ທຸກສິ່ງທຸກຢ່າງແມ່ນບໍ່ດີຫຼາຍຫຼືປະເພດໃຫມ່ຂອງການຂັດຂວາງການຈະລາຈອນ

ວັນທີ 13 ມີນາເຖິງຄະນະປະຕິບັດງານຕ້ານການລ່ວງລະເມີດ RIPE ໄດ້ຮັບຂໍ້ສະເໜີແລ້ວ ພິຈາລະນາ BGP hijacking (hjjack) ເປັນການລະເມີດນະໂຍບາຍ RIPE. ຖ້າການສະເຫນີໄດ້ຮັບການຍອມຮັບ, ຜູ້ໃຫ້ບໍລິການອິນເຕີເນັດທີ່ຖືກໂຈມຕີໂດຍການຂັດຂວາງການຈະລາຈອນຈະມີໂອກາດທີ່ຈະສົ່ງຄໍາຮ້ອງຂໍພິເສດເພື່ອເປີດເຜີຍຜູ້ໂຈມຕີ. ຖ້າທີມງານທົບທວນເກັບກໍາຫຼັກຖານສະຫນັບສະຫນູນພຽງພໍ, LIR ທີ່ເປັນແຫຼ່ງຂອງການຂັດຂວາງ BGP ຈະຖືກຖືວ່າເປັນຜູ້ບຸກລຸກແລະສາມາດຖືກຖອດອອກຈາກສະຖານະພາບ LIR ຂອງມັນ. ຍັງມີການໂຕ້ຖຽງບາງຢ່າງ ຕ້ານນີ້ ການປ່ຽນແປງ.

ໃນສິ່ງພິມນີ້ພວກເຮົາຕ້ອງການສະແດງຕົວຢ່າງຂອງການໂຈມຕີທີ່ບໍ່ພຽງແຕ່ຜູ້ໂຈມຕີທີ່ແທ້ຈິງຢູ່ໃນຄໍາຖາມ, ແຕ່ຍັງບັນຊີລາຍຊື່ທັງຫມົດຂອງຄໍານໍາຫນ້າທີ່ຖືກກະທົບ. ຍິ່ງໄປກວ່ານັ້ນ, ການໂຈມຕີດັ່ງກ່າວອີກເທື່ອຫນຶ່ງເຮັດໃຫ້ຄໍາຖາມກ່ຽວກັບແຮງຈູງໃຈສໍາລັບການຂັດຂວາງການຈະລາຈອນປະເພດນີ້ໃນອະນາຄົດ.

ໃນໄລຍະສອງສາມປີຜ່ານມາ, ພຽງແຕ່ຄວາມຂັດແຍ້ງເຊັ່ນ MOAS (ລະບົບປົກຄອງຕົນເອງຫຼາຍປະເທດ) ໄດ້ຖືກປົກຄຸມຢູ່ໃນຫນັງສືພິມເປັນການຂັດຂວາງ BGP. MOAS ເປັນກໍລະນີພິເສດທີ່ສອງລະບົບເອກະລາດທີ່ແຕກຕ່າງກັນໂຄສະນາຄໍານໍາຫນ້າທີ່ຂັດແຍ້ງກັບ ASNs ທີ່ສອດຄ້ອງກັນໃນ AS_PATH (ASN ທໍາອິດໃນ AS_PATH, ຕໍ່ໄປນີ້ເອີ້ນວ່າ ASN ຕົ້ນກໍາເນີດ). ຢ່າງໃດກໍຕາມ, ພວກເຮົາສາມາດຕັ້ງຊື່ຢ່າງຫນ້ອຍ 3 ປະເພດເພີ່ມເຕີມ ການຂັດຂວາງການຈະລາຈອນ, ອະນຸຍາດໃຫ້ຜູ້ໂຈມຕີສາມາດຈັດການຄຸນລັກສະນະ AS_PATH ເພື່ອຈຸດປະສົງຕ່າງໆ, ລວມທັງການຂ້າມວິທີການທີ່ທັນສະໄຫມໃນການກັ່ນຕອງແລະການຕິດຕາມ. ປະເພດການໂຈມຕີທີ່ຮູ້ຈັກ Pilosova-Kapely - ປະເພດສຸດທ້າຍຂອງການຂັດຂວາງດັ່ງກ່າວ, ແຕ່ບໍ່ແມ່ນຢູ່ໃນຄວາມສໍາຄັນທັງຫມົດ. ມັນເປັນໄປໄດ້ຂ້ອນຂ້າງວ່ານີ້ແມ່ນປະເພດຂອງການໂຈມຕີທີ່ພວກເຮົາໄດ້ເຫັນໃນອາທິດທີ່ຜ່ານມາ. ເຫດການດັ່ງກ່າວມີລັກສະນະທີ່ເຂົ້າໃຈໄດ້ແລະມີຜົນສະທ້ອນທີ່ຮ້າຍແຮງຫຼາຍ.

