დეტალური პასუხი კომენტარზე, ისევე როგორც ცოტა პროვაიდერების ცხოვრების შესახებ რუსეთის ფედერაციაში

მიბიძგა ამ პოსტზე ეს არის კომენტარი.

მე აქ ციტირებს:

კალემანი დღეს 18:53 საათზე

დღეს კმაყოფილი ვიყავი პროვაიდერით. საიტის დაბლოკვის სისტემის განახლებასთან ერთად აიკრძალა მისი მეილერი mail.ru, დილიდან ვურეკავ ტექნიკურ დახმარებას, მაგრამ ვერაფერს აკეთებენ. პროვაიდერი პატარაა და აშკარად უფრო მაღალი რანგის პროვაიდერები ბლოკავენ მას. მეც შევამჩნიე ყველა საიტის გახსნის შენელება, იქნებ რამე კრახი DLP დააყენეს? ადრე წვდომის პრობლემა არ იყო. RuNet-ის განადგურება ჩემს თვალწინ ხდება...

ფაქტია, რომ როგორც ჩანს, ჩვენ იგივე პროვაიდერი ვართ :)

და მართლაც, კალემანი mail.ru-სთან პრობლემების მიზეზი თითქმის გამოვიცანი (თუმცა ასეთი რამის დაჯერებაზე დიდი ხანია უარს ვამბობდით).

რაც ქვემოთ იქნება დაყოფილი ორ ნაწილად:

1. mail.ru-სთან ჩვენი ამჟამინდელი პრობლემების მიზეზები და მათი პოვნის საინტერესო ძიება
2. ISP-ის არსებობა დღევანდელ რეალობაში, სუვერენული RuNet-ის სტაბილურობა.

ხელმისაწვდომობის პრობლემები mail.ru-სთან

ოჰ, საკმაოდ გრძელი ამბავია.

ფაქტია, რომ სახელმწიფოს მოთხოვნების განსახორციელებლად (დაწვრილებით მეორე ნაწილში), ჩვენ შევიძინეთ, დავაკონფიგურირეთ და დავაინსტალირეთ გარკვეული აღჭურვილობა - როგორც აკრძალული რესურსების გაფილტვრისთვის, ასევე დასანერგად. NAT თარგმანები აბონენტებს.

რამდენიმე ხნის წინ, ჩვენ საბოლოოდ აღვადგინეთ ქსელის ბირთვი ისე, რომ ყველა აბონენტის ტრაფიკი ამ აღჭურვილობაში მკაცრად სწორი მიმართულებით გადიოდა.

რამდენიმე დღის წინ ჩავრთეთ მასზე აკრძალული ფილტრაცია (ძველი სისტემის მუშაობისას) - როგორც ჩანს, ყველაფერი კარგად იყო.

შემდეგ მათ თანდათან დაიწყეს NAT-ის ჩართვა ამ მოწყობილობაზე აბონენტების სხვადასხვა ნაწილებისთვის. როგორც ჩანს, ყველაფერი კარგად იყო.

მაგრამ დღეს, აბონენტების შემდეგი ნაწილისთვის მოწყობილობაზე NAT-ის ჩართვით, დილიდანვე შევხვდით პრეტენზიების ღირსეულ რაოდენობას მიუწვდომლობის ან ნაწილობრივი ხელმისაწვდომობის შესახებ. mail.ru და Mail Ru Group-ის სხვა რესურსები.

დაიწყეს შემოწმება: სადღაც რაღაც ზოგჯერ, ზოგჯერ აგზავნის TCP RST ექსკლუზიურად mail.ru ქსელებზე მოთხოვნის საპასუხოდ. უფრო მეტიც, ის აგზავნის არასწორად გენერირებულ (ACK-ის გარეშე), აშკარად ხელოვნურ TCP RST-ს. ასე გამოიყურებოდა:

ბუნებრივია, პირველი აზრები ეხებოდა ახალ აღჭურვილობას: საშინელი DPI, მასში ნდობა, თქვენ არასოდეს იცით, რა შეუძლია მას - ბოლოს და ბოლოს, TCP RST საკმაოდ გავრცელებული რამ არის დაბლოკვის ინსტრუმენტებს შორის.

