מדוע האינטרנט עדיין מקוון?

נראה שהאינטרנט הוא מבנה חזק, עצמאי ובלתי ניתן להריסה. בתיאוריה, הרשת חזקה מספיק כדי לשרוד פיצוץ גרעיני. במציאות, האינטרנט יכול להפיל נתב אחד קטן. הכל בגלל שהאינטרנט הוא ערימה של סתירות, פגיעויות, שגיאות וסרטונים על חתולים. עמוד השדרה של האינטרנט, BGP, טומן בחובו בעיות. זה מדהים שהוא עדיין נושם. בנוסף לשגיאות באינטרנט עצמו, הוא נשבר גם על ידי כולם: ספקי אינטרנט גדולים, תאגידים, מדינות והתקפות DDoS. מה לעשות עם זה ואיך לחיות עם זה?

יודע את התשובה אלכסיי אוצ'קין (נחש_לילה) הוא המנהיג של צוות מהנדסי רשת ב-IQ Option. המשימה העיקרית שלו היא נגישות הפלטפורמה למשתמשים. בתמליל הדו"ח של אלכסיי על Saint HighLoad++ 2019 בואו נדבר על BGP, התקפות DDOS, מתגי אינטרנט, שגיאות ספקים, ביזור ומקרים שבהם נתב קטן שלח את האינטרנט לישון. לסיום - כמה טיפים איך לשרוד את כל זה.

היום שבו נשבר האינטרנט

אציין רק כמה מקרים שבהם התקלקל הקישוריות של האינטרנט. זה יספיק לתמונה השלמה.

"אירוע AS7007". הפעם הראשונה שהאינטרנט נשבר הייתה באפריל 1997. היה באג בתוכנה של נתב אחד מהמערכת האוטונומית 7007. בשלב מסוים, הנתב הכריז על טבלת הניתוב הפנימית שלו לשכנים שלו ושלח חצי מהרשת לחור שחור.

"פקיסטן נגד יוטיוב". בשנת 2008, בחורים אמיצים מפקיסטן החליטו לחסום את יוטיוב. הם עשו את זה כל כך טוב שחצי מהעולם נשאר בלי חתולים.

"לכידת קידומות VISA, MasterCard ו-Symantec על ידי Rostelecom". בשנת 2017, Rostelecom החלה להכריז בטעות על הקידומות VISA, MasterCard ו-Symantec. כתוצאה מכך, התעבורה הפיננסית נותבה בערוצים בשליטת הספק. הדליפה לא נמשכה זמן רב, אבל היא לא הייתה נעימה לחברות פיננסיות.

גוגל נגד יפן. באוגוסט 2017, גוגל החלה להכריז על הקידומות של הספקיות היפניות הגדולות NTT ו-KDDI בחלק מהקישורים העליונים שלה. התעבורה נשלחה לגוגל בתור תחבורה ציבורית, ככל הנראה בטעות. מכיוון שגוגל אינה ספקית ואינה מאפשרת תנועת תחבורה ציבורית, חלק ניכר מיפן נותר ללא אינטרנט.

"DV LINK תפס את הקידומות של גוגל, אפל, פייסבוק, מיקרוסופט". גם בשנת 2017, הספק הרוסי DV LINK החל משום מה להכריז על הרשתות של גוגל, אפל, פייסבוק, מיקרוסופט ועוד כמה שחקנים גדולים אחרים.

"eNet מארה"ב תפסה קידומות של AWS Route53 ו-MyEtherwallet". בשנת 2018, ספק אוהיו או אחד מלקוחותיו הכריזו על רשתות ארנק הקריפטו של Amazon Route53 ו-MyEtherwallet. המתקפה הצליחה: גם למרות התעודה החתומה בעצמה, שאזהרה לגביה הופיעה למשתמש בכניסה לאתר MyEtherwallet, ארנקים רבים נחטפו וחלק מהמטבע הקריפטוגרפי נגנב.

היו יותר מ-2017 מקרים כאלה רק ב-14! הרשת עדיין מבוזרת, כך שלא הכל ולא כולם מתקלקלים. אבל יש אלפי מקרים, כולם קשורים לפרוטוקול BGP שמפעיל את האינטרנט.

