochemu-internet-do-sih-por-onlajn\/"},"modified":"2019-10-31T22:04:58","modified_gmt":"2019-10-31T19:04:58","slug":"pochemu-internet-do-sih-por-onlajn","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/pochemu-internet-do-sih-por-onlajn","title":{"rendered":"Mi\u00e9rt van m\u00e9g mindig online az internet?","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Az internet er\u0151s, f\u00fcggetlen \u00e9s megbonthatatlan strukt\u00far\u00e1nak t\u0171nik. Elm\u00e9letben a h\u00e1l\u00f3zat er\u0151ss\u00e9ge el\u00e9g ahhoz, hogy t\u00fal\u00e9lje egy nukle\u00e1ris robbant\u00e1st. A val\u00f3s\u00e1gban azonban az internetet egyetlen kis router is le tudja kapcsolni. Mindez az\u00e9rt van, mert az internet ellentmond\u00e1sok, sebezhet\u0151s\u00e9gek, hib\u00e1k \u00e9s macsk\u00e1s vide\u00f3k halmaza. Az internet alapja, a BGP protokoll, tele van probl\u00e9m\u00e1kkal. Meglepet\u00e9s, hogy m\u00e9g mindig m\u0171k\u00f6dik. Ezen k\u00edv\u00fcl mindenki, akinek kedve van, megt\u00f6ri: nagy internetes szolg\u00e1ltat\u00f3k, v\u00e1llalatok, \u00e1llamok \u00e9s DDoS-t\u00e1mad\u00e1sok. Mit tegy\u00fcnk ezzel kapcsolatban, \u00e9s hogyan \u00e9lj\u00fcnk egy\u00fctt ezzel?<\/p>\n

\"Mi\u00e9rt
\n
\nA v\u00e1lasz tudja Alexey Uchakov<\/b> (Night_Snake<\/a><\/noindex>) \u2013 a h\u00e1l\u00f3zati m\u00e9rn\u00f6k\u00f6k csapat\u00e1nak vezet\u0151je az IQ Option-n\u00e9l. F\u0151 feladata a platform el\u00e9rhet\u0151s\u00e9ge a felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra. Alexey el\u0151ad\u00e1s\u00e1nak \u00e1t\u00edr\u00e1s\u00e1ban a\u00a0Saint HighLoad++ 2019<\/a><\/noindex> besz\u00e9lni fogunk a BGP-r\u0151l, DDoS-t\u00e1mad\u00e1sokr\u00f3l, az internett\u0151l val\u00f3 lekapcsol\u00e1sr\u00f3l, a szolg\u00e1ltat\u00f3k hib\u00e1ir\u00f3l, a decentraliz\u00e1ci\u00f3r\u00f3l \u00e9s az esetr\u0151l, amikor egy kis router az internetet aludni k\u00fcldte. A v\u00e9g\u00e9n egy p\u00e1r tipp, hogyan \u00e9lj\u00fck t\u00fal mindezt.
\n<\/a><\/noindex>
\n

\r\n \"Vide\u00f3\r\n
<\/div>\r\n <\/div><\/center><\/p>\n

A nap, amikor az internet meg\u00e1llt<\/h2>\n

\nCsak n\u00e9h\u00e1ny olyan incidenst hozok, amikor az internet \u00f6sszek\u00f6ttet\u00e9se megszakadt. Ez elegend\u0151 lesz a teljes k\u00e9phez.<\/p>\n

\u201eAS7007-es incidens\u201d<\/b>. El\u0151sz\u00f6r 1997 \u00e1prilis\u00e1ban \u00e1llt meg az internet. Az 7007-es auton\u00f3m rendszer egyik router\u00e9ben hiba volt. Egy ponton a router bejelentette szomsz\u00e9dainak a bels\u0151 \u00fatvonal t\u00e1bl\u00e1zat\u00e1t, \u00e9s a h\u00e1l\u00f3zat fel\u00e9t a fekete lyukba k\u00fcldte.<\/p>\n