ვარაუდი კალემანი ჩვენ ასევე წამოვაყენეთ იდეა, რომ ვიღაც "უმაღლესი" ფილტრავს, მაგრამ მაშინვე გავაუქმეთ.

ჯერ ერთი, ჩვენ გვაქვს საკმარისად საღი ბმულები, რომ ასე არ ვიტანჯოთ :)

მეორეც, ჩვენ რამდენიმესთან ვართ დაკავშირებული IX მოსკოვში და mail.ru-ზე ტრაფიკი გადის მათში - და მათ არ აქვთ არც პასუხისმგებლობა და არც სხვა მოტივი ტრაფიკის გაფილტვრისთვის.

დღის შემდეგი ნახევარი დაიხარჯა იმას, რასაც ჩვეულებრივ შამანიზმს უწოდებენ - აღჭურვილობის გამყიდველთან ერთად, რისთვისაც მათ მადლობას ვუხდით, ისინი არ დანებდნენ :)

• ფილტრაცია მთლიანად გამორთული იყო
• NAT გამორთული იყო ახალი სქემის გამოყენებით
• სატესტო კომპიუტერი მოთავსდა ცალკე იზოლირებულ აუზში
• IP მისამართი შეიცვალა

დღის მეორე ნახევარში გამოიყო ვირტუალური მანქანა, რომელიც ქსელში იყო დაკავშირებული რეგულარული მომხმარებლის სქემის მიხედვით და გამყიდველის წარმომადგენლებს მიეცათ წვდომა მასზე და აღჭურვილობაზე. შამანიზმი გაგრძელდა :)

საბოლოო ჯამში, გამყიდველის წარმომადგენელმა დარწმუნებით განაცხადა, რომ აპარატურას აბსოლუტურად არაფერი აქვს საერთო: rsts მოდის სადღაც მაღლა.

შენიშვნაამ ეტაპზე, ვინმემ შეიძლება თქვას: მაგრამ ბევრად უფრო ადვილი იყო ნაგავსაყრელის აღება არა სატესტო კომპიუტერიდან, არამედ DPI-ს ზემოთ მდებარე მაგისტრალიდან?

არა, სამწუხაროდ, 40+გბ/წმ-ის გადაყრა (და თუნდაც მხოლოდ სარკისებური ასახვა) სულაც არ არის ტრივიალური.

ამის შემდეგ, საღამოს, არაფერი დარჩა გასაკეთებელი, თუ არა სადღაც ზემოთ უცნაური ფილტრაციის ვარაუდის დაბრუნება.

მე გადავხედე, რომელ IX-ში გადის ტრაფიკი MRG ქსელებში და უბრალოდ გავაუქმე მასზე bgp სესიები. და - აი, აჰა! - ყველაფერი მაშინვე ნორმალურად დაბრუნდა 🙁

ერთის მხრივ, სირცხვილია, რომ მთელი დღე პრობლემის ძიებაში იყო, თუმცა ის ხუთ წუთში მოგვარდა.

Მეორეს მხრივ:

- ჩემს მეხსიერებაში ეს უპრეცედენტო მოვლენაა. როგორც ზემოთ უკვე დავწერე - IX ნამდვილად აზრი არ აქვს სატრანზიტო ტრაფიკის გაფილტვრას. მათ ჩვეულებრივ აქვთ ასობით გიგაბიტი/ტერაბიტი წამში. უბრალოდ სერიოზულად ვერ წარმოვიდგენდი ასეთ რაღაცას ბოლო დრომდე.