BGP ובעיותיו

פרוטוקול BGP - Border Gateway Protocol, תואר לראשונה בשנת 1989 על ידי שני מהנדסים מ-IBM ו-Cisco Systems על שלוש "מפיות" - גיליונות A4. אלה "מפיות" עדיין יושבים במטה Cisco Systems בסן פרנסיסקו כשריד לעולם הרשתות.

הפרוטוקול מבוסס על אינטראקציה של מערכות אוטונומיות - מערכות אוטונומיות או בקיצור AS. מערכת אוטונומית היא פשוט מזהה שאליו מוקצות רשתות IP במרשם הציבורי. נתב עם מזהה זה יכול להכריז על רשתות אלו לעולם. בהתאם לכך, כל מסלול באינטרנט יכול להיות מיוצג כווקטור, אשר נקרא נתיב AS. הווקטור מורכב ממספרי המערכות האוטונומיות שיש לעבור כדי להגיע לרשת היעד.

לדוגמה, ישנה רשת של מספר מערכות אוטונומיות. אתה צריך לעבור ממערכת AS65001 למערכת AS65003. הנתיב ממערכת אחת מיוצג על ידי AS Path בתרשים. הוא מורכב משתי מערכות אוטונומיות: 65002 ו-65003. לכל כתובת יעד יש וקטור AS Path, המורכב ממספרי המערכות האוטונומיות שעלינו לעבור.

אז מה הבעיות עם BGP?

BGP הוא פרוטוקול אמון

פרוטוקול BGP מבוסס על אמון. זה אומר שאנחנו סומכים על השכן שלנו כברירת מחדל. זוהי תכונה של פרוטוקולים רבים שפותחו עם שחר האינטרנט. בואו להבין מה המשמעות של "אמון".

אין אימות שכנים. רשמית, יש MD5, אבל MD5 ב-2019 הוא בדיוק זה...

אין סינון. ל-BGP יש מסננים והם מתוארים, אך לא נעשה בהם שימוש או שימוש לא נכון. אני אסביר למה מאוחר יותר.

קל מאוד להקים שכונה. הגדרת שכונה בפרוטוקול BGP כמעט בכל נתב היא כמה שורות של התצורה.

אין צורך בזכויות ניהול BGP. אתה לא צריך לגשת לבחינות כדי להוכיח את הכישורים שלך. אף אחד לא ייקח לך את הזכויות על הגדרת BGP בזמן שיכור.

שתי בעיות עיקריות

חטיפת קידומת. חטיפת קידומת היא פרסום של רשת שאינה שייכת לך, כפי שקורה עם MyEtherwallet. לקחנו כמה קידומות, סיכמנו עם הספק או פרצנו לו, ודרכו אנחנו מכריזים על הרשתות האלה.

דליפות מסלול. דליפות קצת יותר מסובכות. דליפה היא שינוי בנתיב AS. במקרה הטוב, השינוי יגרום לעיכוב גדול יותר מכיוון שאתה צריך לנסוע במסלול ארוך יותר או בקישור פחות מרווח. במקרה הגרוע, המקרה עם גוגל ויפן יחזור על עצמו.

גוגל עצמה אינה מפעילה או מערכת אוטונומית תחבורה ציבורית. אבל כשהכריז על רשתות המפעילים היפניים לספק שלו, התעבורה דרך גוגל דרך AS Path נתפסה בעדיפות גבוהה יותר. התנועה הלכה לשם וצנחה פשוט כי הגדרות הניתוב בגוגל מורכבות יותר מסתם מסננים על הגבול.

למה המסננים לא עובדים?

לאף אחד לא אכפת. זו הסיבה העיקרית - לאף אחד לא אכפת. המנהל של ספק קטן או חברה שהתחברה לספק דרך BGP לקח את MikroTik, הגדיר עליו BGP ואפילו לא יודע שאפשר להגדיר שם פילטרים.

שגיאות תצורה. הם פישלו משהו, עשו טעות במסכה, שמו את הרשת הלא נכונה - ועכשיו שוב יש טעות.

אין אפשרות טכנית. לדוגמה, לספקי טלקום יש לקוחות רבים. הדבר החכם לעשות הוא לעדכן אוטומטית את המסננים לכל לקוח - לפקח שיש לו רשת חדשה, שהוא השכיר את הרשת שלו למישהו. קשה לעקוב אחרי זה, ועוד יותר קשה עם הידיים. לכן הם פשוט מתקינים פילטרים רגועים או לא מתקינים פילטרים כלל.