\u201ePakiszt\u00e1n a YouTube ellen\u201d<\/b>. 2008-ban a b\u00e1tor pakiszt\u00e1ni fi\u00fak \u00fagy d\u00f6nt\u00f6ttek, hogy blokkolj\u00e1k a YouTube-ot. Olyan j\u00f3l csin\u00e1lt\u00e1k, hogy a vil\u00e1g fel\u00e9nek elment a macsk\u00e1s vide\u00f3ja.<\/p>\n

\u201eA VISA, MasterCard \u00e9s Symantec prefixek Rostelekom \u00e1ltali elfog\u00e1sa\u201d<\/b>. 2017-ben a Rostelekom v\u00e9letlen\u00fcl elkezdte bejelenteni a VISA, MasterCard \u00e9s Symantec prefixeket. Ennek k\u00f6vetkezm\u00e9nyek\u00e9nt a p\u00e9nz\u00fcgyi forgalom olyan csatorn\u00e1kra ir\u00e1nyult, amelyeket a szolg\u00e1ltat\u00f3 ir\u00e1ny\u00edt. A sziv\u00e1rg\u00e1s nem sok\u00e1ig tartott, de a p\u00e9nz\u00fcgyi c\u00e9gek sz\u00e1m\u00e1ra kellemetlen volt.<\/p>\n

\u201eGoogle Jap\u00e1n ellen\u201d<\/b>. 2017 augusztus\u00e1ban a Google elkezdett bejelenteni a nagy jap\u00e1n szolg\u00e1ltat\u00f3k, az NTT \u00e9s a KDDI prefixeit egyes uplinkjein. A forgalom transit szerverk\u00e9nt \u00e9rkezett a Google-hoz, val\u00f3sz\u00edn\u0171leg t\u00e9ved\u00e9sb\u0151l. Mivel a Google nem szolg\u00e1ltat\u00f3, \u00e9s nem engedi \u00e1t a transit forgalmat, Jap\u00e1n jelent\u0151s r\u00e9sze internet n\u00e9lk\u00fcl maradt.<\/p>\n

\u201eA DV LINK elfoglalta a Google, Apple, Facebook, Microsoft prefixeit\u201c<\/b>. Ugyanebben az \u00e9vben, 2017-ben, a DV LINK orosz szolg\u00e1ltat\u00f3 mi\u00e9rt is, de bejelentette a Google, Apple, Facebook, Microsoft \u00e9s n\u00e9h\u00e1ny m\u00e1s nagy szerepl\u0151 h\u00e1l\u00f3zatait.<\/p>\n

\u201eAz eNet az Egyes\u00fclt \u00c1llamokb\u00f3l elfoglalta az AWS Route53 \u00e9s a MyEtherwallet prefixeit\u201c<\/b>. 2018-ban egy Ohio-i szolg\u00e1ltat\u00f3 vagy az egyik \u00fcgyfel\u00fck bejelentette az Amazon Route53 \u00e9s a MyEtherwallet kriptot\u00e1rca h\u00e1l\u00f3zatait. A t\u00e1mad\u00e1s sikeres volt: m\u00e9g a saj\u00e1t al\u00e1\u00edr\u00e1s\u00fa tan\u00fas\u00edtv\u00e1ny ellen\u00e9re is, amely figyelmeztet\u00e9st adott a felhaszn\u00e1l\u00f3nak, amikor a MyEtherwallet oldal\u00e1ra l\u00e9pett, sok t\u00e1rc\u00e1t elloptak, \u00e9s r\u00e9szben kriptovalut\u00e1t loptak el.<\/p>\n

Csak 2017-ben t\u00f6bb mint 14 000 hasonl\u00f3 incidens t\u00f6rt\u00e9nt! A h\u00e1l\u00f3zat m\u00e9g mindig decentraliz\u00e1lt, teh\u00e1t nem mindenhol \u00e9s nem mindenkin\u00e9l t\u00f6rt\u00e9nt meg a hiba. De az incidensek ezr\u00e9vel fordulnak el\u0151, \u00e9s mind a BGP protokollhoz kapcsol\u00f3dnak, amelyen az internet m\u0171k\u00f6dik.<\/p>\n

