რატომ არის ინტერნეტი ჯერ კიდევ ონლაინ?

როგორც ჩანს, ინტერნეტი ძლიერი, დამოუკიდებელი და ურღვევი სტრუქტურაა. თეორიულად, ქსელი საკმარისად ძლიერია ბირთვული აფეთქების გადარჩენისთვის. სინამდვილეში, ინტერნეტს შეუძლია ერთი პატარა როუტერი ჩამოაგდოს. ეს ყველაფერი იმიტომ, რომ ინტერნეტი არის წინააღმდეგობების, დაუცველობის, შეცდომების და ვიდეოების გროვა კატების შესახებ. ინტერნეტის ხერხემალი, BGP, სავსეა პრობლემებით. გასაოცარია, რომ ის ჯერ კიდევ სუნთქავს. თავად ინტერნეტში არსებული შეცდომების გარდა, ის ასევე არღვევს ყველა და ყველა: მსხვილი ინტერნეტ პროვაიდერები, კორპორაციები, სახელმწიფოები და DDoS შეტევები. რა უნდა გააკეთოს და როგორ ვიცხოვროთ მასთან?

იცის პასუხი ალექსეი უჩაკინი (ღამე_გველი) არის IQ Option-ის ქსელის ინჟინრების გუნდის ლიდერი. მისი მთავარი ამოცანაა მომხმარებლებისთვის პლატფორმის ხელმისაწვდომობა. ალექსის მოხსენების ტრანსკრიპტში Saint HighLoad++ 2019 წელი მოდით ვისაუბროთ BGP, DDOS შეტევებზე, ინტერნეტ გადამრთველებზე, პროვაიდერის შეცდომებზე, დეცენტრალიზაციაზე და შემთხვევებზე, როდესაც პატარა როუტერმა ინტერნეტი გამოაგზავნა დასაძინებლად. დასასრულს - რამდენიმე რჩევა, თუ როგორ უნდა გადარჩეს ეს ყველაფერი.

ინტერნეტის გატეხვის დღე

მე მოვიყვან მხოლოდ რამდენიმე შემთხვევას, როდესაც ინტერნეტის კავშირი გაფუჭდა. ეს საკმარისი იქნება სრული სურათისთვის.

"AS7007 ინციდენტი". პირველად ინტერნეტი გაფუჭდა 1997 წლის აპრილში. იყო შეცდომა ავტონომიური სისტემის 7007 როუტერის პროგრამულ უზრუნველყოფაში. რაღაც მომენტში, როუტერმა გამოაცხადა თავისი შიდა მარშრუტიზაციის ცხრილი მეზობლებს და ქსელის ნახევარი გაგზავნა შავ ხვრელში.

"პაკისტანი YouTube-ის წინააღმდეგ". 2008 წელს მამაცმა ბიჭებმა პაკისტანიდან გადაწყვიტეს YouTube-ის დაბლოკვა. მათ ეს ისე კარგად გააკეთეს, რომ ნახევარი მსოფლიო დარჩა კატების გარეშე.

"VISA, MasterCard და Symantec პრეფიქსების აღება Rostelecom-ის მიერ". 2017 წელს როსტელეკომმა შეცდომით დაიწყო VISA, MasterCard და Symantec პრეფიქსების გამოცხადება. შედეგად, ფინანსური ტრაფიკი განხორციელდა პროვაიდერის მიერ კონტროლირებადი არხებით. გაჟონვა დიდხანს არ გაგრძელებულა, მაგრამ ფინანსური კომპანიებისთვის უსიამოვნო იყო.

Google vs იაპონია. 2017 წლის აგვისტოში Google-მა დაიწყო ძირითადი იაპონური პროვაიდერების NTT და KDDI პრეფიქსების გამოცხადება მის ზოგიერთ ბმულზე. ტრაფიკი გაეგზავნა Google-ს ტრანზიტის სახით, სავარაუდოდ შეცდომით. ვინაიდან Google არ არის პროვაიდერი და არ იძლევა ტრანზიტულ ტრაფიკს, იაპონიის მნიშვნელოვანი ნაწილი ინტერნეტის გარეშე დარჩა.

"DV LINK-მა დაიპყრო Google, Apple, Facebook, Microsoft-ის პრეფიქსები". ასევე 2017 წელს, რუსულმა პროვაიდერმა DV LINK რატომღაც დაიწყო Google-ის, Apple-ის, Facebook-ის, Microsoft-ის და სხვა ძირითადი მოთამაშის ქსელების გამოცხადება.

"eNet-მა აშშ-დან დაიპყრო AWS Route53 და MyEtherwallet პრეფიქსები". 2018 წელს ოჰაიოს პროვაიდერმა ან მისმა ერთ-ერთმა კლიენტმა გამოაცხადა Amazon Route53 და MyEtherwallet კრიპტო საფულეების ქსელები. შეტევა წარმატებული იყო: თვით ხელმოწერილი სერტიფიკატის მიუხედავად, რომლის შესახებაც გაფრთხილება გამოჩნდა მომხმარებლისთვის MyEtherwallet-ის ვებსაიტზე შესვლისას, ბევრი საფულე გაიტაცეს და კრიპტოვალუტის ნაწილი მოიპარეს.