חריגים. ישנם חריגים עבור לקוחות אהובים וגדולים. במיוחד במקרה של ממשקים בין מפעילים. למשל, ל-TransTeleCom ול-Rostelecom יש חבורה של רשתות ויש ביניהן ממשק. אם המפרק נופל, זה לא יהיה טוב לאף אחד, אז המסננים רפויים או יוסרו לחלוטין.

מידע מיושן או לא רלוונטי ב-IRR. מסננים בנויים על סמך מידע שנרשם ב IRR - רישום ניתוב אינטרנט. אלו הם רישום של רשמי אינטרנט אזוריים. לעתים קרובות, רישום מכיל מידע מיושן או לא רלוונטי, או שניהם.

מי הם הרשמים האלה?

כל כתובות האינטרנט שייכות לארגון IANA - רשות המספרים המוקצה לאינטרנט. כשאתה קונה רשת IP ממישהו, אתה לא קונה כתובות, אלא את הזכות להשתמש בהן. כתובות הן משאב בלתי מוחשי ובהסכמה משותפת כולן בבעלות IANA.

המערכת פועלת כך. IANA מאצילה את הניהול של כתובות IP ומספרי מערכות אוטונומיות לחמישה רשמים אזוריים. הם מנפיקים מערכות אוטונומיות LIR - רשמי אינטרנט מקומיים. לאחר מכן, LIRs מקצים כתובות IP למשתמשי קצה.

החיסרון של המערכת הוא שכל אחד מהרשמים האזוריים מנהל את הרישום שלו בדרכו שלו. לכל אחד יש דעות משלו לגבי איזה מידע צריך להכיל ברישומים, ומי צריך או לא צריך לבדוק אותו. התוצאה היא הבלגן שיש לנו עכשיו.

איך עוד אפשר להילחם בבעיות האלה?

IRR - איכות בינונית. זה ברור עם IRR - הכל רע שם.

BGP-קהילות. זוהי תכונה כלשהי שמתוארת בפרוטוקול. אנחנו יכולים לצרף למשל קהילה מיוחדת להכרזה שלנו כדי ששכן לא ישלח את הרשתות שלנו לשכנים שלו. כשיש לנו קישור P2P, אנחנו מחליפים רק את הרשתות שלנו. כדי למנוע מהמסלול לעבור בטעות לרשתות אחרות, אנו מוסיפים קהילה.

קהילות אינן טרנזיטיביות. זה תמיד חוזה לשניים, וזה החיסרון שלהם. אנחנו לא יכולים להקצות אף קהילה, למעט אחת, שמקובלת כברירת מחדל על ידי כולם. אנחנו לא יכולים להיות בטוחים שכולם יקבלו את הקהילה הזו ויפרשו אותה נכון. לכן, במקרה הטוב, אם תסכימו עם ה-uplink שלכם, הוא יבין מה אתם רוצים ממנו מבחינת קהילה. אבל יכול להיות שהשכן שלך לא יבין, או שהמפעיל פשוט יאפס את התג שלך, ואתה לא תשיג את מה שרצית.

RPKI + ROA פותר רק חלק קטן מהבעיות. RPKI הוא תשתית מפתח ציבורי של משאבים  - מסגרת מיוחדת לחתימה על מידע ניתוב. מומלץ לאלץ LIRs ולקוחותיהם לשמור על מסד נתונים מעודכן של שטחי כתובות. אבל יש עם זה בעיה אחת.

RPKI היא גם מערכת מפתח ציבורי היררכית. ל-IANA יש מפתח שממנו נוצרים מפתחות RIR, ומאיזה מפתחות LIR? איתם הם חותמים את מרחב הכתובות שלהם באמצעות ROAs - Route Origin Authorisations:

- אני מבטיח לך שהקידומת הזו תוכרז מטעם האזור האוטונומי הזה.

בנוסף ל-ROA, ישנם אובייקטים נוספים, אך עוד עליהם בהמשך. זה נראה כמו דבר טוב ושימושי. אבל זה לא מגן עלינו מפני דליפות מהמילה "בכלל" ואינו פותר את כל הבעיות בחטיפת קידומת. לכן, שחקנים לא ממהרים ליישם את זה. למרות שכבר ישנן הבטחות של שחקנים גדולים כמו AT&T וחברות IX גדולות שקידומות עם רשומת ROA לא חוקית יבוטלו.