A BGP \u00e9s annak probl\u00e9m\u00e1i<\/h2>\n

\nProtokoll A BGP \u2013 Border Gateway Protocol<\/b>, el\u0151sz\u00f6r 1989-ben k\u00e9t m\u00e9rn\u00f6k, az IBM \u00e9s a Cisco Systems-t\u0151l, h\u00e1rom \u201eszalv\u00e9t\u00e1n\u201d \u2013 A4-es pap\u00edrlapokon \u00edrt\u00e1k le. Ezek \u201eszalv\u00e9t\u00e1k\u201c<\/a><\/noindex> m\u00e9g mindig a Cisco Systems f\u0151 irod\u00e1j\u00e1ban, San Francisc\u00f3ban tal\u00e1lhat\u00f3ak, mint a h\u00e1l\u00f3zati vil\u00e1g relikvi\u00e1i.<\/p>\n

A protokoll alapja az auton\u00f3m rendszerek k\u00f6z\u00f6tti interakci\u00f3<\/b>\u00a0\u2013 Autonomous Systems, vagy r\u00f6viden AS. Az auton\u00f3m rendszer egy egyszer\u0171 ID, amelyhez a nyilv\u00e1nos nyilv\u00e1ntart\u00e1sban IP h\u00e1l\u00f3zatok vannak rendelve. Az ilyen ID-vel rendelkez\u0151 router be tudja jelenti a vil\u00e1gba ezeket a h\u00e1l\u00f3zatokat. Ennek megfelel\u0151en b\u00e1rmely internetes \u00fatvonalat egy vektork\u00e9nt lehet \u00e1br\u00e1zolni, amit AS Path-nak<\/b>h\u00edvnak. A vektor az auton\u00f3m rendszerek sz\u00e1maib\u00f3l \u00e1ll, amelyeken \u00e1t kell jutnunk, hogy el\u00e9rj\u00fck a c\u00e9lh\u00e1l\u00f3zatot.<\/p>\n

P\u00e9ld\u00e1ul van egy h\u00e1l\u00f3zat n\u00e9h\u00e1ny auton\u00f3m rendszert\u0151l. El kell \u00e9rn\u00fcnk az AS65001 rendszerb\u0151l az AS65003 rendszerbe. Az egyik rendszerb\u0151l a m\u00e1sikba vezet\u0151 utat az AS Path \u00e1br\u00e1zolja a diagramon. K\u00e9t auton\u00f3m rendszerb\u0151l \u00e1ll: 65002 \u00e9s 65003. Minden c\u00e9lc\u00edmhez egy AS Path vektor tartozik, amely az \u00e1tj\u00e1rand\u00f3 auton\u00f3m rendszerek sz\u00e1maib\u00f3l \u00e1ll.<\/p>\n

\"Mi\u00e9rt
\n
\nMilyen probl\u00e9m\u00e1i vannak teh\u00e1t a BGP-nek?<\/p>\n

A BGP egy bizalmi protokoll<\/h3>\n

\nA BGP protokoll \u2013 trust based. Ez azt jelenti, hogy alap\u00e9rtelmezetten megb\u00edzunk a szomsz\u00e9dunkban. Ez sz\u00e1mos protokoll speci\u00e1lis jellemz\u0151je, amelyeket az internet hajnal\u00e1n fejlesztettek ki. N\u00e9zz\u00fck meg, mit jelent a \u201emegb\u00edzni\u201d.<\/p>\n

Nincs szomsz\u00e9d azonos\u00edt\u00e1s<\/b>. Form\u00e1lisan van MD5, de az MD5 2019-ben \u2013 h\u00e1t, nem t\u00fal j\u00f3\u2026<\/p>\n

Nincs sz\u0171r\u00e9s<\/b>. A BGP-nek vannak filterei, \u00e9s ezek le vannak \u00edrva, de nem haszn\u00e1lj\u00e1k \u0151ket, vagy helytelen\u00fcl haszn\u00e1lj\u00e1k. K\u00e9s\u0151bb elmagyar\u00e1zom, mi\u00e9rt.<\/p>\n

Nagyon egyszer\u0171 be\u00e1ll\u00edtani a szomsz\u00e9ds\u00e1got<\/b>. A szomsz\u00e9ds\u00e1g be\u00e1ll\u00edt\u00e1sa a BGP protokollban szinte b\u00e1rmelyik routeren p\u00e1r soros konfigur\u00e1ci\u00f3.<\/p>\n

