의견에 대한 자세한 답변과 러시아 연방 제공자의 삶에 대한 약간의 설명

이 게시물에 대한 메시지를 표시했습니다. 이게 댓글이야.

나는 여기에 그것을 인용한다:

케일맨 오늘 18에서 : 53

오늘 제공자에게 만족했습니다. 사이트 차단 시스템 업데이트와 함께 그의 메일러인 mail.ru도 금지됐고, 아침부터 기술 지원팀에 전화했지만 아무것도 할 수가 없습니다. 공급자는 규모가 작고 상위 공급자가 이를 차단합니다. 또한 모든 사이트의 개방 속도가 느려지는 것을 발견했습니다. 어쩌면 일종의 비뚤어진 DLP를 설치했을 수도 있습니다. 이전에는 액세스에 문제가 없었습니다. RuNet의 파괴가 눈앞에서 일어나고 있다...

사실 우리는 동일한 공급자인 것 같습니다 :)

그리고 실제로 케일맨 나는 mail.ru 문제의 원인을 거의 추측했습니다 (우리는 오랫동안 그런 것을 믿지 않았지만).

다음 내용은 두 부분으로 나뉩니다.

1. 현재 mail.ru에 문제가 있는 이유와 이를 찾기 위한 흥미진진한 탐구
2. 오늘날의 현실에서 ISP의 존재, 주권 RuNet의 안정성.

mail.ru의 접근성 문제

아, 이야기가 꽤 깁니다.

사실 우리는 국가의 요구 사항(자세한 내용은 두 번째 부분 참조)을 구현하기 위해 금지된 리소스를 필터링하고 구현하기 위해 일부 장비를 구입, 구성 및 설치했습니다. NAT 번역 가입자.

얼마 전 우리는 마침내 모든 가입자 트래픽이 이 장비를 올바른 방향으로 통과하도록 네트워크 코어를 재구축했습니다.

며칠 전 우리는 금지된 필터링을 켰습니다(이전 시스템은 작동하는 동안). 모든 것이 잘 진행되는 것 같았습니다.

다음으로 그들은 가입자의 다양한 부분을 위해 이 장비에서 NAT를 점차적으로 활성화하기 시작했습니다. 겉보기에는 모든 일이 잘 진행되는 것 같았습니다.

하지만 오늘 다음 가입자를 위해 장비에서 NAT를 활성화한 후 바로 아침부터 사용할 수 없거나 부분적으로 사용할 수 없다는 불만이 꽤 많이 접수되었습니다. mail.ru 및 기타 Mail Ru 그룹 리소스.

그들은 확인하기 시작했습니다. 어딘가에 뭔가 때로는, 때때로 보낸다 TCP RST mail.ru 네트워크에 대한 요청에만 응답합니다. 더욱이 이는 잘못 생성된(ACK 없이) 명백히 인공적인 TCP RST를 보냅니다. 그 모습은 다음과 같습니다.

당연히 첫 번째 생각은 새로운 장비에 대한 것이었습니다. 끔찍한 DPI, 신뢰가 없으며 그것이 무엇을 할 수 있는지 결코 알 수 없습니다. 결국 TCP RST는 차단 도구 중에서 상당히 흔한 것입니다.

추정 케일맨 우리는 또한 "상위"가 필터링하고 있다는 생각을 내놓았지만 즉시 폐기했습니다.

첫째, 우리는 이런 어려움을 겪지 않아도 될 만큼 충분히 건전한 업링크를 가지고 있습니다 :)

둘째, 우리는 여러 사람들과 연결되어 있습니다 IX 모스크바에서는 mail.ru로의 트래픽이 이를 통과하며 트래픽을 필터링할 책임도 없고 다른 동기도 없습니다.

하루의 다음 반은 일반적으로 샤머니즘이라고 불리는 것에 소비되었습니다. 장비 공급업체와 함께 우리는 그들에게 감사를 표했지만 그들은 포기하지 않았습니다 :)

• 필터링이 완전히 비활성화되었습니다
• NAT가 새 구성표를 사용하여 비활성화되었습니다.
• 테스트 PC는 별도의 격리된 풀에 배치되었습니다.
• IP 주소가 변경되었습니다.

오후에는 일반 사용자의 방식에 따라 네트워크에 연결된 가상 머신이 할당되었고 공급업체 담당자에게 해당 머신과 장비에 대한 액세스 권한이 부여되었습니다. 샤머니즘은 계속됐다 :)

결국 공급업체 담당자는 하드웨어는 하드웨어와 전혀 관련이 없으며 첫 번째 제품은 더 높은 곳에서 나온 것이라고 자신있게 말했습니다.

주의이 시점에서 누군가 다음과 같이 말할 수 있습니다. 하지만 테스트 PC가 아닌 DPI 위의 고속도로에서 덤프를 가져오는 것이 훨씬 쉬웠습니까?

아니요, 안타깝게도 40Gbps 이상으로 덤프(및 미러링만)하는 것은 전혀 사소한 일이 아닙니다.