אולי הם יעשו זאת, אבל לעת עתה יש לנו מספר עצום של קידומות שאינן חתומות בשום צורה. מצד אחד, לא ברור אם הם הוכרזו בתוקף. מצד שני, אנחנו לא יכולים להוריד אותם כברירת מחדל, כי אנחנו לא בטוחים אם זה נכון או לא.

מה עוד יש שם?

BGPSec. זה דבר מגניב שאנשי אקדמיה הגיעו לרשת של סוסי פוני ורודים. הם אמרו:

- יש לנו RPKI + ROA - מנגנון לאימות חתימות של מרחב כתובות. בואו ניצור מאפיין BGP נפרד ונקרא לזה BGPSec Path. כל נתב יחתום בחתימה משלו על ההכרזות שהוא מכריז לשכניו. כך נקבל נתיב מהימן משרשרת ההודעות החתומות ונוכל לבדוק זאת.

טוב בתיאוריה, אבל בפועל יש הרבה בעיות. BGPSec שובר הרבה מכניקות BGP קיימות לבחירת תנועות הבאות וניהול תעבורה נכנסת/יוצאת ישירות על הנתב. BGPSec לא עובד עד ש-95% מהשוק כולו יישמו זאת, וזו כשלעצמה אוטופיה.

ל-BGPSec יש בעיות ביצועים ענקיות. בחומרה הנוכחית, מהירות בדיקת ההודעות היא כ-50 קידומות בשנייה. לשם השוואה: טבלת האינטרנט הנוכחית של 700 קידומות תועלה בעוד 000 שעות, במהלכן היא תשתנה עוד 5 פעמים.

BGP Open Policy (BGP מבוסס תפקידים). הצעה טרייה המבוססת על המודל גאו-רקספורד. אלו שני מדענים שחוקרים את BGP.

דגם Gao-Rexford הוא כדלקמן. כדי לפשט, עם BGP יש מספר קטן של סוגי אינטראקציות:

• לקוח ספק;
• P2P;
• תקשורת פנימית, למשל iBGP.

בהתבסס על תפקיד הנתב, כבר ניתן להקצות מדיניות יבוא/ייצוא מסויימת כברירת מחדל. המנהל אינו צריך להגדיר רשימות קידומות. בהתבסס על התפקיד שהנתבים מסכימים עליו ביניהם ושניתן להגדיר, אנחנו כבר מקבלים כמה מסנני ברירת מחדל. כרגע מדובר בטיוטה שנדונה ב-IETF. אני מקווה שבקרוב נראה את זה בצורה של RFC ויישום בחומרה.

ספקי אינטרנט גדולים

בואו נסתכל על הדוגמה של ספק CenturyLink. זהו הספק השלישי בגודלו בארה"ב, משרת 37 מדינות ויש לו 15 מרכזי נתונים. 

בדצמבר 2018, CenturyLink הייתה בשוק האמריקאי במשך 50 שעות. במהלך התקרית, היו בעיות בהפעלת כספומטים בשתי מדינות, ומספר 911 לא פעל במשך מספר שעות בחמש מדינות. ההגרלה באיידהו נהרסה לחלוטין. האירוע נמצא כעת בחקירה של נציבות התקשורת האמריקאית.

הסיבה לטרגדיה הייתה כרטיס רשת אחד במרכז נתונים אחד. הכרטיס התקלקל, שלח מנות שגויות וכל 15 מרכזי הנתונים של הספק נפלו.

הרעיון לא עבד עבור הספק הזה "גדול מכדי ליפול". הרעיון הזה לא עובד בכלל. אתה יכול לקחת כל שחקן גדול ולשים כמה דברים קטנים מעל. ארה"ב עדיין מצליחה עם קישוריות. לקוחות CenturyLink שהיו להם מילואים נכנסו אליה בהמוניהם. ואז מפעילים אלטרנטיביים התלוננו על עומס יתר על הקישורים שלהם.

אם קזחטלקום המותנה תיפול, כל המדינה תישאר ללא אינטרנט.

