Yandex អនុវត្ត RPKI

សួស្តី ខ្ញុំឈ្មោះ Alexander Azimov ។ នៅ Yandex ខ្ញុំបង្កើតប្រព័ន្ធត្រួតពិនិត្យផ្សេងៗ ក៏ដូចជាស្ថាបត្យកម្មបណ្តាញដឹកជញ្ជូន។ ប៉ុន្តែថ្ងៃនេះយើងនឹងនិយាយអំពីពិធីការ BGP ។

មួយសប្តាហ៍មុន Yandex បានបើកដំណើរការ ROV (Route Origin Validation) នៅចំណុចប្រទាក់ជាមួយដៃគូសហការទាំងអស់ ក៏ដូចជាចំណុចផ្លាស់ប្តូរចរាចរណ៍ផងដែរ។ សូមអានខាងក្រោមអំពីមូលហេតុដែលវាត្រូវបានធ្វើ និងរបៀបដែលវានឹងប៉ះពាល់ដល់អន្តរកម្មជាមួយប្រតិបត្តិករទូរគមនាគមន៍។

BGP និងអ្វីដែលខុសជាមួយវា។

អ្នកប្រហែលជាដឹងថា BGP ត្រូវបានរចនាឡើងជាពិធីការនាំផ្លូវអន្តរដែន។ ទោះយ៉ាងណាក៏ដោយ នៅតាមផ្លូវ ចំនួននៃករណីប្រើប្រាស់បានគ្រប់គ្រងកើនឡើង៖ សព្វថ្ងៃនេះ BGP អរគុណចំពោះផ្នែកបន្ថែមជាច្រើនបានប្រែក្លាយទៅជារថយន្តក្រុងសារ ដែលគ្របដណ្តប់កិច្ចការពីប្រតិបត្តិករ VPN ទៅ SD-WAN ទាន់សម័យ ហើយថែមទាំងបានរកឃើញកម្មវិធីដូចជា ការដឹកជញ្ជូនសម្រាប់ឧបករណ៍បញ្ជាដូច SDN ដោយបង្វែរវ៉ិចទ័រចម្ងាយ BGP ទៅជាអ្វីដែលស្រដៀងនឹងតំណភ្ជាប់ពិធីការ។

រូប។ 1 ។ BGP SAFI

ហេតុអ្វីបានជា BGP បានទទួល (និងបន្តទទួលបាន) ការប្រើប្រាស់ច្រើនដូច្នេះ? មានមូលហេតុចម្បងពីរ៖

• BGP គឺជាពិធីការតែមួយគត់ដែលដំណើរការរវាងប្រព័ន្ធស្វយ័ត (AS);
• BGP គាំទ្រគុណលក្ខណៈក្នុងទម្រង់ TLV (type-length-value) ។ បាទ/ចាស ពិធីការមិនមែនតែម្នាក់ឯងនៅក្នុងរឿងនេះទេ ប៉ុន្តែដោយសារមិនមានអ្វីជំនួសវានៅចំណុចប្រសព្វរវាងប្រតិបត្តិករទូរគមនាគមន៍ វាតែងតែទទួលបានផលចំណេញច្រើនក្នុងការភ្ជាប់ធាតុមុខងារផ្សេងទៀតទៅវា ជាជាងគាំទ្រពិធីការផ្លូវបន្ថែម។

តើគាត់មានបញ្ហាអ្វី? សរុបមក ពិធីការមិនមានយន្តការដែលភ្ជាប់មកជាមួយសម្រាប់ត្រួតពិនិត្យភាពត្រឹមត្រូវនៃព័ត៌មានដែលទទួលបាននោះទេ។ នោះគឺ BGP គឺជាពិធីការការជឿទុកចិត្តជាមុន៖ ប្រសិនបើអ្នកចង់ប្រាប់ពិភពលោកថាឥឡូវនេះអ្នកជាម្ចាស់បណ្តាញ Rostelecom, MTS ឬ Yandex សូម!