მხოლოდ 2017 წელს 14-ზე მეტი ასეთი შემთხვევა დაფიქსირდა! ქსელი ჯერ კიდევ დეცენტრალიზებულია, ამიტომ ყველაფერი და ყველა არ იშლება. მაგრამ არსებობს ათასობით ინციდენტი, ყველა დაკავშირებულია BGP პროტოკოლთან, რომელიც აძლიერებს ინტერნეტს.

BGP და მისი პრობლემები

ოქმი BGP - სასაზღვრო კარიბჭის პროტოკოლი, პირველად აღწერა 1989 წელს IBM-ისა და Cisco Systems-ის ორმა ინჟინერმა სამ „ხელსახოცზე“ - A4 ფურცელზე. ესენი "ხელსახოცები" კვლავ ზის Cisco Systems-ის სათაო ოფისში სან-ფრანცისკოში, როგორც ქსელური სამყაროს რელიქვია.

პროტოკოლი ეფუძნება ავტონომიური სისტემების ურთიერთქმედებას - ავტონომიური სისტემები ან მოკლედ AS. ავტონომიური სისტემა უბრალოდ ID, რომელსაც IP ქსელები ენიჭება საჯარო რეესტრში. ამ ID-ის მქონე როუტერს შეუძლია ამ ქსელების გამოცხადება მსოფლიოსათვის. შესაბამისად, ინტერნეტში ნებისმიერი მარშრუტი შეიძლება წარმოდგენილი იყოს ვექტორის სახით, რომელსაც ე.წ AS გზა. ვექტორი შედგება ავტონომიური სისტემების რიცხვებისგან, რომლებიც უნდა გაიაროს დანიშნულების ქსელამდე მისასვლელად.

მაგალითად, არსებობს მთელი რიგი ავტონომიური სისტემების ქსელი. თქვენ უნდა გადახვიდეთ AS65001 სისტემიდან AS65003 სისტემამდე. ბილიკი ერთი სისტემიდან წარმოდგენილია AS Path-ით დიაგრამაზე. იგი შედგება ორი ავტონომიური სისტემისგან: 65002 და 65003. თითოეული დანიშნულების მისამართისთვის არის AS Path ვექტორი, რომელიც შედგება ავტონომიური სისტემების რიცხვებისგან, რომლებიც უნდა გავიაროთ.

რა პრობლემები აქვს BGP-ს?

BGP არის ნდობის პროტოკოლი

BGP პროტოკოლი ეფუძნება ნდობას. ეს ნიშნავს, რომ სტანდარტულად ვენდობით მეზობელს. ეს არის მრავალი პროტოკოლის მახასიათებელი, რომელიც შეიქმნა ინტერნეტის გარიჟრაჟზე. მოდით გავარკვიოთ რას ნიშნავს "ნდობა".

მეზობლის ავთენტიფიკაცია არ არის. ფორმალურად არის MD5, მაგრამ MD5 2019 წელს სწორედ ეს არის...

არ არის ფილტრაცია. BGP-ს აქვს ფილტრები და აღწერილია, მაგრამ ისინი არ გამოიყენება ან არასწორად გამოიყენება. მოგვიანებით აგიხსნით რატომ.

ძალიან ადვილია უბნის შექმნა. BGP პროტოკოლში უბნის დაყენება თითქმის ნებისმიერ როუტერზე არის კონფიგურაციის რამდენიმე ხაზი.

არ არის საჭირო BGP მართვის უფლებები. თქვენ არ გჭირდებათ გამოცდების ჩაბარება თქვენი კვალიფიკაციის დასამტკიცებლად. არავინ წაართმევს თქვენს უფლებებს ნასვამ მდგომარეობაში BGP-ის კონფიგურაციისთვის.

ორი ძირითადი პრობლემა

პრეფიქსის გატაცება. პრეფიქსის გატაცება არის ქსელის რეკლამირება, რომელიც არ გეკუთვნით, როგორც ეს არის MyEtherwallet-ის შემთხვევაში. ავიღეთ რამდენიმე პრეფიქსი, შევთანხმდით პროვაიდერთან ან გავტეხეთ და მისი მეშვეობით ვაცხადებთ ამ ქსელებს.

მარშრუტი გაჟონავს. გაჟონვა ცოტა უფრო რთულია. გაჟონვა არის ცვლილება AS Path-ში. საუკეთესო შემთხვევაში, ცვლილება უფრო მეტ შეფერხებას გამოიწვევს, რადგან თქვენ უნდა იაროთ უფრო გრძელი მარშრუტით ან ნაკლებად ტევადი ბმულით. უარეს შემთხვევაში, Google-ის და იაპონიის შემთხვევა განმეორდება.

თავად Google არ არის ოპერატორი ან სატრანზიტო ავტონომიური სისტემა. მაგრამ როდესაც მან თავის პროვაიდერს გამოუცხადა იაპონური ოპერატორების ქსელები, Google-ის მეშვეობით AS Path-ის მეშვეობით ტრაფიკი უფრო პრიორიტეტულად განიხილებოდა. ტრაფიკი წავიდა იქ და დაეცა მხოლოდ იმიტომ, რომ Google-ის შიგნით მარშრუტიზაციის პარამეტრები უფრო რთულია, ვიდრე უბრალოდ ფილტრები საზღვარზე.