그 후 저녁에는 위 어딘가에서 이상한 여과 가정으로 돌아가는 것 외에는 할 일이 없었습니다.

MRG 네트워크에 대한 트래픽이 현재 통과하고 있는 IX를 살펴보고 이에 대한 bgp 세션을 취소했습니다. 그리고 - 보라! - 모든 것이 즉시 정상으로 돌아왔습니다 🙁

한편으로는 XNUMX분 만에 해결됐음에도 불구하고 문제를 찾는 데 하루 종일 소비한 것이 아쉽다.

반면에 :

— 내 기억으로는 이것은 전례가 없는 일이었습니다. 위에서 이미 썼듯이 - IX 정말로 대중교통을 필터링하는 것은 의미가 없습니다. 일반적으로 초당 수백 기가비트/테라비트를 갖습니다. 최근까지는 이런 일을 진지하게 상상할 수 없었습니다.

— 믿을 수 없을 정도로 운이 좋은 우연의 일치: 특별히 신뢰할 수 없고 무엇을 기대할 수 있는지 명확하지 않은 새로운 복잡한 하드웨어 — TCP RST를 포함하여 리소스 차단을 위해 특별히 맞춤화되었습니다.

본 인터넷 거래소의 NOC는 현재 문제를 찾고 있습니다. 그들에 따르면(그리고 나는 믿습니다) 특별히 배치된 여과 시스템이 없습니다. 하지만 다행스럽게도 추가 탐구는 더 이상 우리의 문제가 아닙니다 :)

제 자신을 정당화하기 위한 작은 시도였으니 이해해주시고 용서해주세요 :)

추신: 저는 의도적으로 DPI/NAT 또는 IX 제조업체의 이름을 밝히지 않습니다. (사실 특별한 불만 사항도 없습니다. 가장 중요한 것은 그것이 무엇인지 이해하는 것입니다.)

인터넷 제공자의 관점에서 본 오늘(어제, 그제뿐 아니라)의 현실

저는 지난 몇 주 동안 네트워크의 핵심을 재구축하고 "이익을 위해" 여러 가지 조작을 수행하면서 실제 사용자 트래픽에 심각한 영향을 미칠 위험을 감수했습니다. 이 모든 것의 목표, 결과 및 결과를 고려하면 도덕적으로 모두 매우 어렵습니다. 특히 - 룬넷의 안정성, 주권 수호 등에 관한 아름다운 연설을 다시 한 번 듣습니다. 등등.

이 섹션에서는 지난 XNUMX년 동안 일반적인 ISP의 네트워크 코어의 "진화"를 설명하려고 합니다.

XNUMX년 전.

그 축복받은 시대에 공급자 네트워크의 핵심은 교통 체증만큼 간단하고 안정적일 수 있습니다.

매우 단순화된 이 그림에는 트렁크, 링, ip/mpls 라우팅이 없습니다.

그 본질은 사용자 트래픽이 궁극적으로 커널 수준 전환으로 왔다는 것입니다. BNG, 일반적으로 코어 스위칭으로 돌아가서 "아웃" - 하나 이상의 경계 게이트웨이를 통해 인터넷으로 연결됩니다.

이러한 방식은 L3(동적 라우팅)과 L2(MPLS) 모두에서 예약하기가 매우 쉽습니다.

액세스 서버, 스위치, 경계 등 무엇이든 N+1개 설치할 수 있으며 어떤 방식으로든 자동 장애 조치를 위해 예약할 수 있습니다.

몇 년 후 더 이상 이렇게 사는 것이 불가능하다는 것이 러시아의 모든 사람들에게 분명해졌습니다. 인터넷의 유해한 영향으로부터 어린이를 보호하는 것이 시급했습니다.

사용자 트래픽을 필터링할 방법을 찾는 것이 시급했습니다.

여기에는 다양한 접근 방식이 있습니다.

그다지 좋지 않은 경우에는 사용자 트래픽과 인터넷 사이에 "간극"이 발생합니다. 이 "무언가"를 통과하는 트래픽이 분석되고, 예를 들어 리디렉션이 포함된 가짜 패킷이 가입자에게 전송됩니다.

약간 더 나은 경우(트래픽 볼륨이 허용되는 경우)에는 귀로 작은 트릭을 수행할 수 있습니다. 사용자로부터 발생하는 트래픽만 필터링해야 하는 주소로만 필터링하도록 보냅니다. 이를 수행하려면 IP 주소를 가져오거나 레지스트리에서 지정하거나 레지스트리의 기존 도메인을 추가로 확인합니다.

한때 저는 이러한 목적을 위해 간단한 글을 썼습니다. 미니 dpi -감히 그를 그렇게 부르지는 못하지만. 이는 매우 간단하고 그다지 생산적이지는 않습니다. 그러나 이를 통해 우리와 수십(수백 개는 아닐지라도)의 다른 공급업체가 산업용 DPI 시스템에 즉시 수백만 달러를 투자하지 않고 몇 년의 추가 시간을 제공할 수 있었습니다.