តម្រងផ្អែកលើ IRRDB - ល្អបំផុតនៃអាក្រក់បំផុត។

សំណួរកើតឡើង៖ ហេតុអ្វីបានជាអ៊ីនធឺណិតនៅតែដំណើរការក្នុងស្ថានភាពបែបនេះ? បាទ / ចាស វាដំណើរការភាគច្រើន ប៉ុន្តែក្នុងពេលជាមួយគ្នានេះ វាផ្ទុះឡើងជាបន្តបន្ទាប់ ដែលធ្វើឲ្យផ្នែកជាតិទាំងមូលមិនអាចចូលដំណើរការបាន។ ទោះបីជាសកម្មភាពរបស់ពួក Hacker នៅក្នុង BGP ក៏កំពុងកើនឡើងក៏ដោយ ប៉ុន្តែភាពមិនប្រក្រតីភាគច្រើននៅតែបណ្តាលមកពីកំហុស។ ឧទាហរណ៍នៃឆ្នាំនេះ កំហុសប្រតិបត្តិករតូច នៅប្រទេសបេឡារុស្ស ដែលធ្វើអោយផ្នែកសំខាន់នៃអ៊ីនធឺណែតមិនអាចចូលប្រើបានដល់អ្នកប្រើប្រាស់ MegaFon អស់រយៈពេលកន្លះម៉ោង។ ឧទាហរណ៍មួយទៀត - កម្មវិធីបង្កើនប្រសិទ្ធភាព BGP ឆ្កួត បានបំបែកបណ្តាញ CDN ដ៏ធំបំផុតមួយនៅក្នុងពិភពលោក។

អង្ករ។ 2. ការស្ទាក់ចាប់ចរាចរណ៍ Cloudflare

ប៉ុន្តែនៅតែហេតុអ្វីបានជាភាពមិនប្រក្រតីបែបនេះកើតឡើងរៀងរាល់ប្រាំមួយខែម្តង ហើយមិនមែនជារៀងរាល់ថ្ងៃ? ដោយសារតែក្រុមហ៊ុនដឹកជញ្ជូនប្រើមូលដ្ឋានទិន្នន័យខាងក្រៅនៃព័ត៌មានផ្លូវដើម្បីផ្ទៀងផ្ទាត់អ្វីដែលពួកគេទទួលបានពីអ្នកជិតខាង BGP ។ មានមូលដ្ឋានទិន្នន័យបែបនេះជាច្រើន ដែលមួយចំនួនត្រូវបានគ្រប់គ្រងដោយអ្នកចុះឈ្មោះ (RIPE, APNIC, ARIN, AFRINIC) ខ្លះជាអ្នកលេងឯករាជ្យ (ល្បីបំផុតគឺ RADB) ហើយក៏មានសំណុំនៃអ្នកចុះឈ្មោះទាំងមូលគ្រប់គ្រងដោយក្រុមហ៊ុនធំៗផងដែរ (កម្រិត 3 , NTT ។ល។)។ វាគឺជាការអរគុណចំពោះមូលដ្ឋានទិន្នន័យទាំងនេះដែលការនាំផ្លូវអន្តរដែនរក្សាស្ថេរភាពដែលទាក់ទងនៃប្រតិបត្តិការរបស់វា។

ទោះយ៉ាងណាក៏ដោយមាន nuances ។ ព័ត៌មានអំពីផ្លូវត្រូវបានពិនិត្យដោយផ្អែកលើវត្ថុ ROUTE-OBJECTS និង AS-SET ។ ហើយប្រសិនបើដំបូងបង្កប់ន័យការអនុញ្ញាតសម្រាប់ផ្នែកនៃ IRRDB នោះសម្រាប់ថ្នាក់ទីពីរមិនមានការអនុញ្ញាតជាថ្នាក់ទេ។ នោះគឺនរណាម្នាក់អាចបន្ថែមនរណាម្នាក់ទៅក្នុងសំណុំរបស់ពួកគេ ហើយដោយហេតុនេះឆ្លងកាត់តម្រងនៃអ្នកផ្តល់សេវាខាងលើ។ លើសពីនេះទៅទៀត ភាពប្លែកនៃការដាក់ឈ្មោះ AS-SET រវាងមូលដ្ឋាន IRR ផ្សេងៗគ្នាមិនត្រូវបានធានាដែលអាចនាំឱ្យមានផលប៉ះពាល់គួរឱ្យភ្ញាក់ផ្អើលជាមួយនឹងការបាត់បង់ការតភ្ជាប់ភ្លាមៗសម្រាប់ប្រតិបត្តិករទូរគមនាគមន៍ ដែលសម្រាប់ផ្នែករបស់គាត់មិនបានផ្លាស់ប្តូរអ្វីទាំងអស់។