რატომ არ მუშაობს ფილტრები?

Არავის ადარდებს. ეს არის მთავარი მიზეზი - არავის აინტერესებს. მცირე პროვაიდერის ან კომპანიის ადმინისტრატორმა, რომელიც დაუკავშირდა პროვაიდერს BGP-ით, აიღო MikroTik, დააკონფიგურირა მასზე BGP და არც კი იცის, რომ იქ ფილტრების კონფიგურაცია შესაძლებელია.

კონფიგურაციის შეცდომები. მათ რაღაც გააფუჭეს, დაუშვეს შეცდომა ნიღაბში, ჩაიცვეს არასწორი ბადე - და ახლა ისევ შეცდომაა.

არანაირი ტექნიკური შესაძლებლობა. მაგალითად, ტელეკომის პროვაიდერებს ბევრი კლიენტი ჰყავთ. ჭკვიანური საქმეა თითოეული კლიენტისთვის ფილტრების ავტომატურად განახლება - იმის მონიტორინგი, რომ მას აქვს ახალი ქსელი, რომ მან თავისი ქსელი ვინმესთვის გაქირავა. ძნელია ამის მიყოლა და კიდევ უფრო რთული შენი ხელებით. ამიტომ, ისინი უბრალოდ აყენებენ მოდუნებულ ფილტრებს ან საერთოდ არ აყენებენ ფილტრებს.

გამონაკლისები. არსებობს გამონაკლისები საყვარელი და დიდი კლიენტებისთვის. განსაკუთრებით ოპერატორთაშორისი ინტერფეისების შემთხვევაში. მაგალითად, TransTelecom-სა და Rostelecom-ს აქვთ ქსელების თაიგულები და მათ შორის არის ინტერფეისი. თუ სახსარი დაეცემა, ეს არავისთვის იქნება კარგი, ამიტომ ფილტრები მოდუნებულია ან მთლიანად ამოღებულია.

მოძველებული ან შეუსაბამო ინფორმაცია IRR-ში. ფილტრები აგებულია ინფორმაციის საფუძველზე, რომელიც ჩაწერილია IRR - ინტერნეტის მარშრუტიზაციის რეესტრი. ეს არის რეგიონალური ინტერნეტ რეგისტრატორების რეესტრები. ხშირად, რეესტრები შეიცავს მოძველებულ ან შეუსაბამო ინფორმაციას, ან ორივეს.

ვინ არიან ეს რეგისტრატორები?

ყველა ინტერნეტ მისამართი ეკუთვნის ორგანიზაციას IANA - ინტერნეტის მინიჭებული ნომრების ავტორიტეტი. როდესაც ვინმესგან ყიდულობთ IP ქსელს, თქვენ ყიდულობთ არა მისამართებს, არამედ მათი გამოყენების უფლებას. მისამართები არის არამატერიალური რესურსი და საერთო შეთანხმებით ისინი ყველა ეკუთვნის IANA-ს.

სისტემა მუშაობს ასე. IANA გადასცემს IP მისამართების და ავტონომიური სისტემის ნომრების მართვას ხუთ რეგიონულ რეგისტრატორს. ისინი გასცემენ ავტონომიურ სისტემებს LIR - ადგილობრივი ინტერნეტ რეგისტრატორები. LIR-ები შემდეგ ანაწილებენ IP მისამართებს საბოლოო მომხმარებლებს.

სისტემის მინუსი ის არის, რომ თითოეული რეგიონული რეგისტრატორი თავისებურად აწარმოებს რეესტრებს. ყველას აქვს საკუთარი შეხედულება იმის შესახებ, თუ რა ინფორმაცია უნდა იყოს შეტანილი რეესტრებში და ვინ უნდა შეამოწმოს ან არა. შედეგი არის ის არეულობა, რაც ახლა გვაქვს.

სხვაგვარად როგორ შეგიძლიათ ებრძოლოთ ამ პრობლემებს?

IRR - საშუალო ხარისხის. IRR-ით ნათელია - იქ ყველაფერი ცუდია.

ბგპ-საზოგადოებები. ეს არის გარკვეული ატრიბუტი, რომელიც აღწერილია პროტოკოლში. ჩვენ შეგვიძლია დავურთოთ, მაგალითად, სპეციალური საზოგადოება ჩვენს განცხადებას, რათა მეზობელმა არ გაუგზავნოს ჩვენი ქსელები მეზობლებს. როდესაც გვაქვს P2P ბმული, ჩვენ მხოლოდ ვცვლით ჩვენს ქსელებს. იმისათვის, რომ მარშრუტი შემთხვევით არ გადავიდეს სხვა ქსელებში, ჩვენ ვამატებთ საზოგადოებას.