ຜູ້ທີ່ຊອກຫາສະບັບ TL;DR ສາມາດເລື່ອນໄປຫາຄໍາບັນຍາຍ "Perfect Attack".

ພື້ນຫຼັງເຄືອຂ່າຍ

(ເພື່ອ​ຊ່ວຍ​ໃຫ້​ທ່ານ​ເຂົ້າ​ໃຈ​ໄດ້​ດີກ​ວ່າ​ຂະ​ບວນ​ການ​ທີ່​ກ່ຽວ​ຂ້ອງ​ກັບ​ເຫດ​ການ​ນີ້​)

ຖ້າທ່ານຕ້ອງການສົ່ງແພັກເກັດແລະທ່ານມີຄໍານໍາຫນ້າຫຼາຍໃນຕາຕະລາງເສັ້ນທາງທີ່ມີທີ່ຢູ່ IP ປາຍທາງ, ຫຼັງຈາກນັ້ນທ່ານຈະໃຊ້ເສັ້ນທາງສໍາລັບຄໍານໍາຫນ້າທີ່ມີຄວາມຍາວທີ່ສຸດ. ຖ້າມີເສັ້ນທາງທີ່ແຕກຕ່າງກັນຫຼາຍສໍາລັບຄໍານໍາຫນ້າດຽວກັນໃນຕາຕະລາງເສັ້ນທາງ, ທ່ານຈະເລືອກເສັ້ນທາງທີ່ດີທີ່ສຸດ (ອີງຕາມກົນໄກການເລືອກເສັ້ນທາງທີ່ດີທີ່ສຸດ).

ວິທີການການກັ່ນຕອງແລະການຕິດຕາມທີ່ມີຢູ່ແລ້ວພະຍາຍາມວິເຄາະເສັ້ນທາງແລະການຕັດສິນໃຈໂດຍການວິເຄາະຄຸນລັກສະນະ AS_PATH. Router ອາດຈະປ່ຽນຄຸນລັກສະນະນີ້ໃຫ້ກັບຄ່າໃດໆໃນລະຫວ່າງການໂຄສະນາ. ພຽງແຕ່ເພີ່ມ ASN ຂອງເຈົ້າຂອງໃນຕອນຕົ້ນຂອງ AS_PATH (ເປັນ ASN ຕົ້ນກໍາເນີດ) ອາດຈະພຽງພໍທີ່ຈະຂ້າມກົນໄກການກວດສອບຕົ້ນກໍາເນີດໃນປະຈຸບັນ. ຍິ່ງໄປກວ່ານັ້ນ, ຖ້າມີເສັ້ນທາງຈາກ ASN ທີ່ຖືກໂຈມຕີໄປຫາທ່ານ, ມັນເປັນໄປໄດ້ທີ່ຈະສະກັດແລະນໍາໃຊ້ AS_PATH ຂອງເສັ້ນທາງນີ້ໃນການໂຄສະນາອື່ນໆຂອງທ່ານ. ການກວດສອບຄວາມຖືກຕ້ອງພຽງແຕ່ AS_PATH ສໍາລັບການປະກາດທີ່ສ້າງຂື້ນຂອງເຈົ້າຈະຜ່ານໄປໃນທີ່ສຸດ.