그런데 당시와 현재의 DPI에 대해서그런데 당시 시중에 나와 있는 DPI 시스템을 구입한 사람들 중 상당수는 이미 해당 시스템을 버린 상태였습니다. 글쎄, 그들은 수십만 개의 주소, 수만 개의 URL을 위해 설계되지 않았습니다.

동시에 국내 생산업체들도 이 시장에 매우 강력하게 진출했습니다. 저는 하드웨어 구성 요소에 대해 말하는 것이 아닙니다. 여기 있는 모든 사람에게 모든 것이 명확하지만 DPI가 가지고 있는 가장 중요한 소프트웨어는 아마도 세계에서 가장 발전된 것은 아니지만 오늘날 아마도 a) 비약적으로 발전하고 있습니다. b) 박스형 제품 가격 - 외국 경쟁사와 비교할 수 없습니다.

자랑스러워하고 싶지만 조금 슬프네요 =)

이제 모든 것이 다음과 같이 보였습니다.

몇 년만 더 지나면 모든 사람에게는 이미 감사자가 있었습니다. 레지스트리에는 점점 더 많은 리소스가 있었습니다. 일부 구형 장비(예: Cisco 7600)의 경우 "사이드 필터링" 방식이 적용되지 않게 되었습니다. 76개 플랫폼의 경로 수는 약 4만 개로 제한되어 있는 반면, 현재 IPv800 경로 수만 6개에 육박합니다. 천. 그리고 IPv900000도 있다면... 게다가... 얼마인가요? RKN 금지에 XNUMX개의 개인 주소가 있습니까? =)

누군가가 모든 백본 트래픽을 필터링 서버로 미러링하는 방식으로 전환했습니다. 필터링 서버는 전체 흐름을 분석하고 잘못된 내용이 발견되면 양방향(발신자와 수신자)으로 RST를 보냅니다.

그러나 트래픽이 많을수록 이 체계의 적용 가능성은 낮아집니다. 처리가 조금이라도 지연되면 미러링된 트래픽은 눈에 띄지 않게 지나가고 공급자는 좋은 보고서를 받게 됩니다.

점점 더 많은 서비스 제공업체가 고속도로 전반에 걸쳐 다양한 수준의 신뢰성을 갖춘 DPI 시스템을 설치해야 합니다.

XNUMX~XNUMX년 전 소문에 따르면 거의 모든 FSB가 실제 장비 설치를 요구하기 시작했습니다. SORM (이전에는 대부분의 공급자가 당국의 승인을 받아 관리되었습니다. SORM 계획 - 어딘가에서 무언가를 찾아야 할 경우의 운영 조치 계획)

SORM에는 돈(엄청난 금액은 아니지만 여전히 수백만 달러) 외에도 네트워크에 대한 더 많은 조작이 필요했습니다.

• SORM은 NAT 변환 전에 "회색" 사용자 주소를 확인해야 합니다.
• SORM에는 네트워크 인터페이스 수가 제한되어 있습니다.

따라서 특히 우리는 한 곳의 액세스 서버에 대한 사용자 트래픽을 수집하기 위해 커널의 일부를 대대적으로 재구축해야 했습니다. 여러 링크를 사용하여 SORM에 미러링하기 위해.

즉, 매우 단순화되었습니다. (왼쪽)과 변경됨(오른쪽)입니다.

지금 또한 대부분의 공급자는 SORM-3 구현을 요구합니다. 여기에는 무엇보다도 NAT 브로드캐스트 로깅이 포함됩니다.

이러한 목적을 위해 우리는 위 다이어그램에 NAT용 별도 장비도 추가해야 했습니다(정확히 첫 번째 부분에서 논의한 내용). 게다가 특정 순서로 추가하세요. SORM은 주소를 변환하기 전에 트래픽을 "보아야" 하기 때문에 트래픽은 엄격하게 다음과 같이 진행되어야 합니다: 사용자 -> 스위칭, 커널 -> 서버 액세스 -> SORM -> NAT -> 스위칭, 커널 - > 인터넷. 이를 위해 우리는 이익을 위해 문자 그대로 교통 흐름을 다른 방향으로 "전환"해야 했는데, 이 역시 상당히 어려웠습니다.

요약하자면, 지난 XNUMX년 동안 일반 공급자의 핵심 설계는 몇 배 더 복잡해졌고 추가 장애 지점(장비 형태와 단일 스위칭 라인 형태 모두)이 크게 증가했습니다. 실제로 "모든 것을 보라"는 요구 사항은 이 "모든 것"을 한 지점으로 축소하는 것을 의미합니다.

나는 이것이 Runet의 주권화, 보호, 안정화 및 개선을 위한 현재 이니셔티브에 매우 투명하게 추론될 수 있다고 생각합니다 :)

그리고 Yarovaya는 여전히 앞서 있습니다.

출처 : habr.com