תאגידים

כנראה שגוגל, אמזון, פייסבוק ותאגידים אחרים תומכים באינטרנט? לא, גם הם שוברים את זה.

בשנת 2017 בסנט פטרסבורג בכנס ENOG13 ג'ף יוסטון של APNIC הגישו דיווח "מות המעבר". זה אומר שאנחנו רגילים לכך שאינטראקציות, זרימות כסף ותעבורה באינטרנט היא אנכית. יש לנו ספקים קטנים שמשלמים עבור קישוריות לספקים גדולים יותר, והם כבר משלמים עבור קישוריות לתחבורה גלובלית.

עכשיו יש לנו מבנה כזה בכיוון אנכי. הכל יהיה בסדר, אבל העולם משתנה - שחקנים גדולים בונים את הכבלים הטרנס-אוקייניים שלהם כדי לבנות את עמוד השדרה שלהם.

חדשות על כבל CDN.

בשנת 2018, TeleGeography פרסמה מחקר שלפיו יותר ממחצית מהתנועה באינטרנט היא כבר לא האינטרנט, אלא עמוד השדרה של ה-CDN של שחקנים גדולים. זו תעבורה שקשורה לאינטרנט, אבל זו כבר לא הרשת עליה דיברנו.

האינטרנט מתפרק לקבוצה גדולה של רשתות מחוברות באופן רופף.

למיקרוסופט יש רשת משלה, לגוגל יש רשת משלה, ויש להן מעט חפיפה אחת עם השנייה. תנועה שמקורה אי שם בארה"ב עוברת דרך ערוצי מיקרוסופט מעבר לאוקיינוס ​​לאירופה איפשהו ב-CDN, ואז דרך CDN או IX היא מתחברת לספק שלך ומגיעה לנתב שלך.

הביזור הולך ונעלם.

החוזק הזה של האינטרנט, שיעזור לו לשרוד פיצוץ גרעיני, הולך לאיבוד. מופיעים מקומות של ריכוז משתמשים ותנועה. אם Google Cloud המותנה ייפול, יהיו קורבנות רבים בבת אחת. הרגשנו זאת בחלקו כאשר Roskomnadzor חסמה את AWS. והדוגמה של CenturyLink מראה שאפילו דברים קטנים מספיקים בשביל זה.

בעבר, לא הכל ולא כולם נשברו. בעתיד, אולי נגיע למסקנה שעל ידי השפעה על שחקן מרכזי אחד, נוכל לשבור הרבה דברים, בהרבה מקומות ובהרבה אנשים.

מדינות

המדינות הבאות בתור, וזה מה שקורה להן בדרך כלל.

כאן הרוסקומנדזור שלנו אפילו לא חלוצה בכלל. נוהג דומה של כיבוי אינטרנט קיים באיראן, הודו ופקיסטן. באנגליה יש הצעת חוק על האפשרות לסגור את האינטרנט.

כל מדינה גדולה רוצה לקבל מתג לכיבוי האינטרנט, לחלוטין או בחלקים: טוויטר, טלגרם, פייסבוק. זה לא שהם לא מבינים שהם לעולם לא יצליחו, אבל הם באמת רוצים את זה. המתג משמש, ככלל, למטרות פוליטיות - כדי לחסל מתחרים פוליטיים, או שהבחירות מתקרבות, או שהאקרים רוסים שוב שברו משהו.

התקפות DDoS

אני לא אקח לחם מהחברים שלי מ-Qrator Labs, הם עושים את זה הרבה יותר טוב ממני. יש להם דוח שנתי על יציבות האינטרנט. וזה מה שהם כתבו בדו"ח 2018.

משך הזמן הממוצע של התקפות DDoS יורד ל-2.5 שעות. התוקפים גם מתחילים לספור כסף, ואם המשאב אינו זמין מיד, אז הם עוזבים אותו במהירות.

עוצמת ההתקפות הולכת וגוברת. בשנת 2018 ראינו 1.7 TB/s ברשת Akamai, וזה לא הגבול.

וקטורי התקפה חדשים צצים וישנים מתעצמים. צצים פרוטוקולים חדשים הרגישים להגברה, והתקפות חדשות צצות על פרוטוקולים קיימים, במיוחד TLS וכדומה.

