Yandex מיישמת RPKI

שלום, שמי אלכסנדר אזימוב. ב-Yandex, אני מפתח מערכות ניטור שונות, כמו גם ארכיטקטורת רשת תחבורה. אבל היום נדבר על פרוטוקול BGP.

לפני שבוע, Yandex אפשרה ROV (Route Origin Validation) בממשקים עם כל שותפי ההצצה, כמו גם נקודות חילופי תנועה. קרא להלן מדוע זה נעשה וכיצד זה ישפיע על האינטראקציה עם מפעילי טלקום.

BGP ומה רע בזה

אתה בטח יודע ש-BGP תוכנן כפרוטוקול ניתוב בין-דומיין. עם זאת, לאורך הדרך, מספר מקרי השימוש הצליח לגדול: כיום, BGP, הודות להרחבות רבות, הפכה לאפיק הודעות, המכסה משימות מ-VPN של המפעיל ועד ל-SD-WAN האופנתי כעת, ואף מצאה יישום כמו תחבורה לבקר דמוי SDN, הפיכת וקטור BGP למרחק למשהו דומה לפרוטוקול ה-link sat.

תאנה. 1. BGP SAFI

מדוע BGP קיבל (וממשיך לקבל) כל כך הרבה שימושים? ישנן שתי סיבות עיקריות:

• BGP הוא הפרוטוקול היחיד שפועל בין מערכות אוטונומיות (AS);
• BGP תומך בתכונות בפורמט TLV (סוג-אורך-ערך). כן, הפרוטוקול לא לבד בזה, אבל מכיוון שאין מה להחליף אותו בצמתים בין מפעילי טלקום, תמיד יוצא משתלם יותר לצרף אליו עוד אלמנט פונקציונלי מאשר לתמוך בפרוטוקול ניתוב נוסף.

מה לא בסדר איתו? בקיצור, אין בפרוטוקול מנגנונים מובנים לבדיקת נכונות המידע המתקבל. כלומר, BGP הוא פרוטוקול אמון אפריורי: אם אתה רוצה לספר לעולם שאתה הבעלים של הרשת של Rostelecom, MTS או Yandex, בבקשה!

מסנן מבוסס IRRDB - הטוב שבגרוע ביותר

נשאלת השאלה: מדוע האינטרנט עדיין עובד במצב כזה? כן, זה עובד רוב הזמן, אבל באותו זמן זה מתפוצץ מעת לעת, מה שהופך מקטעים לאומיים שלמים לבלתי נגישים. למרות שפעילות האקרים ב-BGP נמצאת גם היא במגמת עלייה, רוב החריגות עדיין נגרמות על ידי באגים. הדוגמה של השנה היא שגיאת מפעיל קטנה בבלארוס, מה שהפך חלק נכבד מהאינטרנט לבלתי נגיש למשתמשי MegaFon במשך חצי שעה. דוגמה אחרת - מייעל BGP מטורף פרץ את אחת מרשתות ה-CDN הגדולות בעולם.

אורז. 2. יירוט תנועה של Cloudflare

אבל בכל זאת, מדוע אנומליות כאלה מתרחשות פעם בחצי שנה, ולא כל יום? מכיוון שספקים משתמשים בבסיסי נתונים חיצוניים של מידע ניתוב כדי לאמת מה הם מקבלים משכני BGP. יש הרבה מאגרי מידע כאלה, חלקם מנוהלים על ידי רשמים (RIPE, APNIC, ARIN, AFRINIC), חלקם שחקנים עצמאיים (המפורסם ביותר הוא RADB), ויש גם מערך שלם של רשמים בבעלות חברות גדולות (Level3 , NTT וכו'). הודות למאגרי מידע אלו, ניתוב בין-דומיינים שומר על היציבות היחסית של פעולתו.

עם זאת, יש ניואנסים. מידע הניתוב נבדק על סמך אובייקטי ROUTE-OBJECTS ו-AS-SET. ואם הראשון מרמז על הרשאה לחלק מה-IRRDB, אז למחלקה השנייה אין הרשאה כמחלקה. כלומר, כל אחד יכול להוסיף כל אחד לסטים שלו ובכך לעקוף את המסננים של ספקים במעלה הזרם. יתרה מכך, הייחודיות של מתן השמות AS-SET בין בסיסי IRR שונים אינה מובטחת, מה שעלול להוביל להשפעות מפתיעות עם אובדן קישוריות פתאומי למפעיל הטלקום, שמצדו לא שינה דבר.

אתגר נוסף הוא דפוס השימוש של AS-SET. יש כאן שתי נקודות:

• כאשר מפעיל מקבל לקוח חדש, הוא מוסיף אותו ל-AS-SET שלו, אך כמעט אף פעם לא מסיר אותו;
• המסננים עצמם מוגדרים רק בממשקים עם לקוחות.

כתוצאה מכך, הפורמט המודרני של מסנני BGP מורכב ממסננים משפילים בהדרגה בממשקים עם לקוחות ואמון מראש במה שמגיע משותפים עמיתים ומספקי תעבורת IP.