Nincsenek sz\u00fcks\u00e9gletek a BGP kezel\u00e9s\u00e9re<\/b>. Nem sz\u00fcks\u00e9ges vizsg\u00e1t tenni, amely igazolja a k\u00e9pes\u00edt\u00e9seit. Senki nem veszi el a jogait, ha r\u00e9szeg \u00e1llapotban \u00e1ll\u00edt be BGP-t.<\/p>\n

K\u00e9t f\u0151 probl\u00e9ma<\/h3>\n

\nPrefix eltulajdon\u00edt\u00e1s - prefix hijacks<\/b>. A prefix eltulajdon\u00edt\u00e1sa - egy olyan h\u00e1l\u00f3zat bejelent\u00e9se, amely nem az \u00f6n\u00e9, mint a MyEtherwallet eset\u00e9n. Elvett\u00fcnk n\u00e9h\u00e1ny prefixet, meg\u00e1llapodtunk a szolg\u00e1ltat\u00f3val vagy felt\u00f6rt\u00fck, \u00e9s rajta kereszt\u00fcl bejelentj\u00fck ezeket a h\u00e1l\u00f3zatokat.<\/p>\n

\u00datvonal sziv\u00e1rg\u00e1sok - route leaks<\/b>. A sziv\u00e1rg\u00e1ssal kicsit bonyolultabb a helyzet. A sziv\u00e1rg\u00e1s az AS Path megv\u00e1ltoztat\u00e1sa<\/b>. A legjobb esetben a v\u00e1ltoz\u00e1s nagyobb k\u00e9s\u00e9st okoz, mert hosszabb vagy kev\u00e9sb\u00e9 el\u00e1gaz\u00f3 linken kell haladnia. A legrosszabb esetben a Google \u00e9s Jap\u00e1n esete ism\u00e9tl\u0151dni fog.<\/p>\n

Mag\u00e1nak a Google-nak nincsenek \u00fczemeltet\u00e9si jogai \u00e9s nem tranzit auton\u00f3m rendszer. De amikor bejelentette a jap\u00e1n szolg\u00e1ltat\u00f3k h\u00e1l\u00f3zatait a szolg\u00e1ltat\u00f3j\u00e1nak, a Google \u00e1ltal gener\u00e1lt forgalom az AS Path-on prioriz\u00e1ltabbnak t\u0171nt. A forgalom odament, \u00e9s egyszer\u0171en leesett, mert a Google bels\u0151 \u00fatv\u00e1laszt\u00e1si be\u00e1ll\u00edt\u00e1sai bonyolultabbak, mint a hat\u00e1ron l\u00e9v\u0151 filterek.<\/p>\n

Mi\u00e9rt nem m\u0171k\u00f6dnek a filterek?<\/h3>\n

\nSenkit sem \u00e9rdekel<\/b>. Ez a f\u0151 ok - mindenkinek mindegy. Egy kicsi szolg\u00e1ltat\u00f3 adminisztr\u00e1tora, vagy egy c\u00e9g, amely BGP-n kereszt\u00fcl csatlakozott egy szolg\u00e1ltat\u00f3hoz, vett egy MikroTik-et, be\u00e1ll\u00edtotta rajta a BGP-t, \u00e9s m\u00e9g csak nem is tud arr\u00f3l, hogy lehet filtereket be\u00e1ll\u00edtani.<\/p>\n

Konfigur\u00e1ci\u00f3s hib\u00e1k<\/b>. Valamit debugoltak, hib\u00e1ztak a maszkban, rossz h\u00e1l\u00f3zatot \u00e1ll\u00edtottak be - \u00e9s \u00edme, ism\u00e9t hiba.<\/p>\n

Nincs technikai lehet\u0151s\u00e9g<\/b>. P\u00e9ld\u00e1ul a szolg\u00e1ltat\u00f3kn\u00e1l sok \u00fcgyf\u00e9l van. Okosan \u00e9rdemes lenne automatikusan friss\u00edteni a filtereket minden egyes \u00fcgyf\u00e9l sz\u00e1m\u00e1ra - figyelni, hogy \u00faj h\u00e1l\u00f3zata van, hogy b\u00e9rbe adta a h\u00e1l\u00f3zat\u00e1t valakinek. Ezt neh\u00e9z figyelni, k\u00e9zzel m\u00e9g nehezebb. Ez\u00e9rt egyszer\u0171en laza filtereket \u00e1ll\u00edtanak be, vagy egy\u00e1ltal\u00e1n nem \u00e1ll\u00edtanak be filtereket.<\/p>\n