רוב התעבורה היא ממכשירים ניידים. במקביל, תעבורת האינטרנט עוברת ללקוחות ניידים. גם מי שתוקף וגם מי שמגן צריך להיות מסוגל לעבוד עם זה.

בלתי פגיע - לא. זה הרעיון המרכזי – אין הגנה אוניברסלית שבהחלט תגן מפני כל DDoS.

לא ניתן להתקין את המערכת אלא אם היא מחוברת לאינטרנט.

אני מקווה שהפחדתי אותך מספיק. בוא נחשוב עכשיו מה לעשות בנידון.

מה לעשות?!

אם יש לכם זמן פנוי, חשק וידע באנגלית, קחו חלק בקבוצות עבודה: IETF, RIPE WG. אלו רשימות דואר פתוחות, נרשמים לרשימות תפוצה, משתתפים בדיונים, מגיעים לכנסים. אם יש לכם סטטוס LIR, תוכלו להצביע למשל ב-RIPE ליוזמות שונות.

עבור בני תמותה סתם זה ניטור. לדעת מה נשבר.

ניטור: מה לבדוק?

פינג רגיל, ולא רק בדיקה בינארית - זה עובד או לא. רשום RTT בהיסטוריה כדי שתוכל להסתכל על חריגות מאוחר יותר.

טרייסרו. זוהי תוכנית שירות לקביעת נתיבי נתונים ברשתות TCP/IP. עוזר לזהות חריגות וחסימות.

HTTP בודק כתובות אתרים מותאמות אישית ואישורי TLS יעזור לזהות חסימה או זיוף DNS עבור התקפה, שזה למעשה אותו דבר. החסימה מתבצעת לרוב על ידי זיוף DNS ועל ידי הפיכת תעבורה לדף סטאב.

אם אפשר, בדוק את נחישות הלקוחות שלך לגבי מוצאך ממקומות שונים אם יש לך בקשה. זה יעזור לך לזהות חריגות בחטיפת DNS, משהו שספקים עושים לפעמים.

ניטור: היכן לבדוק?

אין תשובה אוניברסלית. בדוק מאיפה המשתמש מגיע. אם משתמשים נמצאים ברוסיה, בדוק מרוסיה, אך אל תגביל את עצמך לכך. אם המשתמשים שלך גרים באזורים שונים, בדוק מהאזורים האלה. אבל טוב יותר מכל העולם.

ניטור: מה לבדוק?

הגעתי לשלוש דרכים. אם אתם יודעים יותר, כתבו בתגובות.

• RIPE אטלס.
• ניטור מסחרי.
• רשת מכונות וירטואליות משלך.

בואו נדבר על כל אחד מהם.

RIPE אטלס - זו קופסה כל כך קטנה. למי שמכיר את ה"פקח" הביתי - זו אותה קופסה, אבל עם מדבקה אחרת.

RIPE Atlas היא תוכנית חינמית. אתה נרשם, מקבל נתב בדואר ומחבר אותו לרשת. על העובדה שמישהו אחר משתמש במדגם שלך, אתה מקבל כמה קרדיטים. עם הלוואות אלה אתה יכול לעשות קצת מחקר בעצמך. אתה יכול לבדוק בדרכים שונות: פינג, traceroute, בדיקת אישורים. הכיסוי די גדול, יש הרבה צמתים. אבל יש ניואנסים.

מערכת האשראי אינה מאפשרת בניית פתרונות ייצור. לא יהיו מספיק קרדיטים למחקר מתמשך או לניטור מסחרי. נקודות הזכות מספיקות ללימוד קצר או בדיקה חד פעמית. הנורמה היומית ממדגם אחד נצרכת על ידי 1-2 המחאות.

הכיסוי אינו אחיד. מכיוון שהתוכנית חינמית לשני הכיוונים, הכיסוי טוב באירופה, בחלק האירופי של רוסיה ובאזורים מסוימים. אבל אם אתה צריך אינדונזיה או ניו זילנד, אז הכל הרבה יותר גרוע - אולי אין לך 50 דגימות לכל מדינה.

אתה לא יכול לבדוק http מדוגמה. זה נובע מניואנסים טכניים. הם מבטיחים לתקן את זה בגרסה החדשה, אבל בינתיים לא ניתן לבדוק http. ניתן לאמת רק את האישור. סוג כלשהו של בדיקת http יכול להיעשות רק למכשיר מיוחד של RIPE Atlas בשם Anchor.