თემები არ არის გარდამავალი. ყოველთვის ორზე გაფორმებულია კონტრაქტი და ეს მათი ნაკლია. ჩვენ არ შეგვიძლია რომელიმე თემის მინიჭება, გარდა ერთისა, რომელიც ყველასთვის ნაგულისხმევად არის მიღებული. ჩვენ არ შეგვიძლია დარწმუნებული ვიყოთ, რომ ყველა მიიღებს ამ საზოგადოებას და სწორად განმარტავს მას. ამიტომ, საუკეთესო შემთხვევაში, თუ თქვენ ეთანხმებით თქვენს ბმულს, ის მიხვდება, რა გსურთ მისგან საზოგადოების თვალსაზრისით. მაგრამ თქვენმა მეზობელმა შეიძლება ვერ გაიგოს, ან ოპერატორი უბრალოდ აღადგენს თქვენს ტეგს და თქვენ ვერ მიაღწევთ იმას, რაც გინდოდათ.

RPKI + ROA პრობლემების მხოლოდ მცირე ნაწილს წყვეტს. RPKI არის რესურსი საჯარო გასაღების ინფრასტრუქტურა  — სპეციალური ჩარჩო მარშრუტიზაციის ინფორმაციის ხელმოწერისთვის. კარგი იდეაა აიძულოთ LIR-ები და მათი კლიენტები შეინარჩუნონ მისამართების სივრცის განახლებული მონაცემთა ბაზა. მაგრამ მასში ერთი პრობლემაა.

RPKI ასევე არის იერარქიული საჯარო გასაღების სისტემა. IANA-ს აქვს გასაღები, საიდანაც იქმნება RIR კლავიშები და რომელიდან გენერირდება LIR გასაღებები? რომლითაც ისინი ხელს აწერენ თავიანთ მისამართთა სივრცეს ROA-ების გამოყენებით - მარშრუტის წარმოშობის ავტორიზაციები:

- გარწმუნებთ, რომ ეს პრეფიქსი გამოცხადდება ამ ავტონომიური რეგიონის სახელით.

ROA-ს გარდა, არის სხვა ობიექტები, მაგრამ მათ შესახებ მოგვიანებით. როგორც ჩანს, კარგი და სასარგებლო რამ არის. მაგრამ ის არ გვიცავს სიტყვა „საერთოდ“ გაჟონვისგან და არ წყვეტს პრეფიქსის გატაცების ყველა პრობლემას. ამიტომ, მოთამაშეები არ ჩქარობენ მის განხორციელებას. მიუხედავად იმისა, რომ უკვე არსებობს გარანტიები მსხვილი მოთამაშეებისგან, როგორიცაა AT&T და დიდი IX კომპანიები, რომ პრეფიქსები არასწორი ROA ჩანაწერით გაუქმდება.

შესაძლოა, ისინი ამას გააკეთებენ, მაგრამ ახლა ჩვენ გვაქვს პრეფიქსების დიდი რაოდენობა, რომლებიც არანაირად არ არის ხელმოწერილი. ერთი მხრივ, გაურკვეველია არის თუ არა ისინი მართებულად გამოცხადებული. მეორეს მხრივ, ჩვენ მათ ნაგულისხმევად ვერ ჩამოვტოვებთ, რადგან არ ვართ დარწმუნებული, ეს სწორია თუ არა.

კიდევ რა არის?

BGPSec. ეს არის მაგარი რამ, რაც მეცნიერებმა გამოიგონეს ვარდისფერი პონის ქსელისთვის. Მათ თქვეს:

- ჩვენ გვაქვს RPKI + ROA - მისამართების სივრცის ხელმოწერების გადამოწმების მექანიზმი. მოდით შევქმნათ ცალკე BGP ატრიბუტი და ვუწოდოთ მას BGPSec Path. თითოეული როუტერი თავისი ხელმოწერით მოაწერს ხელს იმ განცხადებებს, რომლებიც მეზობლებს უცხადებს. ამ გზით ჩვენ მივიღებთ სანდო გზას ხელმოწერილი განცხადებების ჯაჭვიდან და შევძლებთ მის შემოწმებას.

თეორიულად კარგია, მაგრამ პრაქტიკაში ბევრი პრობლემაა. BGPSec არღვევს ბევრ არსებულ BGP მექანიკას შემდეგი ჰოპების შესარჩევად და პირდაპირ როუტერზე შემომავალი/გამავალი ტრაფიკის მართვისთვის. BGPSec არ მუშაობს მანამ, სანამ მას მთელი ბაზრის 95% არ განახორციელებს, რაც თავისთავად უტოპიაა.

BGPSec-ს აქვს შესრულების უზარმაზარი პრობლემები. მიმდინარე აპარატურაზე, განცხადებების შემოწმების სიჩქარე არის დაახლოებით 50 პრეფიქსი წამში. შედარებისთვის: 700 000 პრეფიქსის ამჟამინდელი ინტერნეტ ცხრილი აიტვირთება 5 საათში, რომლის დროსაც ის კიდევ 10-ჯერ შეიცვლება.

BGP ღია პოლიტიკა (როლზე დაფუძნებული BGP). ახალი წინადადება მოდელის მიხედვით გაო-რექსფორდი. ეს არის ორი მეცნიერი, რომლებიც იკვლევენ BGP-ს.

გაო-რექსფორდის მოდელი ასეთია. გამარტივებისთვის, BGP– სთან ურთიერთქმედების მცირე რაოდენობაა:

• პროვაიდერის კლიენტი;
• P2P;
• შიდა კომუნიკაცია, ვთქვათ iBGP.