Kiv\u00e9tel<\/b>. Vannak kiv\u00e9telek a kedvenc \u00e9s nagy \u00fcgyfelek sz\u00e1m\u00e1ra. K\u00fcl\u00f6n\u00f6sen a szolg\u00e1ltat\u00f3k k\u00f6z\u00f6tti interf\u00e9szek eset\u00e9n. P\u00e9ld\u00e1ul a TransTelecomnak \u00e9s a Rosztelkomnak rengeteg h\u00e1l\u00f3zata van, \u00e9s k\u00f6z\u00f6tt\u00fck interf\u00e9sz tal\u00e1lhat\u00f3. Ha az interf\u00e9sz megszakad - senkinek sem lesz j\u00f3, ez\u00e9rt a filtereket laz\u00edtj\u00e1k, vagy teljesen elt\u00e1vol\u00edtj\u00e1k.<\/p>\n

Elavult vagy elavult inform\u00e1ci\u00f3 az IRR-ben<\/b>. A sz\u0171r\u0151k az alapj\u00e1n \u00e9p\u00fclnek fel, ami fel van jegyezve\u00a0IRR \u2013 Internet Routing Registry<\/b>. Ezek a region\u00e1lis internetnyilv\u00e1ntart\u00f3k. Gyakran a nyilv\u00e1ntart\u00f3kban elavult vagy nem aktu\u00e1lis inform\u00e1ci\u00f3 tal\u00e1lhat\u00f3, vagy mindkett\u0151.<\/p>\n

Kik ezek a regisztr\u00e1torok?<\/h3>\n

\"Mi\u00e9rt
\n
\nMinden internetes c\u00edm a k\u00f6vetkez\u0151 szervezethez tartozik IANA \u2013 Internet Assigned Numbers Authority<\/b>. Amikor valakit\u0151l IP h\u00e1l\u00f3zatot v\u00e1s\u00e1rol, akkor nem c\u00edmeket, hanem azok haszn\u00e1lati jog\u00e1t v\u00e1s\u00e1rolja meg. A c\u00edmek immateri\u00e1lis er\u0151forr\u00e1sok, \u00e9s k\u00f6z\u00f6s meg\u00e1llapod\u00e1s alapj\u00e1n mind a IANA \u00fcgyn\u00f6ks\u00e9ghez tartoznak.<\/p>\n

A rendszer \u00edgy m\u0171k\u00f6dik. IANA deleg\u00e1lja az IP-c\u00edmek \u00e9s az auton\u00f3m rendszerek sz\u00e1m\u00e1nak kezel\u00e9s\u00e9t \u00f6t region\u00e1lis regisztr\u00e1tor sz\u00e1m\u00e1ra. \u0150k auton\u00f3m rendszereket adnak ki LIR \u2013 helyi internetnyilv\u00e1ntart\u00f3k<\/b>. A LIR-ek ezut\u00e1n IP-c\u00edmeket osztanak ki v\u00e9gfelhaszn\u00e1l\u00f3knak.<\/p>\n

A rendszer h\u00e1tr\u00e1nya, hogy mindegyik region\u00e1lis regisztr\u00e1tor a saj\u00e1t m\u00f3dj\u00e1n vezeti a nyilv\u00e1ntart\u00e1sokat. Mindenkinek megvannak a saj\u00e1t elk\u00e9pzel\u00e9sei arr\u00f3l, hogy milyen inform\u00e1ci\u00f3knak kellene szerepelni\u00fck a nyilv\u00e1ntart\u00e1sokban, ki fogja ellen\u0151rizni, vagy ki nem. Ennek eredm\u00e9nyek\u00e9nt a helyzet jelenleg z\u0171rzavart okoz.<\/p>\n