- გარემოებების წარმოუდგენლად იღბლიანი დამთხვევა: ახალი რთული აპარატურა, რომელსაც განსაკუთრებით არ ენდობიან და რომლისგანაც არ არის ნათელი, რა შეიძლება იყოს მოსალოდნელი - მორგებულია სპეციალურად რესურსების დაბლოკვისთვის, მათ შორის TCP RST-ებისთვის.

ამ ინტერნეტ ბირჟის NOC ამჟამად პრობლემას ეძებს. მათი თქმით (და მე მჯერა მათი), მათ არ აქვთ სპეციალურად განლაგებული ფილტრაციის სისტემა. მაგრამ, მადლობა ზეცას, შემდგომი ძებნა ჩვენი პრობლემა აღარ არის :)

ეს იყო საკუთარი თავის გამართლების პატარა მცდელობა, გთხოვთ გაიგოთ და აპატიოთ :)

PS: DPI/NAT-ის ან IX-ის მწარმოებელს შეგნებულად არ ვასახელებ (სინამდვილეში, მათზე განსაკუთრებული პრეტენზიაც კი არ მაქვს, მთავარია გავიგოთ რა იყო)

დღევანდელი (ისევე როგორც გუშინდელი და გუშინდელი) რეალობა ინტერნეტ პროვაიდერის თვალსაზრისით

მე გავატარე ბოლო კვირები ქსელის ბირთვის მნიშვნელოვნად აღდგენისთვის, მანიპულაციების თაიგულის „მოგების მიზნით“ შესრულებით, ცოცხალი მომხმარებლის ტრაფიკის მნიშვნელოვანი ზემოქმედების რისკით. ამ ყველაფრის მიზნების, შედეგებისა და შედეგების გათვალისწინებით, მორალურად ეს ყველაფერი საკმაოდ რთულია. განსაკუთრებით - კიდევ ერთხელ მოუსმინე ლამაზ გამოსვლებს რუნეტის სტაბილურობის, სუვერენიტეტის და ა.შ. და ასე შემდეგ.

ამ განყოფილებაში შევეცდები აღვწერო ტიპიური ISP-ის ქსელის ბირთვის „ევოლუცია“ ბოლო ათი წლის განმავლობაში.

Ათი წლის წინ.

იმ დალოცვილ დროში, პროვაიდერის ქსელის ბირთვი შეიძლება იყოს ისეთივე მარტივი და საიმედო, როგორც საცობი:

ამ ძალიან, ძალიან გამარტივებულ სურათზე არ არის ტრანკები, რგოლები, ip/mpls მარშრუტიზაცია.

მისი არსი ის არის, რომ მომხმარებლის ტრაფიკი საბოლოოდ მივიდა ბირთვის დონეზე გადართვამდე - საიდანაც ის მივიდა BNG, საიდანაც, როგორც წესი, უბრუნდება ძირითადი გადართვას და შემდეგ „გადასვლას“ - ერთი ან მეტი სასაზღვრო კარიბჭის მეშვეობით ინტერნეტში.

ასეთი სქემის დაჯავშნა ძალიან, ძალიან ადვილია როგორც L3-ზე (დინამიური მარშრუტიზაცია) ასევე L2-ზე (MPLS).

თქვენ შეგიძლიათ დააინსტალიროთ N+1 ნებისმიერი: სერვერებზე წვდომის, გადამრთველების, საზღვრების - და ამა თუ იმ გზით დაჯავშნოთ ისინი ავტომატური შეფერხებისთვის.

რამდენიმე წლის შემდეგ რუსეთში ყველასთვის ცხადი გახდა, რომ ასე ცხოვრება უკვე შეუძლებელი იყო: გადაუდებელი იყო ბავშვების დაცვა ინტერნეტის მავნე გავლენისგან.

გადაუდებელი საჭიროება იყო მომხმარებლის ტრაფიკის გაფილტვრის გზების პოვნა.

აქ განსხვავებული მიდგომებია.