ຍັງມີຂໍ້ຈໍາກັດຈໍານວນຫນ້ອຍທີ່ສົມຄວນທີ່ຈະກ່າວເຖິງ. ທໍາອິດ, ໃນກໍລະນີຂອງການກັ່ນຕອງຄໍານໍາຫນ້າໂດຍຜູ້ໃຫ້ບໍລິການຕົ້ນນ້ໍາ, ເສັ້ນທາງຂອງທ່ານອາດຈະຍັງຖືກກັ່ນຕອງ (ເຖິງແມ່ນວ່າມີ AS_PATH ທີ່ຖືກຕ້ອງ) ຖ້າຄໍານໍາຫນ້າບໍ່ແມ່ນຂອງ cone ລູກຄ້າຂອງທ່ານທີ່ຖືກຕັ້ງຄ່າຢູ່ທາງເທິງ. ອັນທີສອງ, AS_PATH ທີ່ຖືກຕ້ອງສາມາດກາຍເປັນບໍ່ຖືກຕ້ອງຖ້າເສັ້ນທາງທີ່ສ້າງຂື້ນຖືກໂຄສະນາໃນທິດທາງທີ່ບໍ່ຖືກຕ້ອງແລະ, ດັ່ງນັ້ນ, ການລະເມີດນະໂຍບາຍເສັ້ນທາງ. ສຸດທ້າຍ, ເສັ້ນທາງໃດກໍ່ຕາມທີ່ມີຄໍານໍາຫນ້າທີ່ລະເມີດຄວາມຍາວ ROA ອາດຈະຖືກພິຈາລະນາບໍ່ຖືກຕ້ອງ.

ເຫດການ

ສອງສາມອາທິດກ່ອນຫນ້ານີ້ພວກເຮົາໄດ້ຮັບການຮ້ອງຮຽນຈາກຫນຶ່ງໃນຜູ້ໃຊ້ຂອງພວກເຮົາ. ພວກເຮົາໄດ້ເຫັນເສັ້ນທາງທີ່ມີຕົ້ນກໍາເນີດ ASN ແລະ /25 ຄໍານໍາຫນ້າ, ໃນຂະນະທີ່ຜູ້ໃຊ້ອ້າງວ່າລາວບໍ່ໄດ້ໂຄສະນາພວກມັນ.

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
ຕົວຢ່າງຂອງການປະກາດໃນຕົ້ນເດືອນເມສາ 2019

NTT ໃນເສັ້ນທາງສໍາລັບຄໍານໍາຫນ້າ /25 ເຮັດໃຫ້ມັນມີຄວາມສົງໃສໂດຍສະເພາະ. LG NTT ບໍ່ຮູ້ເສັ້ນທາງນີ້ໃນເວລາເກີດເຫດ. ດັ່ງນັ້ນແມ່ນແລ້ວ, ບາງຕົວປະຕິບັດການສ້າງ AS_PATH ທັງຫມົດສໍາລັບຄໍານໍາຫນ້າເຫຼົ່ານີ້! ການກວດສອບໃນ routers ອື່ນໆເປີດເຜີຍ ASN ໂດຍສະເພາະຫນຶ່ງ: AS263444. ຫຼັງຈາກເບິ່ງເສັ້ນທາງອື່ນທີ່ມີລະບົບປົກຄອງຕົນເອງນີ້, ພວກເຮົາພົບສະຖານະການດັ່ງຕໍ່ໄປນີ້:

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
ລອງເດົາວ່າມີຫຍັງຜິດຢູ່ບ່ອນນີ້

ປາກົດວ່າມີຄົນເອົາຄໍານໍາຫນ້າຈາກເສັ້ນທາງ, ແບ່ງອອກເປັນສອງສ່ວນ, ແລະໂຄສະນາເສັ້ນທາງທີ່ມີ AS_PATH ດຽວກັນສໍາລັບສອງຄໍານໍາຫນ້ານັ້ນ.