Mik\u00e9nt lehetne m\u00e9g harcolni ezekkel a probl\u00e9m\u00e1kkal?<\/h3>\n

\nIRR \u2013 k\u00f6zepes min\u0151s\u00e9g<\/b>. Az IRR helyzete egy\u00e9rtelm\u0171 \u2013 ott minden rosszul \u00e1ll.<\/p>\n

BGP-communities<\/b>. Ez egy bizonyos attrib\u00fatum, amelyet a protokoll defini\u00e1l. P\u00e9ld\u00e1ul specialis k\u00f6z\u00f6ss\u00e9get rendelhet\u00fcnk a bejelent\u00e9s\u00fcnkh\u00f6z, hogy a szomsz\u00e9dunk ne k\u00fcldje a h\u00e1l\u00f3zatainkat a saj\u00e1t szomsz\u00e9dainak. Amikor P2P kapcsolatunk van, csak a saj\u00e1t h\u00e1l\u00f3zatainkat cser\u00e9lj\u00fck.<\/p>\n

A k\u00f6z\u00f6ss\u00e9gek nem tranzit\u00edvak<\/b>. Ez mindig egy k\u00e9toldal\u00fa meg\u00e1llapod\u00e1s, \u00e9s ez a h\u00e1tr\u00e1nyuk. Nem rendelhet\u00fcnk hozz\u00e1 m\u00e1s k\u00f6z\u00f6ss\u00e9get, kiv\u00e9ve egyet, amelyet mindenki alap\u00e9rtelmez\u00e9s szerint elfogad. Nem lehet\u00fcnk biztosak abban, hogy ezt a k\u00f6z\u00f6ss\u00e9get mindenki elfogadja \u00e9s helyesen \u00e9rtelmezi. Ez\u00e9rt, legjobb esetben, ha meg\u00e1llapod\u00e1st k\u00f6t a saj\u00e1t uplinkj\u00e9vel, meg\u00e9rti, hogy mit szeretne a k\u00f6z\u00f6ss\u00e9gen kereszt\u00fcl. De a szomsz\u00e9dja nem biztos, hogy meg\u00e9rti, vagy az \u00fczemeltet\u0151 egyszer\u0171en elt\u00e1vol\u00edtja a c\u00edmk\u00e9t, \u00e9s nem \u00e9ri el, amit szeretett volna.<\/p>\n

Az RPKI + ROA csak a probl\u00e9m\u00e1k kis r\u00e9sz\u00e9t oldja meg<\/b>. Az RPKI \u2013 ez egy Resource Public Key Infrastructure\u00a0<\/b> \u2014 speci\u00e1lis keretrendszer az \u00fatvonal-inform\u00e1ci\u00f3k al\u00e1\u00edr\u00e1s\u00e1ra. J\u00f3 \u00f6tlet, hogy a LIR-ek \u00e9s \u00fcgyfeleik naprak\u00e9szen tarts\u00e1k az c\u00edmzett tartom\u00e1nyi adatb\u00e1zist. De ezzel van egy probl\u00e9ma.<\/p>\n

Az RPKI egy hierarchikus ny\u00edlt kulcsrendszer is. Az IANA-nak van kulcsa, amelyb\u0151l a RIR kulcsok k\u00e9sz\u00fclnek, \u00e9s ezekb\u0151l a LIR kulcsok, amelyek az \u0151 c\u00edmzett tartom\u00e1nyukat ROA-k seg\u00edts\u00e9g\u00e9vel \u00edrj\u00e1k al\u00e1 \u2014 Route Origin Authorisations:<\/p>\n

\u2014 \u00c9n tan\u00fas\u00edtom, hogy ez a prefix ezt az auton\u00f3m rendszert k\u00e9pviselve fog bejelent\u00e9sre ker\u00fclni.<\/i><\/p>\n

A ROA-n k\u00edv\u00fcl vannak m\u00e1s objektumok is, de arr\u00f3l majd k\u00e9s\u0151bb. \u00dagy t\u0171nik, hogy ez egy j\u00f3 \u00e9s hasznos dolog. De nem v\u00e9d meg minket a leak-el\u00e9sekt\u0151l egy\u00e1ltal\u00e1n, \u00e9s nem oldja meg minden prefix-elt\u00e9r\u00edt\u00e9si probl\u00e9m\u00e1t. Ez\u00e9rt a szerepl\u0151k nem sietnek a bevezet\u00e9s\u00e9vel. B\u00e1r m\u00e1r a nagyobb szerepl\u0151k, mint az AT&T, \u00e9s nagy IX-ek biztos\u00edtj\u00e1k, hogy a nev\u00e9ben \u00e9rv\u00e9nytelen ROA-val rendelkez\u0151 prefixeket el fogj\u00e1k dobni. <\/p>\n