არც თუ ისე კარგ შემთხვევაში, რაღაც არის "უფსკრული": მომხმარებლის ტრაფიკსა და ინტერნეტს შორის. ამ „რაღაცის“ მეშვეობით გამავალი ტრაფიკი გაანალიზებულია და, მაგალითად, ყალბი პაკეტი გადამისამართებით იგზავნება აბონენტისკენ.

ოდნავ უკეთეს შემთხვევაში - თუ ტრაფიკის მოცულობა საშუალებას იძლევა - შეგიძლიათ გააკეთოთ პატარა ხრიკი ყურებით: გასაფილტრად გაგზავნეთ მხოლოდ მომხმარებლებისგან წარმოშობილი ტრაფიკი მხოლოდ იმ მისამართებზე, რომლებიც უნდა იყოს გაფილტრული (ამისთვის შეგიძლიათ აიღოთ IP მისამართები მითითებული იქ რეესტრიდან, ან დამატებით გადაჭრით რეესტრში არსებული დომენები).

ერთ დროს, ამ მიზნებისთვის, დავწერე მარტივი მინი dpi - თუმცა მე არც კი ვბედავ მას ასე დავარქვათ. ეს არის ძალიან მარტივი და არც თუ ისე პროდუქტიული - თუმცა, ჩვენ და ათეულობით (თუ არა ასობით) სხვა პროვაიდერს საშუალებას აძლევდა დაუყოვნებლივ არ დახარჯოთ მილიონები სამრეწველო DPI სისტემებზე, მაგრამ რამდენიმე დამატებითი წელი მოგვცა.

სხვათა შორის, მაშინდელი და ამჟამინდელი DPI-ის შესახებსხვათა შორის, ბევრმა, ვინც შეიძინა იმ დროს ბაზარზე არსებული DPI სისტემები, უკვე გადააგდო ისინი. კარგად, ისინი არ არის განკუთვნილი ამისთვის: ასობით ათასი მისამართი, ათიათასობით URL.

და ამავე დროს, შიდა მწარმოებლები ძალიან ძლიერად ამაღლდნენ ამ ბაზარზე. მე არ ვსაუბრობ აპარატურულ კომპონენტზე - აქ ყველაფერი ყველასთვის გასაგებია, მაგრამ პროგრამული უზრუნველყოფა - მთავარი რაც აქვს DPI-ს - ალბათ დღეს არის, თუ არა ყველაზე მოწინავე მსოფლიოში, მაშინ რა თქმა უნდა ა) ვითარდება ნახტომებით და საზღვრებით, და ბ) შეფუთული პროდუქტის ფასად - უბრალოდ შეუდარებელი უცხოელ კონკურენტებთან.

მინდა ვიამაყო, მაგრამ ცოტა მოწყენილი =)

ახლა ყველაფერი ასე გამოიყურებოდა:

კიდევ რამდენიმე წელიწადში ყველას უკვე ჰყავდა აუდიტორები; რეესტრში სულ უფრო მეტი რესურსი იყო. ზოგიერთი ძველი აღჭურვილობისთვის (მაგალითად, Cisco 7600), "გვერდითი ფილტრაციის" სქემა უბრალოდ გამოუსადეგარი გახდა: მარშრუტების რაოდენობა 76 პლატფორმაზე შემოიფარგლება დაახლოებით ცხრაასი ათასით, მაშინ როცა მხოლოდ IPv4 მარშრუტების რაოდენობა დღეს უახლოვდება 800-ს. ათასი. და თუ ისიც ipv6... და ასევე... რამდენია? 900000 ინდივიდუალური მისამართი RKN აკრძალვაში? =)

ვიღაცამ გადაერთო სქემაზე, რომელიც ასახავს მთელ ტრაფიკს ფილტრაციის სერვერზე, რომელმაც უნდა გააანალიზოს მთელი ნაკადი და, თუ რაიმე ცუდი აღმოაჩინა, გაგზავნოს RST ორივე მიმართულებით (გამგზავნი და მიმღები).