השיטה השנייה היא ניטור מסחרי. הכל בסדר איתו, אתה משלם כסף, נכון? הם מבטיחים לכם כמה עשרות או מאות נקודות ניטור ברחבי העולם ומציירים לוחות מחוונים יפים מהקופסה. אבל, שוב, יש בעיות.

זה בתשלום, במקומות מסוימים זה מאוד. ניטור פינג, בדיקות ברחבי העולם והרבה בדיקות http יכולים לעלות כמה אלפי דולרים בשנה. אם הכספים מאפשרים ואתה אוהב את הפתרון הזה, קדימה.

ייתכן שהכיסוי לא יספיק באזור העניין. עם אותו פינג, מצוין חלק מופשט של העולם לכל היותר - אסיה, אירופה, צפון אמריקה. מערכות ניטור נדירות יכולות להגיע למדינה או אזור ספציפיים.

תמיכה חלשה עבור בדיקות מותאמות אישית. אם אתה צריך משהו מותאם אישית, ולא רק "מתולתל" בכתובת האתר, אז יש בעיות גם עם זה.

הדרך השלישית היא הניטור שלך. זוהי קלאסיקה: "בוא נכתוב משלנו!"

הניטור שלך הופך לפיתוח של מוצר תוכנה, ואחד מבוזר. אתם מחפשים ספק תשתית, תראו איך לפרוס ולנטר אותו - צריך לנטר את הניטור, נכון? ונדרשת גם תמיכה. תחשוב עשר פעמים לפני שאתה לוקח על עצמך את זה. אולי קל יותר לשלם למישהו שיעשה את זה בשבילך.

ניטור חריגות BGP והתקפות DDoS

כאן, בהתבסס על המשאבים הזמינים, הכל אפילו יותר פשוט. חריגות BGP מזוהות באמצעות שירותים מיוחדים כגון QRadar, BGPmon. הם מקבלים טבלת תצוגה מלאה ממספר מפעילים. בהתבסס על מה שהם רואים ממפעילים שונים, הם יכולים לזהות חריגות, לחפש מגברים וכו'. ההרשמה היא בדרך כלל בחינם - אתה מזין את מספר הטלפון שלך, נרשם להתראות באימייל, והשירות יתריע על הבעיות שלך.

ניטור התקפות DDoS הוא גם פשוט. בדרך כלל זהו מבוסס NetFlow ויומנים. יש מערכות מיוחדות כמו FastNetMon, מודולים עבור מתיז. כמוצא אחרון, יש את ספק הגנת ה-DDoS שלך. זה גם יכול להדליף NetFlow, ועל סמך זה הוא יודיע לך על התקפות לכיוונך.

ממצאים

אין לך אשליות - האינטרנט בהחלט יישבר. לא הכל ולא כולם ישברו, אבל 14 אלף אירועים ב-2017 מרמזים שיהיו אירועים.

המשימה שלך היא להבחין בבעיות מוקדם ככל האפשר. לכל הפחות, לא יאוחר מהמשתמש שלך. לא רק שחשוב לציין, תמיד לשמור על "תוכנית ב'" במילואים. תוכנית היא אסטרטגיה למה שתעשה כשהכל מתקלקל.: מפעילי מילואים, DC, CDN. תוכנית היא צ'ק ליסט נפרד שלפיה אתה בודק את העבודה של הכל. התוכנית צריכה לעבוד ללא מעורבות של מהנדסי רשת, כי בדרך כלל יש מעט מהם והם רוצים לישון.

זה הכל. אני מאחל לך זמינות גבוהה וניטור ירוק.

בשבוע הבא בנובוסיבירסק צפוי שמש, עומס גבוה וריכוז גבוה של מפתחים HighLoad++ סיביר 2019. בסיביר צופים חזית דיווחים על ניטור, נגישות ובדיקות, אבטחה וניהול. צפויים משקעים בצורת פתקים מקושקשים, נטוורקינג, צילומים ופוסטים ברשתות החברתיות. אנו ממליצים לדחות את כל הפעילויות ב-24 וב-25 ביוני ו להזמנת כרטיסים. מחכים לכם בסיביר!

מקור: www.habr.com