מהי החלפת מסנני קידומת המבוססים על AS-SET? הדבר המעניין ביותר הוא שבטווח הקצר - כלום. אבל צצים מנגנונים נוספים המשלימים את עבודתם של מסננים מבוססי IRRDB, וקודם כל, זהו, כמובן, RPKI.

RPKI

בצורה פשוטה, ניתן להתייחס לארכיטקטורת RPKI כעל מסד נתונים מבוזר שניתן לאמת את הרשומות שלו בצורה קריפטוגרפית. במקרה של ROA (Route Object Authorization), החותם הוא הבעלים של מרחב הכתובות, והרשומה עצמה היא משולשת (קידומת, asn, max_length). בעיקרו של דבר, ערך זה מניח את הדברים הבאים: הבעלים של מרחב הכתובות $prefix אישר למספר ה-AS $asn לפרסם קידומות באורך לא יותר מ-$max_length. ונתבים, באמצעות מטמון RPKI, מסוגלים לבדוק את התאימות של הצמד קידומת - רמקול ראשון בדרך.

איור 3. ארכיטקטורת RPKI

אובייקטי ROA סטנדרטיים כבר די הרבה זמן, אבל עד לאחרונה הם למעשה נשארו רק על הנייר בכתב העת IETF. לדעתי הסיבה לכך נשמעת מפחידה – שיווק גרוע. לאחר השלמת הסטנדרטיזציה, התמריץ היה ש-ROA מגן מפני חטיפת BGP - מה שלא היה נכון. תוקפים יכולים לעקוף בקלות מסננים מבוססי ROA על ידי הכנסת מספר AC הנכון בתחילת הנתיב. וברגע שההבנה הזו הגיעה, הצעד ההגיוני הבא היה לנטוש את השימוש ב-ROA. ובאמת, למה אנחנו צריכים טכנולוגיה אם היא לא עובדת?

למה הגיע הזמן לשנות את דעתך? כי זו לא כל האמת. ROA לא מגן מפני פעילות האקרים ב-BGP, אבל מגן מפני חטיפת תנועה בשוגג, למשל מדליפות סטטיות ב-BGP, שהופכת נפוצה יותר. כמו כן, בניגוד למסננים מבוססי IRR, ניתן להשתמש ב-ROV לא רק בממשקים עם לקוחות, אלא גם בממשקים עם עמיתים וספקים במעלה הזרם. כלומר, יחד עם הצגת RPKI, אמון אפריורי הולך ונעלם מ-BGP.

כעת, בדיקת מסלולים המבוססים על ROA מיושמת בהדרגה על ידי שחקני מפתח: ה-IX האירופי הגדול ביותר כבר מבטל מסלולים שגויים; בקרב מפעילי Tier-1, כדאי להדגיש את AT&T, שאיפשרה מסננים בממשקים עם שותפי ההצצה שלו. גם ספקי התוכן הגדולים ביותר ניגשים לפרויקט. ועשרות מפעילי תחבורה בינוניים כבר יישמו זאת בשקט, מבלי לספר על כך לאיש. מדוע כל המפעילים הללו מיישמים RPKI? התשובה פשוטה: להגן על התנועה היוצאת שלך מטעויות של אנשים אחרים. לכן Yandex היא אחת הראשונות בפדרציה הרוסית שכוללת ROV בקצה הרשת שלה.

מה יקרה אחר כך?

כעת אפשרנו בדיקת מידע ניתוב בממשקים עם נקודות חילופי תנועה והצצות פרטיות. בעתיד הקרוב, יתאפשר אימות גם אצל ספקי תעבורה במעלה הזרם.

מה זה משנה לך? אם ברצונך להגביר את האבטחה של ניתוב התעבורה בין הרשת שלך לבין Yandex, אנו ממליצים:

• חתום על שטח הכתובת שלך בפורטל RIPE - זה פשוט, לוקח 5-10 דקות בממוצע. זה יגן על הקישוריות שלנו במקרה שמישהו יגנוב בלי משים את שטח הכתובת שלך (וזה בהחלט יקרה במוקדם או במאוחר);
• התקן אחד מהמטמונים של RPKI בקוד פתוח (תוקף בשל, רוטינטור) ואפשר בדיקת מסלול בגבול הרשת - זה ייקח יותר זמן, אבל שוב, זה לא יגרום לקשיים טכניים.

Yandex תומכת גם בפיתוח של מערכת סינון המבוססת על אובייקט RPKI החדש - ASPA (הרשאת ספק מערכת אוטונומית). מסננים המבוססים על אובייקטי ASPA ו-ROA יכולים לא רק להחליף AS-SET "דולפים", אלא גם לסגור את הבעיות של התקפות MiTM באמצעות BGP.

אדבר בהרחבה על ASPA בעוד חודש בכנס Next Hop. גם עמיתים מנטפליקס, פייסבוק, דרופבוקס, ג'וניפר, מלאנוקס ויאנדקס ידברו שם. אם אתם מתעניינים בערימת הרשת ובפיתוחו בעתיד, בואו ההרשמה פתוחה.

מקור: www.habr.com