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
ຕົວຢ່າງເສັ້ນທາງສໍາລັບຄູ່ຄໍານໍາຫນ້າທີ່ແຍກ

ຄໍາຖາມຫຼາຍຢ່າງເກີດຂື້ນໃນເວລາດຽວກັນ. ມີໃຜແທ້ໆພະຍາຍາມສະກັດປະເພດນີ້ໃນການປະຕິບັດ? ມີໃຜເອົາເສັ້ນທາງເຫຼົ່ານີ້ບໍ? ຄຳນຳໜ້າອັນໃດໄດ້ຮັບຜົນກະທົບ?

ນີ້ແມ່ນບ່ອນທີ່ຄວາມລົ້ມເຫລວຂອງພວກເຮົາເລີ່ມຕົ້ນແລະຍັງອີກຮອບຂອງຄວາມຜິດຫວັງກັບສະພາບຂອງອິນເຕີເນັດໃນປະຈຸບັນ.

ເສັ້ນທາງຂອງຄວາມລົ້ມເຫຼວ

ສິ່ງທໍາອິດທໍາອິດ. ພວກເຮົາສາມາດກໍານົດວ່າ routers ໃດຍອມຮັບເສັ້ນທາງທີ່ຖືກຂັດຂວາງດັ່ງກ່າວແລະການຈະລາຈອນຂອງໃຜສາມາດຖືກປ່ຽນເສັ້ນທາງໃນມື້ນີ້? ພວກເຮົາຄິດວ່າພວກເຮົາຈະເລີ່ມຕົ້ນດ້ວຍ /25 ຄໍານໍາຫນ້າເພາະວ່າພວກເຂົາ "ພຽງແຕ່ບໍ່ສາມາດມີການແຈກຢາຍທົ່ວໂລກ." ຕາມທີ່ທ່ານສາມາດຄາດເດົາໄດ້, ພວກເຮົາຜິດຫຼາຍ. ການວັດແທກນີ້ກາຍເປັນສິ່ງລົບກວນເກີນໄປ ແລະເສັ້ນທາງທີ່ມີຄຳນຳໜ້າດັ່ງກ່າວສາມາດປາກົດໄດ້ເຖິງແມ່ນມາຈາກຕົວປະຕິບັດການລະດັບ 1. ຕົວຢ່າງ, NTT ມີປະມານ 50 ຄໍານໍາຫນ້າດັ່ງກ່າວ, ເຊິ່ງມັນແຈກຢາຍໃຫ້ລູກຄ້າຂອງຕົນເອງ. ໃນທາງກົງກັນຂ້າມ, metric ນີ້ແມ່ນບໍ່ດີເພາະວ່າຄໍານໍາຫນ້າດັ່ງກ່າວສາມາດຖືກກັ່ນຕອງອອກຖ້າຜູ້ປະຕິບັດການໃຊ້ ການກັ່ນຕອງຄໍານໍາຫນ້າຂະຫນາດນ້ອຍ, ໃນທຸກທິດທາງ. ດັ່ງນັ້ນ, ວິທີການນີ້ບໍ່ເຫມາະສົມສໍາລັບການຊອກຫາຜູ້ປະກອບການທັງຫມົດທີ່ການຈະລາຈອນຖືກປ່ຽນເສັ້ນທາງຍ້ອນເຫດການດັ່ງກ່າວ.