បញ្ហាប្រឈមមួយបន្ថែមទៀតគឺគំរូនៃការប្រើប្រាស់ AS-SET ។ មានពីរចំណុចនៅទីនេះ៖

• នៅពេលដែលប្រតិបត្តិករទទួលបានអតិថិជនថ្មី វាបន្ថែមវាទៅ AS-SET របស់វា ប៉ុន្តែស្ទើរតែមិនដែលដកវាចេញ។
• តម្រងខ្លួនឯងត្រូវបានកំណត់រចនាសម្ព័ន្ធតែនៅចំណុចប្រទាក់ជាមួយអតិថិជនប៉ុណ្ណោះ។

ជាលទ្ធផល ទម្រង់ទំនើបនៃតម្រង BGP រួមមានតម្រងដែលបន្ទាបបន្ថោកបន្តិចម្ដងៗនៅចំណុចប្រទាក់ជាមួយអតិថិជន និងការជឿទុកចិត្តជាមុនលើអ្វីដែលបានមកពីដៃគូសហការ និងអ្នកផ្តល់សេវាឆ្លងកាត់ IP ។

តើអ្វីជាការជំនួសតម្រងបុព្វបទដោយផ្អែកលើ AS-SET? អ្វីដែលគួរឱ្យចាប់អារម្មណ៍បំផុតនោះគឺថាក្នុងរយៈពេលខ្លី - គ្មានអ្វីសោះ។ ប៉ុន្តែយន្តការបន្ថែមកំពុងលេចឡើងដែលបំពេញបន្ថែមការងាររបស់តម្រងដែលមានមូលដ្ឋានលើ IRRDB ហើយជាដំបូង នេះជាការពិត RPKI ។

RPKI

នៅក្នុងវិធីសាមញ្ញមួយ ស្ថាបត្យកម្ម RPKI អាចត្រូវបានគិតថាជាមូលដ្ឋានទិន្នន័យចែកចាយដែលកំណត់ត្រាអាចត្រូវបានផ្ទៀងផ្ទាត់ដោយសម្ងាត់។ ក្នុងករណី ROA (Route Object Authorization) អ្នកចុះហត្ថលេខាគឺជាម្ចាស់នៃទំហំអាសយដ្ឋាន ហើយកំណត់ត្រាខ្លួនវាគឺបីដង (បុព្វបទ asn, max_length)។ សំខាន់ ធាតុនេះកំណត់ដូចខាងក្រោម៖ ម្ចាស់នៃ $prefix address space បានផ្តល់សិទ្ធិឱ្យលេខ AS $asn ដើម្បីផ្សព្វផ្សាយបុព្វបទដែលមានប្រវែងមិនធំជាង $max_length។ ហើយរ៉ោតទ័រដោយប្រើឃ្លាំងសម្ងាត់ RPKI អាចពិនិត្យមើលគូសម្រាប់ការអនុលោម បុព្វបទ - វាគ្មិនដំបូងនៅតាមផ្លូវ.