როუტერის როლიდან გამომდინარე, უკვე შესაძლებელია გარკვეული იმპორტის/ექსპორტის პოლიტიკის ნაგულისხმევად მინიჭება. ადმინისტრატორს არ სჭირდება პრეფიქსის სიების კონფიგურაცია. იმ როლიდან გამომდინარე, რომელსაც მარშრუტიზატორები თანხმდებიან ერთმანეთთან და რომლის დაყენებაც შესაძლებელია, ჩვენ უკვე ვიღებთ ნაგულისხმევ ფილტრებს. ეს ამჟამად არის პროექტი, რომელიც განიხილება IETF-ში. იმედი მაქვს, რომ მალე ჩვენ ამას დავინახავთ RFC-ის სახით და ტექნიკის დანერგვის სახით.

მსხვილი ინტერნეტ პროვაიდერები

მოდით შევხედოთ პროვაიდერის მაგალითს CenturyLink. ეს არის აშშ-ს სიდიდით მესამე პროვაიდერი, ემსახურება 37 შტატს და აქვს 15 მონაცემთა ცენტრი. 

2018 წლის დეკემბერში CenturyLink აშშ-ს ბაზარზე 50 საათის განმავლობაში იმყოფებოდა. ინციდენტის დროს ორ შტატში იყო პრობლემები ბანკომატების მუშაობასთან დაკავშირებით, ხოლო ხუთ შტატში 911 ნომერი რამდენიმე საათის განმავლობაში არ მუშაობდა. აიდაჰოში ლატარია მთლიანად ჩაიშალა. მომხდარს ამჟამად აშშ-ის ტელეკომუნიკაციების კომისია იძიებს.

ტრაგედიის მიზეზი იყო ერთი ქსელის ბარათი ერთ მონაცემთა ცენტრში. ბარათმა გაუმართა მუშაობა, გაუგზავნა არასწორი პაკეტები და პროვაიდერის 15-ვე მონაცემთა ცენტრი გაქრა.

იდეა არ მუშაობდა ამ პროვაიდერისთვის "ძალიან დიდია დაცემისთვის". ეს იდეა საერთოდ არ მუშაობს. თქვენ შეგიძლიათ აიღოთ ნებისმიერი ძირითადი მოთამაშე და ზევით დააყენოთ რამდენიმე წვრილმანი. შეერთებულ შტატებს ჯერ კიდევ კარგად აქვს კავშირი. CenturyLink-ის მომხმარებლები, რომლებსაც ჰქონდათ რეზერვი, მასში მრავლად შედიოდნენ. შემდეგ ალტერნატიული ოპერატორები ჩიოდნენ მათი ბმულების გადატვირთვის შესახებ.

თუ პირობითი ყაზახტელეკომი დაეცემა, მთელი ქვეყანა ინტერნეტის გარეშე დარჩება.

კორპორაციები

ალბათ Google, Amazon, FaceBook და სხვა კორპორაციები მხარს უჭერენ ინტერნეტს? არა, ამასაც არღვევენ.

2017 წელს პეტერბურგში ENOG13 კონფერენციაზე ჯეფ ჰიუსტონი საქართველოს აპნიკი შემოიღო მოხსენება "ტრანზიტის სიკვდილი". ის ამბობს, რომ ჩვენ შეჩვეულები ვართ ურთიერთქმედებებს, ფულის ნაკადებს და ინტერნეტში ტრაფიკს ვერტიკალურ მდგომარეობაშია. ჩვენ გვყავს მცირე პროვაიდერები, რომლებიც იხდიან უფრო დიდთან დაკავშირებას და ისინი უკვე იხდიან გლობალურ ტრანზიტთან დაკავშირებას.

ახლა ჩვენ გვაქვს ასეთი ვერტიკალურად ორიენტირებული სტრუქტურა. ყველაფერი კარგად იქნებოდა, მაგრამ სამყარო იცვლება - მთავარი მოთამაშეები აშენებენ თავიანთ ტრანსოკეანურ კაბელებს საკუთარი ხერხემლის ასაშენებლად.

სიახლეები CDN კაბელის შესახებ.

2018 წელს TeleGeography-მა გამოაქვეყნა კვლევა, რომ ინტერნეტში ტრაფიკის ნახევარზე მეტი აღარ არის ინტერნეტი, არამედ დიდი მოთამაშეების CDN-ის ხერხემალი. ეს არის ტრაფიკი, რომელიც დაკავშირებულია ინტერნეტთან, მაგრამ ეს აღარ არის ის ქსელი, რომელზეც ვსაუბრობდით.

ინტერნეტი იშლება თავისუფლად დაკავშირებული ქსელების დიდ ჯგუფად.

მაიკროსოფტს აქვს საკუთარი ქსელი, გუგლს აქვს საკუთარი და მათ მცირე გადახურვა აქვთ ერთმანეთთან. ტრაფიკი, რომელიც წარმოიშვა სადღაც აშშ-ში, მიდის Microsoft-ის არხებით ოკეანის გავლით ევროპაში, სადღაც CDN-ზე, შემდეგ CDN-ის ან IX-ის მეშვეობით ის უერთდება თქვენს პროვაიდერს და ხვდება თქვენს როუტერს.