ຄວາມຄິດທີ່ດີອີກອັນຫນຶ່ງທີ່ພວກເຮົາຄິດວ່າແມ່ນເພື່ອໄປເບິ່ງ POV. ໂດຍສະເພາະສໍາລັບເສັ້ນທາງທີ່ລະເມີດກົດລະບຽບ maxLength ຂອງ ROA ທີ່ສອດຄ້ອງກັນ. ດ້ວຍວິທີນີ້, ພວກເຮົາສາມາດຊອກຫາຈໍານວນຂອງ ASNs ຕົ້ນກໍາເນີດທີ່ແຕກຕ່າງກັນທີ່ມີສະຖານະພາບບໍ່ຖືກຕ້ອງທີ່ເຫັນໄດ້ຈາກ AS ທີ່ໃຫ້. ຢ່າງໃດກໍຕາມ, ມີບັນຫາ "ຂະຫນາດນ້ອຍ". ສະເລ່ຍ (ຄ່າກາງແລະຮູບແບບ) ຂອງຕົວເລກນີ້ (ຈໍານວນຂອງ ASNs ຕົ້ນກໍາເນີດທີ່ແຕກຕ່າງກັນ) ແມ່ນປະມານ 150 ແລະ, ເຖິງແມ່ນວ່າພວກເຮົາຈະກັ່ນຕອງອອກຄໍານໍາຫນ້າຂະຫນາດນ້ອຍ, ມັນຍັງຄົງຢູ່ຂ້າງເທິງ 70. ສະຖານະການນີ້ມີຄໍາອະທິບາຍງ່າຍດາຍຫຼາຍ: ມີພຽງແຕ່ a. ຜູ້ປະກອບການຈໍານວນຫນ້ອຍທີ່ໃຊ້ຕົວກອງ ROA ແລ້ວດ້ວຍນະໂຍບາຍ "ປັບເສັ້ນທາງທີ່ບໍ່ຖືກຕ້ອງ" ຢູ່ຈຸດເຂົ້າ, ດັ່ງນັ້ນບ່ອນໃດກໍ່ຕາມເສັ້ນທາງທີ່ມີການລະເມີດ ROA ປາກົດຢູ່ໃນໂລກທີ່ແທ້ຈິງ, ມັນສາມາດແຜ່ລາມໄປໃນທຸກທິດທາງ.

ສອງວິທີການສຸດທ້າຍຊ່ວຍໃຫ້ພວກເຮົາຊອກຫາຜູ້ປະຕິບັດງານທີ່ເຫັນເຫດການຂອງພວກເຮົາ (ນັບຕັ້ງແຕ່ມັນຂ້ອນຂ້າງໃຫຍ່), ແຕ່ໂດຍທົ່ວໄປແລ້ວພວກມັນບໍ່ສາມາດໃຊ້ໄດ້. ຕົກລົງ, ແຕ່ພວກເຮົາສາມາດຊອກຫາຜູ້ບຸກລຸກໄດ້ບໍ? ລັກສະນະທົ່ວໄປຂອງການຫມູນໃຊ້ AS_PATH ນີ້ແມ່ນຫຍັງ? ມີການສົມມຸດຖານພື້ນຖານບາງອັນ:

• ຄໍານໍາຫນ້າບໍ່ເຄີຍເຫັນບ່ອນໃດມາກ່ອນ;
• ຕົ້ນກໍາເນີດ ASN (ເຕືອນ: ASN ທໍາອິດໃນ AS_PATH) ແມ່ນຖືກຕ້ອງ;
• ASN ສຸດທ້າຍໃນ AS_PATH ແມ່ນ ASN ຂອງຜູ້ໂຈມຕີ (ໃນກໍລະນີທີ່ເພື່ອນບ້ານກວດເບິ່ງ ASN ຂອງເພື່ອນບ້ານໃນທຸກເສັ້ນທາງຂາເຂົ້າ);
• ການໂຈມຕີແມ່ນມາຈາກຜູ້ໃຫ້ບໍລິການດຽວ.

ຖ້າສົມມຸດຕິຖານທັງຫມົດຖືກຕ້ອງ, ເສັ້ນທາງທີ່ບໍ່ຖືກຕ້ອງທັງຫມົດຈະນໍາສະເຫນີ ASN ຂອງຜູ້ໂຈມຕີ (ຍົກເວັ້ນຕົ້ນກໍາເນີດ ASN) ແລະ, ດັ່ງນັ້ນ, ນີ້ແມ່ນຈຸດ "ສໍາຄັນ". ໃນບັນດາ hijackers ທີ່ແທ້ຈິງແມ່ນ AS263444, ເຖິງແມ່ນວ່າມີຄົນອື່ນ. ເຖິງແມ່ນວ່າໃນເວລາທີ່ພວກເຮົາຍົກເລີກເສັ້ນທາງເຫດການຈາກການພິຈາລະນາ. ເປັນຫຍັງ? ຈຸດສໍາຄັນອາດຈະມີຄວາມສໍາຄັນເຖິງແມ່ນວ່າສໍາລັບເສັ້ນທາງທີ່ຖືກຕ້ອງ. ມັນສາມາດເປັນຜົນມາຈາກການເຊື່ອມຕໍ່ທີ່ບໍ່ດີຢູ່ໃນພາກພື້ນ ຫຼືຂໍ້ຈໍາກັດໃນການເບິ່ງເຫັນຂອງພວກເຮົາເອງ.