រូបភាពទី 3. ស្ថាបត្យកម្ម RPKI

វត្ថុ ROA ត្រូវ​បាន​ធ្វើ​ជា​ស្តង់ដារ​អស់​រយៈ​ពេល​ជា​យូរ​មក​ហើយ ប៉ុន្តែ​រហូត​មក​ដល់​ពេល​ថ្មីៗ​នេះ ពួក​វា​ពិត​ជា​នៅ​តែ​មាន​នៅ​លើ​ក្រដាស​ក្នុង​ទិនានុប្បវត្តិ IETF ប៉ុណ្ណោះ។ នៅក្នុងគំនិតរបស់ខ្ញុំហេតុផលសម្រាប់រឿងនេះស្តាប់ទៅគួរឱ្យខ្លាច - ទីផ្សារមិនល្អ។ បន្ទាប់ពីការធ្វើស្តង់ដារត្រូវបានបញ្ចប់ ការលើកទឹកចិត្តគឺថា ROA ការពារប្រឆាំងនឹងការលួច BGP ដែលមិនមែនជាការពិត។ អ្នកវាយប្រហារអាចឆ្លងកាត់តម្រងដែលមានមូលដ្ឋានលើ ROA បានយ៉ាងងាយស្រួលដោយបញ្ចូលលេខ AC ត្រឹមត្រូវនៅដើមផ្លូវ។ ហើយភ្លាមៗនៅពេលដែលការសម្រេចនេះបានមកដល់ ជំហានឡូជីខលបន្ទាប់គឺត្រូវបោះបង់ចោលការប្រើប្រាស់ ROA ។ ហើយជាការពិត ហេតុអ្វីបានជាយើងត្រូវការបច្ចេកវិទ្យា ប្រសិនបើវាមិនដំណើរការ?

ហេតុ​អ្វី​បាន​ជា​ដល់​ពេល​ត្រូវ​ប្ដូរ​ចិត្ត? ព្រោះនេះមិនមែនជាការពិតទាំងស្រុងនោះទេ។ ROA មិនការពារប្រឆាំងនឹងសកម្មភាពរបស់ពួក Hacker នៅក្នុង BGP ប៉ុន្តែ ការពារប្រឆាំងនឹងការលួចចរាចរដោយចៃដន្យឧទាហរណ៍ពីការលេចធ្លាយឋិតិវន្តនៅក្នុង BGP ដែលកាន់តែជារឿងធម្មតា។ ដូចគ្នានេះផងដែរ មិនដូចតម្រងដែលមានមូលដ្ឋានលើ IRR ទេ ROV អាចត្រូវបានប្រើមិនត្រឹមតែនៅចំណុចប្រទាក់ជាមួយអតិថិជនប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងនៅចំណុចប្រទាក់ជាមួយមិត្តភ័ក្តិ និងអ្នកផ្តល់ចរន្តផងដែរ។ នោះគឺរួមជាមួយនឹងការណែនាំរបស់ RPKI ការជឿទុកចិត្តលើអាទិភាពកំពុងបាត់បន្តិចម្តងៗពី BGP ។

ឥឡូវនេះ ការពិនិត្យមើលផ្លូវដែលផ្អែកលើ ROA កំពុងត្រូវបានអនុវត្តជាបណ្តើរៗដោយអ្នកលេងសំខាន់ៗ៖ អ៊ឺរ៉ុប IX ដ៏ធំបំផុតកំពុងបោះចោលផ្លូវដែលមិនត្រឹមត្រូវរួចហើយក្នុងចំណោមប្រតិបត្តិករលំដាប់ថ្នាក់ 1 វាមានតម្លៃក្នុងការរំលេច AT&T ដែលបានបើកដំណើរការតម្រងនៅចំណុចប្រទាក់ជាមួយដៃគូសហការរបស់ខ្លួន។ អ្នកផ្តល់មាតិកាធំជាងគេក៏កំពុងខិតជិតគម្រោងនេះដែរ។ ហើយប្រតិបត្តិករដឹកជញ្ជូនខ្នាតមធ្យមរាប់សិបនាក់បានអនុវត្តវាដោយស្ងៀមស្ងាត់ ដោយមិនបានប្រាប់នរណាម្នាក់អំពីវាឡើយ។ ហេតុអ្វីបានជាប្រតិបត្តិករទាំងអស់នេះអនុវត្ត RPKI? ចម្លើយគឺសាមញ្ញ៖ ដើម្បីការពារចរាចរណ៍ចេញរបស់អ្នកពីកំហុសរបស់អ្នកដទៃ។ នោះហើយជាមូលហេតុដែល Yandex គឺជាក្រុមហ៊ុនមួយក្នុងចំណោមក្រុមហ៊ុនដំបូងគេនៅក្នុងសហព័ន្ធរុស្ស៊ីដែលរួមបញ្ចូល ROV នៅគែមនៃបណ្តាញរបស់ខ្លួន។

តើនឹងមានអ្វីកើតឡើងបន្ទាប់?