დეცენტრალიზაცია ქრება.

ინტერნეტის ეს სიძლიერე, რომელიც დაეხმარება მას ბირთვული აფეთქებისგან გადარჩენაში, იკარგება. ჩნდება მომხმარებლების კონცენტრაციის ადგილები და ტრაფიკი. თუ პირობითი Google Cloud დაეცემა, ერთდროულად ბევრი მსხვერპლი იქნება. ეს ნაწილობრივ ვიგრძენით, როდესაც Roskomnadzor-მა დაბლოკა AWS. და CenturyLink-ის მაგალითი გვიჩვენებს, რომ ამისთვის წვრილმანიც კი საკმარისია.

ადრე, ყველაფერი და ყველა არ იშლებოდა. სამომავლოდ შეიძლება მივიდეთ დასკვნამდე, რომ ერთ მთავარ მოთამაშეზე ზემოქმედებით შეიძლება ბევრი რამ დავარღვიოთ, ბევრგან და ბევრ ადამიანში.

სახელმწიფოები

შემდეგი სახელმწიფოები არიან და ეს არის ის, რაც ჩვეულებრივ ხდება მათთან.

აქ ჩვენი როსკომნადზორი სულაც არ არის პიონერი. ინტერნეტის გამორთვის მსგავსი პრაქტიკა არსებობს ირანში, ინდოეთსა და პაკისტანში. ინგლისში არსებობს კანონპროექტი ინტერნეტის გათიშვის შესაძლებლობის შესახებ.

ნებისმიერ დიდ სახელმწიფოს სურს მიიღოს გადამრთველი ინტერნეტის გამორთვისთვის, მთლიანად ან ნაწილებად: Twitter, Telegram, Facebook. ეს არ არის ის, რომ მათ არ ესმით, რომ ისინი ვერასდროს მიაღწევენ წარმატებას, მაგრამ მათ ეს ნამდვილად სურთ. გადამრთველი, როგორც წესი, პოლიტიკური მიზნებისთვის გამოიყენება - პოლიტიკური კონკურენტების აღმოსაფხვრელად, ან ახლოვდება არჩევნები, ან რუსმა ჰაკერებმა ისევ დაამტვრიეს რაღაც.

DDoS შეტევები

პურს არ წავართმევ ჩემს ამხანაგებს Qrator Labs-დან, ისინი ამას ჩემზე ბევრად უკეთ აკეთებენ. Მათ აქვთ წლიური ანგარიში ინტერნეტის სტაბილურობაზე. და ეს არის ის, რაც მათ წერდნენ 2018 წლის ანგარიშში.

DDoS შეტევების საშუალო ხანგრძლივობა მცირდება 2.5 საათამდე. თავდამსხმელები ასევე იწყებენ ფულის დათვლას და თუ რესურსი დაუყოვნებლივ არ არის ხელმისაწვდომი, მაშინ ისინი სწრაფად ტოვებენ მას.

თავდასხმების ინტენსივობა იზრდება. 2018 წელს ჩვენ ვნახეთ 1.7 ტბ/წმ Akamai ქსელში და ეს არ არის ლიმიტი.

ჩნდება შეტევის ახალი ვექტორები და ძლიერდება ძველი. ჩნდება ახალი პროტოკოლები, რომლებიც ექვემდებარება გაძლიერებას, და ახალი შეტევები ჩნდება არსებულ პროტოკოლებზე, განსაკუთრებით TLS და მსგავს.

ტრაფიკის უმეტესი ნაწილი მობილური მოწყობილობებიდან არის. ამავდროულად, ინტერნეტ ტრაფიკი მობილურ კლიენტებზე გადადის. მათ, ვინც თავს ესხმიან და მათ, ვინც იცავს, უნდა შეძლონ ამით მუშაობა.

დაუცველი - არა. ეს არის მთავარი იდეა - არ არსებობს უნივერსალური დაცვა, რომელიც აუცილებლად დაიცავს ნებისმიერი DDoS-ისგან.

სისტემის ინსტალაცია შეუძლებელია, თუ ის არ არის დაკავშირებული ინტერნეტთან.

იმედია საკმარისად შეგაშინე. ახლა მოდით ვიფიქროთ იმაზე, თუ რა უნდა გავაკეთოთ ამის შესახებ.

Რა უნდა ვქნა?!

თუ გაქვთ თავისუფალი დრო, სურვილი და ინგლისური ენის ცოდნა, მიიღეთ მონაწილეობა სამუშაო ჯგუფებში: IETF, RIPE WG. ეს არის ღია ფოსტის სიები, გამოიწერეთ საფოსტო სიები, მონაწილეობა მიიღე დისკუსიებში, მოდი კონფერენციებზე. თუ თქვენ გაქვთ LIR სტატუსი, შეგიძლიათ ხმის მიცემა, მაგალითად, RIPE-ში სხვადასხვა ინიციატივისთვის.

უბრალო მოკვდავებისთვის ეს არის მონიტორინგი. რომ იცოდე რა გატეხილია.

მონიტორინგი: რა უნდა შეამოწმოთ?