Lehet, hogy ezt meg fogj\u00e1k tenni, de jelenleg hatalmas mennyis\u00e9g\u0171 prefix l\u00e9tezik, amelyek egy\u00e1ltal\u00e1n nincsenek al\u00e1\u00edrva. Egyr\u00e9szt nem vil\u00e1gos, hogy \u00e9rv\u00e9nyesen ker\u00fclnek-e bejelent\u00e9sre. M\u00e1sr\u00e9szt nem tudjuk \u0151ket alap\u00e9rtelmez\u00e9s szerint eldobni, mert nem vagyunk benne biztosak, hogy helyes ez vagy sem.<\/p>\n

Mi van m\u00e9g?<\/h3>\n

\nBGPSec<\/b>. Ez egy nagyszer\u0171 dolog, amit akad\u00e9mikusok tal\u00e1ltak ki a r\u00f3zsasz\u00edn p\u00f3nik sz\u00e1m\u00e1ra. Azt mondt\u00e1k:<\/p>\n

\u2014 Van RPKI + ROA \u2014 egy mechanizmus az c\u00edmzett tartom\u00e1ny al\u00e1\u00edr\u00e1s\u00e1nak tan\u00fas\u00edt\u00e1s\u00e1ra. L\u00e9trehozhatunk egy k\u00fcl\u00f6n BGP-attrib\u00fatumot, \u00e9s nevezz\u00fck el BGPSec Path-nak. Minden router a saj\u00e1t al\u00e1\u00edr\u00e1s\u00e1val al\u00e1 fogja \u00edrni azokat a bejelent\u00e9seket, amelyeket szomsz\u00e9dainak bejelent. \u00cdgy egy megb\u00edzhat\u00f3 utat kapunk az al\u00e1\u00edrt bejelent\u00e9sek l\u00e1nc\u00e1n, amelyet ellen\u0151rizhet\u00fcnk.<\/i><\/p>\n

Elm\u00e9letben j\u00f3l hangzik, de a gyakorlatban sok probl\u00e9ma van. A BGPSec sok megl\u00e9v\u0151 BGP mechanizmust megzavar a next-hop kiv\u00e1laszt\u00e1s\u00e1ban \u00e9s a bej\u00f6v\u0151\/kimen\u0151 forgalom kezel\u00e9s\u00e9ben k\u00f6zvetlen\u00fcl a routeren. A BGPSec nem m\u0171k\u00f6dik, am\u00edg a piacon r\u00e9szt vev\u0151 95% nem vezeti be, ami \u00f6nmag\u00e1ban ut\u00f3pia.<\/p>\n

A BGPSec-nek hatalmas teljes\u00edtm\u00e9nybeli probl\u00e9m\u00e1i vannak. Jelenlegi hardveren a bejelent\u00e9sek ellen\u0151rz\u00e9si sebess\u00e9ge k\u00f6r\u00fclbel\u00fcl 50 prefix m\u00e1sodpercenk\u00e9nt. \u00d6sszehasonl\u00edt\u00e1sk\u00e9ppen: a jelenlegi internetes t\u00e1bl\u00e1zatban, amely 700 000 prefixet tartalmaz, 5 \u00f3r\u00e1t fog tartani, ami alatt m\u00e9g 10 alkalommal v\u00e1ltozik meg.<\/p>\n

BGP Open Policy (Szerepalap\u00fa BGP)<\/b>. Friss javaslat egy modellt alapj\u00e1n Gao-Rexford<\/b>. \u0150k ketten BGP kutat\u00e1ssal foglalkoz\u00f3 tud\u00f3sok.<\/p>\n

A Gao-Rexford model consists of the following. To simplify, in the case of BGP, there are a few types of interactions:<\/p>\n