מסלולי BGP שדלפו מובילים להפרעה מאסיבית של קישוריות האינטרנט

חברת Cloudflare опубликовала דיווח על התקרית אתמול, שהסתיימה שלוש שעות מ-13:34 עד 16:26 (MSK) היו בעיות בגישה למשאבים רבים ברשת הגלובלית, כולל התשתית של Cloudflare, Facebook, Akamai, Apple, Linode ו-Amazon AWS. בעיות בתשתית Cloudflare, המספקת CDN ל-16 מיליון אתרים, נצפים מ-14:02 עד 16:02 (MSK). Cloudflare מעריך שכ-15% מהתנועה העולמית אבדו במהלך ההפסקה.

הבעיה הייתה גרם ל דליפת נתיב BGP, שבמהלכה הופנו כ-20 אלף קידומות ל-2400 רשתות בצורה שגויה. מקור הדליפה היה הספקית DQE Communications, שהשתמשה בתוכנה BGP Optimizer כדי לייעל את הניתוב. BGP Optimizer מפצל קידומות IP לקטנות יותר, למשל פיצול 104.20.0.0/20 ל-104.20.0.0/21 ו-104.20.8.0/21, וכתוצאה מכך, DQE Communications שמרה על הצד שלה מספר רב של מסלולים ספציפיים שעוקפים יותר מסלולים כלליים (כלומר, במקום מסלולים כלליים ל-Cloudflare, נעשה שימוש במסלולים פרטניים יותר לרשתות משנה ספציפיות של Cloudflare).

מסלולים נקודתיים אלו הוכרזו לאחד הלקוחות (Allegheny Technologies, AS396531), שגם להם היה חיבור דרך ספק אחר. Allegheny Technologies שידרה את המסלולים שהתקבלו לספק תחבורה אחר (Verizon, AS701). בשל היעדר סינון נכון של הודעות BGP והגבלות על מספר הקידומות, Verizon קלטה הודעה זו ושידרה את 20 אלף הקידומות שנוצרו לשאר האינטרנט. קידומות שגויות, בשל מידת הפירוט שלהן, נתפסו בעדיפות גבוהה יותר מאחר שלמסלול ספציפי יש עדיפות גבוהה יותר מאשר כללית.

כתוצאה מכך, התעבורה של רשתות גדולות רבות החלה להיות מנותבת דרך Verizon לספקית הקטנה DQE Communications, אשר לא הצליחה להתמודד עם התעבורה הגואה, מה שהוביל לקריסה (ההשפעה דומה להחלפת חלק מכביש מהיר עמוס ב- דרך ארץ).

כדי למנוע מקרים דומים להתרחש בעתיד
מומלץ:

• להשתמש אימות הודעות המבוססות על RPKI (BGP Origin Validation, מאפשר קבלת הודעות רק מבעלי רשתות);
• הגבל את המספר המרבי של קידומות שהתקבלו עבור כל הפעלות של EBGP (הגדרת הקידומת המקסימלית תעזור לבטל מיד את השידור של 20 אלף קידומות בתוך הפעלה אחת);
• החל סינון על סמך רישום IRR (רישום ניתוב אינטרנט, קובע את ה-ASes שדרכם מותר ניתוב של קידומות שצוינו);
• השתמש בהגדרות חסימת ברירת המחדל המומלצות ב-RFC 8212 בנתבים ('default deny');
• הפסק שימוש פזיז בממטבי BGP.

מקור: OpenNet.ru