ნორმალური პინგი, და არა მხოლოდ ორობითი შემოწმება - მუშაობს თუ არა. ჩაწერეთ RTT ისტორიაში, რათა მოგვიანებით შეხედოთ ანომალიებს.

ტრასერატი. ეს არის სასარგებლო პროგრამა TCP/IP ქსელებზე მონაცემთა მარშრუტების დასადგენად. ხელს უწყობს ანომალიების და ბლოკირების იდენტიფიცირებას.

HTTP ამოწმებს მორგებულ URL-ებსა და TLS სერთიფიკატებს ხელს შეუწყობს შეტევის დაბლოკვის ან DNS გაყალბების აღმოჩენას, რაც პრაქტიკულად იგივეა. დაბლოკვა ხშირად ხორციელდება DNS-ის გაყალბებით და ტრაფიკის სათაურ გვერდზე გადაქცევით.

თუ შესაძლებელია, შეამოწმეთ თქვენი კლიენტების გადაწყვეტილება თქვენი წარმოშობის შესახებ სხვადასხვა ადგილიდან, თუ გაქვთ განაცხადი. ეს დაგეხმარებათ აღმოაჩინოთ DNS-ის გატაცების ანომალიები, რასაც პროვაიდერები აკეთებენ ხოლმე.

მონიტორინგი: სად შევამოწმო?

უნივერსალური პასუხი არ არსებობს. შეამოწმეთ საიდან მოდის მომხმარებელი. თუ მომხმარებლები არიან რუსეთში, შეამოწმეთ რუსეთიდან, მაგრამ არ შემოიფარგლოთ ამით. თუ თქვენი მომხმარებლები ცხოვრობენ სხვადასხვა რეგიონში, შეამოწმეთ ამ რეგიონებიდან. მაგრამ უკეთესია მთელი მსოფლიოდან.

მონიტორინგი: რა უნდა შეამოწმოთ?

სამი გზა მოვიფიქრე. თუ მეტი იცით დაწერეთ კომენტარებში.

• RIPE ატლასი.
• კომერციული მონიტორინგი.
• ვირტუალური მანქანების საკუთარი ქსელი.

მოდით ვისაუბროთ თითოეულ მათგანზე.

RIPE ატლასი - ეს ისეთი პატარა ყუთია. მათთვის, ვინც იცნობს შიდა "ინსპექტორს" - ეს არის იგივე ყუთი, მაგრამ განსხვავებული სტიკერით.

RIPE Atlas არის უფასო პროგრამა. თქვენ დარეგისტრირდებით, იღებთ როუტერს ფოსტით და აერთებთ მას ქსელში. იმის გამო, რომ სხვა იყენებს თქვენს ნიმუშს, თქვენ მიიღებთ გარკვეულ კრედიტებს. ამ სესხებით თქვენ შეგიძლიათ გააკეთოთ გარკვეული გამოკვლევა. შეგიძლიათ შეამოწმოთ სხვადასხვა გზით: ping, traceroute, შეამოწმეთ სერთიფიკატები. დაფარვა საკმაოდ დიდია, ბევრი კვანძია. მაგრამ არის ნიუანსი.

საკრედიტო სისტემა არ იძლევა სამშენებლო საწარმოო გადაწყვეტილებების საშუალებას. არ იქნება საკმარისი კრედიტები მიმდინარე კვლევის ან კომერციული მონიტორინგისთვის. კრედიტები საკმარისია მოკლე სწავლისთვის ან ერთჯერადი შემოწმებისთვის. ერთი ნიმუშიდან დღიური ნორმა მოიხმარება 1-2 შემოწმებით.

დაფარვა არათანაბარია. ვინაიდან პროგრამა ორივე მიმართულებით უფასოა, გაშუქება კარგია ევროპაში, რუსეთის ევროპულ ნაწილში და ზოგიერთ რეგიონში. მაგრამ თუ გჭირდებათ ინდონეზია ან ახალი ზელანდია, მაშინ ყველაფერი გაცილებით უარესია - შეიძლება არ გქონდეთ 50 ნიმუში თითო ქვეყანაში.

თქვენ არ შეგიძლიათ შეამოწმოთ http ნიმუშიდან. ეს გამოწვეულია ტექნიკური ნიუანსებით. გპირდებიან, რომ გაასწორებენ ახალ ვერსიაში, მაგრამ ამ დროისთვის http ვერ შემოწმდება. მხოლოდ სერტიფიკატის შემოწმებაა შესაძლებელი. ერთგვარი http შემოწმება შესაძლებელია მხოლოდ სპეციალურ RIPE Atlas მოწყობილობაზე, სახელწოდებით Anchor.

მეორე მეთოდი არის კომერციული მონიტორინგი. მასთან ყველაფერი კარგადაა, ფულს იხდით, არა? ისინი გპირდებიან რამდენიმე ათეული ან ასობით მონიტორინგის პუნქტს მთელს მსოფლიოში და გამოაქვთ ლამაზი დაფები ყუთიდან. მაგრამ ისევ პრობლემებია.

ფასიანია, ზოგან ძალიან. პინგ მონიტორინგი, მსოფლიო ჩეკები და უამრავი http შემოწმება შეიძლება წელიწადში რამდენიმე ათასი დოლარი დაჯდეს. თუ ფინანსები იძლევა და მოგწონთ ეს გამოსავალი, განაგრძეთ.