თუმცა, რაც უფრო მეტი ტრეფიკია, მით ნაკლებია ეს სქემა. თუ დამუშავების ოდნავი შეფერხება იქნება, სარკისებური ტრაფიკი უბრალოდ შეუმჩნევლად გაფრინდება და პროვაიდერი მიიღებს ჯარიმის ანგარიშს.

სულ უფრო მეტი პროვაიდერი იძულებულია დააინსტალიროს სხვადასხვა ხარისხის საიმედოობის DPI სისტემები მაგისტრალებზე.

ერთი-ორი წლის წინ ჭორების თანახმად, თითქმის ყველა FSB-მ დაიწყო აღჭურვილობის რეალური დაყენების მოთხოვნა SORM (ადრე პროვაიდერების უმეტესობა მართავდა ხელისუფლების თანხმობით SORM გეგმა - ოპერატიული ღონისძიებების გეგმა სადმე რაღაცის პოვნის აუცილებლობის შემთხვევაში)

ფულის გარდა (ზუსტად არა გადაჭარბებული, მაგრამ მაინც მილიონები), SORM მოითხოვდა კიდევ ბევრ მანიპულაციას ქსელთან.

• SORM უნდა ნახოს "ნაცრისფერი" მომხმარებლის მისამართები nat თარგმნამდე
• SORM-ს აქვს ქსელური ინტერფეისების შეზღუდული რაოდენობა

ამიტომ, კერძოდ, ჩვენ გვქონდა დიდად აღვადგინეთ ბირთვის ნაწილი - უბრალოდ, რათა შეგვეგროვებინა მომხმარებლის ტრაფიკი წვდომის სერვერებზე სადღაც ერთ ადგილას. იმისათვის, რომ SORM-ში რამდენიმე ბმული ასახოთ.

ანუ ძალიან გამარტივებული იყო (მარცხნივ) vs გახდა (მარჯვნივ):

ახლა პროვაიდერების უმეტესობა ასევე მოითხოვს SORM-3-ის განხორციელებას - რომელიც, სხვა საკითხებთან ერთად, მოიცავს nat-ის მაუწყებლობის აღრიცხვას.

ამ მიზნებისათვის, ჩვენ ასევე მოგვიწია NAT-ის ცალკე აღჭურვილობის დამატება ზემოთ მოცემულ დიაგრამაზე (ზუსტად რა არის განხილული პირველ ნაწილში). უფრო მეტიც, დაამატეთ გარკვეული თანმიმდევრობით: ვინაიდან SORM-მა უნდა „ნახოს“ ტრაფიკი მისამართების თარგმნამდე, ტრაფიკი მკაცრად უნდა წარიმართოს შემდეგნაირად: მომხმარებლები -> გადართვა, ბირთვი -> წვდომის სერვერები -> SORM -> NAT -> გადართვა, ბირთვი - > ინტერნეტი. ამისათვის ჩვენ მოგვიწია ტრაფიკის ნაკადების ფაქტიურად „გადაბრუნება“ მოგების მიზნით, რაც ასევე საკმაოდ რთული იყო.

შეჯამება: ბოლო ათი წლის განმავლობაში, საშუალო პროვაიდერის ძირითადი დიზაინი მრავალჯერ უფრო რთული გახდა და უკმარისობის დამატებითი წერტილები (როგორც აღჭურვილობის სახით, ასევე ერთი გადართვის ხაზების სახით) მნიშვნელოვნად გაიზარდა. სინამდვილეში, „ყველაფრის დანახვის“ მოთხოვნა გულისხმობს ამ „ყველაფრის“ ერთ წერტილამდე შემცირებას.

მე ვფიქრობ, რომ ეს შეიძლება საკმაოდ გამჭვირვალე იყოს ექსტრაპოლირებული მიმდინარე ინიციატივებზე Runet-ის სუვერენიზაციის, დაცვის, სტაბილიზაციისა და გაუმჯობესების შესახებ :)

და იაროვაია ჯერ კიდევ წინ არის.

წყარო: www.habr.com