ດັ່ງນັ້ນ, ມີວິທີການກວດພົບຜູ້ໂຈມຕີ, ແຕ່ວ່າພຽງແຕ່ຖ້າເງື່ອນໄຂຂ້າງເທິງທັງຫມົດແມ່ນບັນລຸໄດ້ແລະພຽງແຕ່ໃນເວລາທີ່ການຂັດຂວາງມີຂະຫນາດໃຫຍ່ພຽງພໍທີ່ຈະຜ່ານຂອບເຂດການຕິດຕາມ. ຖ້າບາງປັດໃຈເຫຼົ່ານີ້ບໍ່ໄດ້ຮັບການຕອບສະຫນອງ, ພວກເຮົາສາມາດກໍານົດຄໍານໍາຫນ້າທີ່ໄດ້ຮັບຄວາມເສຍຫາຍຈາກການຂັດຂວາງດັ່ງກ່າວບໍ? ສໍາລັບຜູ້ປະກອບການທີ່ແນ່ນອນ - ແມ່ນແລ້ວ.

ເມື່ອຜູ້ໂຈມຕີສ້າງເສັ້ນທາງສະເພາະຫຼາຍ, ຄໍານໍາຫນ້າດັ່ງກ່າວບໍ່ໄດ້ຖືກໂຄສະນາໂດຍເຈົ້າຂອງທີ່ແທ້ຈິງ. ຖ້າທ່ານມີບັນຊີລາຍຊື່ແບບເຄື່ອນໄຫວຂອງຄໍານໍາຫນ້າຂອງມັນທັງຫມົດຈາກມັນ, ມັນເປັນໄປໄດ້ທີ່ຈະເຮັດໃຫ້ການປຽບທຽບແລະຊອກຫາເສັ້ນທາງສະເພາະທີ່ບິດເບືອນ. ພວກເຮົາເກັບກໍາບັນຊີລາຍຊື່ຂອງຄໍານໍາຫນ້ານີ້ໂດຍໃຊ້ກອງປະຊຸມ BGP ຂອງພວກເຮົາ, ເພາະວ່າພວກເຮົາບໍ່ພຽງແຕ່ໄດ້ຮັບບັນຊີລາຍຊື່ເຕັມຂອງເສັ້ນທາງທີ່ຜູ້ປະຕິບັດການສັງເກດເຫັນໃນປັດຈຸບັນ, ແຕ່ຍັງບັນຊີລາຍຊື່ຂອງຄໍານໍາຫນ້າທັງຫມົດທີ່ມັນຕ້ອງການໂຄສະນາທົ່ວໂລກ. ແຕ່ຫນ້າເສຍດາຍ, ໃນປັດຈຸບັນມີຜູ້ໃຊ້ Radar ຫຼາຍສິບຄົນທີ່ບໍ່ສໍາເລັດສ່ວນສຸດທ້າຍຢ່າງຖືກຕ້ອງ. ພວກເຮົາຈະແຈ້ງໃຫ້ພວກເຂົາຮູ້ໃນໄວໆນີ້ ແລະພະຍາຍາມແກ້ໄຂບັນຫານີ້. ທຸກຄົນສາມາດເຂົ້າຮ່ວມລະບົບການຕິດຕາມຂອງພວກເຮົາໄດ້ໃນຕອນນີ້.

ຖ້າພວກເຮົາກັບຄືນສູ່ເຫດການເດີມ, ທັງຜູ້ໂຈມຕີແລະພື້ນທີ່ແຈກຢາຍໄດ້ຖືກກວດພົບໂດຍພວກເຮົາໂດຍການຄົ້ນຫາຈຸດສໍາຄັນ. ເປັນເລື່ອງແປກທີ່, AS263444 ບໍ່ໄດ້ສົ່ງເສັ້ນທາງ fabricated ກັບລູກຄ້າທັງຫມົດຂອງຕົນ. ເຖິງແມ່ນວ່າມີປັດຈຸບັນ stranger.