ឥឡូវនេះ យើងបានបើកការពិនិត្យមើលព័ត៌មានផ្លូវនៅចំណុចប្រទាក់ដែលមានចំណុចផ្លាស់ប្តូរចរាចរណ៍ និងការភ្ជាប់ឯកជន។ នៅពេលអនាគតដ៏ខ្លី ការផ្ទៀងផ្ទាត់ក៏នឹងត្រូវបានបើកដំណើរការជាមួយអ្នកផ្តល់សេវាចរាចរណ៍ខាងលើផងដែរ។

តើ​នេះ​ផ្តល់​ភាព​ខុស​គ្នា​អ្វី​ដល់​អ្នក? ប្រសិនបើអ្នកចង់បង្កើនសុវត្ថិភាពនៃចរាចរណ៍ផ្លូវរវាងបណ្តាញរបស់អ្នក និង Yandex យើងសូមណែនាំ៖

• ចុះហត្ថលេខាលើលំហអាសយដ្ឋានរបស់អ្នក។ នៅក្នុងវិបផតថល RIPE - វាសាមញ្ញចំណាយពេល 5-10 នាទីជាមធ្យម។ វា​នឹង​ការពារ​ការ​តភ្ជាប់​របស់​យើង​នៅ​ក្នុង​ព្រឹត្តិការណ៍​ដែល​មាន​នរណា​ម្នាក់​លួច​លំហ​អាសយដ្ឋាន​របស់​អ្នក​ដោយ​មិន​ដឹង​ខ្លួន (ហើយ​វា​នឹង​ពិត​ជា​កើត​ឡើង​មិន​យូរ​មិន​ឆាប់);
• ដំឡើងឃ្លាំងសម្ងាត់ RPKI ប្រភពបើកចំហមួយ (ripe-validator, រ៉ោតទ័រ) និងបើកដំណើរការពិនិត្យផ្លូវនៅព្រំដែនបណ្តាញ - វានឹងចំណាយពេលច្រើនទៀត ប៉ុន្តែម្តងទៀត វានឹងមិនបង្កឱ្យមានការលំបាកផ្នែកបច្ចេកទេសណាមួយឡើយ។

Yandex ក៏គាំទ្រការអភិវឌ្ឍន៍ប្រព័ន្ធតម្រងដោយផ្អែកលើវត្ថុ RPKI ថ្មី - អាស្ប៉ា (ការអនុញ្ញាតពីអ្នកផ្តល់ប្រព័ន្ធស្វយ័ត)។ តម្រងផ្អែកលើវត្ថុ ASPA និង ROA មិនត្រឹមតែអាចជំនួស AS-SETs "លេចធ្លាយ" ប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងបិទបញ្ហានៃការវាយប្រហាររបស់ MiTM ដោយប្រើ BGP ផងដែរ។

ខ្ញុំនឹងនិយាយលម្អិតអំពី ASPA ក្នុងរយៈពេលមួយខែនៅឯសន្និសីទ Next Hop ។ សហសេវិកមកពី Netflix, Facebook, Dropbox, Juniper, Mellanox និង Yandex ក៏នឹងនិយាយនៅទីនោះផងដែរ។ ប្រសិនបើអ្នកចាប់អារម្មណ៍លើបណ្តាញជង់ និងការអភិវឌ្ឍន៍របស់វានាពេលអនាគត សូមមក ការចុះឈ្មោះត្រូវបានបើក.

ប្រភព: www.habr.com