დაფარვა შეიძლება არ იყოს საკმარისი ინტერესის რეგიონში. ამავე პინგით მითითებულია სამყაროს მაქსიმუმ აბსტრაქტული ნაწილი - აზია, ევროპა, ჩრდილოეთ ამერიკა. იშვიათი მონიტორინგის სისტემებს შეუძლიათ შევიდნენ კონკრეტულ ქვეყანაში ან რეგიონში.

სუსტი მხარდაჭერა ინდივიდუალური ტესტებისთვის. თუ თქვენ გჭირდებათ რაიმე ჩვეული, და არა მხოლოდ "ხვეული" url-ზე, მაშინ ამაშიც არის პრობლემები.

მესამე გზა არის თქვენი მონიტორინგი. ეს არის კლასიკა: "მოდით დავწეროთ ჩვენი საკუთარი!"

თქვენი მონიტორინგი გადაიქცევა პროგრამული პროდუქტის განვითარებად და განაწილებულად. თქვენ ეძებთ ინფრასტრუქტურის პროვაიდერს, შეხედეთ როგორ განათავსოთ და დააკვირდეთ მას - მონიტორინგი სჭირდება, არა? ის ასევე მოითხოვს მხარდაჭერას. ათჯერ დაფიქრდით, სანამ ამას გააკეთებთ. შეიძლება უფრო ადვილი იყოს ვინმეს გადაუხადო ეს შენთვის.

BGP ანომალიების და DDoS შეტევების მონიტორინგი

აქ, არსებული რესურსებიდან გამომდინარე, ყველაფერი კიდევ უფრო მარტივია. BGP ანომალიები გამოვლენილია სპეციალიზებული სერვისების გამოყენებით, როგორიცაა QRadar, BGPmon. ისინი იღებენ სრული ხედვის ცხრილს მრავალი ოპერატორისგან. იმის მიხედვით, თუ რას ხედავენ სხვადასხვა ოპერატორებისგან, შეუძლიათ აღმოაჩინონ ანომალიები, მოძებნონ გამაძლიერებლები და ა.შ. რეგისტრაცია, როგორც წესი, უფასოა - შეიყვანთ თქვენი ტელეფონის ნომერს, გამოიწერთ ელ.ფოსტის შეტყობინებებს და სერვისი შეგატყობინებთ თქვენს პრობლემებს.

DDoS შეტევების მონიტორინგი ასევე მარტივია. როგორც წესი, ეს არის NetFlow-ზე დაფუძნებული და ჟურნალები. არსებობს სპეციალიზებული სისტემები, როგორიცაა FastNetMon, მოდულები ამისთვის გაღრმავება. როგორც ბოლო საშუალება, არის თქვენი DDoS დაცვის პროვაიდერი. მას ასევე შეუძლია NetFlow-ის გაჟონვა და, მასზე დაყრდნობით, შეგატყობინებთ თქვენი მიმართულებით თავდასხმების შესახებ.

დასკვნები

არ გქონდეთ ილუზიები - ინტერნეტი აუცილებლად გატყდება. ყველაფერი და ყველა არ გატყდება, მაგრამ 14 წელს 2017 ათასი ინციდენტი მიანიშნებს, რომ ინციდენტები იქნება.

თქვენი ამოცანაა შეამჩნიოთ პრობლემები რაც შეიძლება ადრე. მინიმუმ, არა უგვიანეს თქვენი მომხმარებლისა. არა მხოლოდ მნიშვნელოვანია აღინიშნოს, ყოველთვის შეინახეთ "გეგმა B" რეზერვში. გეგმა არის სტრატეგია იმის შესახებ, თუ რას გააკეთებთ, როდესაც ყველაფერი ფუჭდება.: სარეზერვო ოპერატორები, DC, CDN. გეგმა არის ცალკე ჩამონათვალი, რომლის მიხედვითაც თქვენ ამოწმებთ ყველაფრის მუშაობას. გეგმა უნდა იმუშაოს ქსელის ინჟინრების ჩართვის გარეშე, რადგან, როგორც წესი, ისინი ცოტანი არიან და მათ უნდათ დაძინება.

Სულ ეს არის. გისურვებთ მაღალ ხელმისაწვდომობას და მწვანე მონიტორინგს.

მომავალ კვირას ნოვოსიბირსკში მზიანი, მაღალი დატვირთვა და დეველოპერების მაღალი კონცენტრაციაა მოსალოდნელი HighLoad++ ციმბირი 2019 წელი. ციმბირში პროგნოზირებულია მოხსენებების ფრონტი მონიტორინგის, ხელმისაწვდომობისა და ტესტირების, უსაფრთხოებისა და მართვის შესახებ. ნალექი მოსალოდნელია ჩაწერილი ჩანაწერების, ქსელის, ფოტოების და სოციალურ ქსელებში პოსტების სახით. ჩვენ გირჩევთ ყველა აქტივობის გადადებას 24 და 25 ივნისს და ბილეთების დაჯავშნა. გელოდებით ციმბირში!

წყარო: www.habr.com