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
ຕົວຢ່າງຫຼ້າສຸດຂອງຄວາມພະຍາຍາມຂັດຂວາງພື້ນທີ່ທີ່ຢູ່ຂອງພວກເຮົາ

ເມື່ອມີການສ້າງອັນສະເພາະສໍາລັບຄໍານໍາຫນ້າຂອງພວກເຮົາ, AS_PATH ທີ່ສ້າງຂຶ້ນໂດຍສະເພາະຖືກນໍາໃຊ້. ແນວໃດກໍ່ຕາມ, AS_PATH ນີ້ບໍ່ສາມາດເອົາມາຈາກເສັ້ນທາງທີ່ຜ່ານມາຂອງພວກເຮົາ. ພວກເຮົາຍັງບໍ່ມີການສື່ສານກັບ AS6762. ເມື່ອເບິ່ງເສັ້ນທາງອື່ນໆໃນເຫດການ, ບາງບ່ອນມີ AS_PATH ທີ່ແທ້ຈິງທີ່ໃຊ້ໃນເມື່ອກ່ອນ, ໃນຂະນະທີ່ບາງບ່ອນບໍ່ມີ, ເຖິງແມ່ນວ່າຈະມີລັກສະນະທີ່ແທ້ຈິງ. ການປ່ຽນແປງ AS_PATH ນອກຈາກນັ້ນບໍ່ມີຄວາມຫມາຍປະຕິບັດໃດໆ, ເນື່ອງຈາກວ່າການຈະລາຈອນຈະຖືກໂອນໄປຫາຜູ້ໂຈມຕີຢ່າງໃດກໍ່ຕາມ, ແຕ່ເສັ້ນທາງທີ່ມີ AS_PATH "ບໍ່ດີ" ສາມາດຖືກກັ່ນຕອງໂດຍ ASPA ຫຼືກົນໄກການກວດກາອື່ນໆ. ໃນທີ່ນີ້ພວກເຮົາຄິດກ່ຽວກັບການກະຕຸ້ນຂອງ hijacker ໄດ້. ປະຈຸ​ບັນ​ພວກ​ເຮົາ​ຍັງ​ບໍ່​ມີ​ຂໍ້​ມູນ​ພຽງພໍ​ທີ່​ຈະ​ຢືນຢັນ​ວ່າ​ເຫດການ​ນີ້​ແມ່ນ​ການ​ໂຈມ​ຕີ​ທີ່​ໄດ້​ວາງ​ແຜນ​ໄວ້. ຢ່າງໃດກໍຕາມ, ມັນເປັນໄປໄດ້. ໃຫ້ພະຍາຍາມຈິນຕະນາການ, ເຖິງແມ່ນວ່າຍັງສົມມຸດຕິຖານ, ແຕ່ອາດຈະເປັນສະຖານະການທີ່ແທ້ຈິງ.

ການໂຈມຕີທີ່ສົມບູນແບບ

ພວກເຮົາມີຫຍັງແດ່? ໃຫ້ເວົ້າວ່າທ່ານເປັນຜູ້ໃຫ້ບໍລິການຖ່າຍທອດເສັ້ນທາງກະຈາຍສຽງສໍາລັບລູກຄ້າຂອງທ່ານ. ຖ້າລູກຄ້າຂອງທ່ານມີຫຼາຍຕົວ (multihome), ຫຼັງຈາກນັ້ນທ່ານຈະໄດ້ຮັບພຽງແຕ່ສ່ວນຫນຶ່ງຂອງການຈະລາຈອນຂອງພວກເຂົາ. ແຕ່ການຈະລາຈອນຫຼາຍ, ລາຍໄດ້ຂອງເຈົ້າຫຼາຍຂຶ້ນ. ດັ່ງນັ້ນ, ຖ້າທ່ານເລີ່ມຕົ້ນການໂຄສະນາ subnet prefix ຂອງເສັ້ນທາງດຽວກັນເຫຼົ່ານີ້ກັບ AS_PATH ດຽວກັນ, ທ່ານຈະໄດ້ຮັບສ່ວນທີ່ເຫຼືອຂອງການຈະລາຈອນຂອງພວກເຂົາ. ດັ່ງນັ້ນ, ສ່ວນທີ່ເຫຼືອຂອງເງິນ.

ROA ຈະຊ່ວຍຢູ່ທີ່ນີ້ບໍ? ບາງທີແມ່ນແລ້ວ, ຖ້າທ່ານຕັດສິນໃຈຢຸດໃຊ້ມັນຢ່າງສົມບູນ ຄວາມຍາວສູງສຸດ. ນອກຈາກນັ້ນ, ມັນບໍ່ຕ້ອງການທີ່ຈະມີບັນທຶກ ROA ທີ່ມີຄໍານໍາຫນ້າຕັດກັນ. ສໍາລັບຜູ້ປະກອບການບາງຄົນ, ຂໍ້ຈໍາກັດດັ່ງກ່າວແມ່ນບໍ່ສາມາດຍອມຮັບໄດ້.

ພິຈາລະນາກົນໄກຄວາມປອດໄພຂອງເສັ້ນທາງອື່ນ, ASPA ຈະບໍ່ຊ່ວຍໃນກໍລະນີນີ້ (ເນື່ອງຈາກວ່າມັນໃຊ້ AS_PATH ຈາກເສັ້ນທາງທີ່ຖືກຕ້ອງ). BGPSec ຍັງຄົງບໍ່ແມ່ນທາງເລືອກທີ່ດີທີ່ສຸດເນື່ອງຈາກອັດຕາການຮັບຮອງເອົາຕ່ໍາແລະຄວາມເປັນໄປໄດ້ທີ່ຍັງເຫຼືອຂອງການໂຈມຕີຫຼຸດລົງ.

ດັ່ງນັ້ນພວກເຮົາມີຜົນປະໂຫຍດທີ່ຊັດເຈນສໍາລັບຜູ້ໂຈມຕີແລະການຂາດຄວາມປອດໄພ. ການປະສົມທີ່ຍິ່ງໃຫຍ່!

ຂ້ອຍຄວນເຮັດແນວໃດ?

ຂັ້ນຕອນທີ່ຈະແຈ້ງແລະຮ້າຍແຮງທີ່ສຸດແມ່ນການທົບທວນນະໂຍບາຍເສັ້ນທາງໃນປະຈຸບັນຂອງທ່ານ. ແຍກພື້ນທີ່ທີ່ຢູ່ຂອງເຈົ້າເປັນຕ່ອນນ້ອຍທີ່ສຸດ (ບໍ່ມີການທັບຊ້ອນກັນ) ທີ່ທ່ານຕ້ອງການໂຄສະນາ. ເຊັນ ROA ສໍາລັບພວກເຂົາເທົ່ານັ້ນ, ໂດຍບໍ່ຕ້ອງໃຊ້ພາລາມິເຕີ maxLength. ໃນກໍລະນີນີ້, POV ປະຈຸບັນຂອງທ່ານສາມາດຊ່ວຍປະຢັດທ່ານຈາກການໂຈມຕີດັ່ງກ່າວ. ຢ່າງໃດກໍຕາມ, ອີກເທື່ອຫນຶ່ງ, ສໍາລັບບາງຜູ້ປະກອບການວິທີການນີ້ແມ່ນບໍ່ສົມເຫດສົມຜົນເນື່ອງຈາກການນໍາໃຊ້ສະເພາະຂອງເສັ້ນທາງສະເພາະຫຼາຍ. ທຸກບັນຫາກັບສະຖານະປັດຈຸບັນຂອງ ROA ແລະວັດຖຸເສັ້ນທາງຈະຖືກອະທິບາຍໄວ້ໃນອຸປະກອນໃນອະນາຄົດຂອງພວກເຮົາ.

ນອກຈາກນັ້ນ, ທ່ານສາມາດພະຍາຍາມຕິດຕາມການຂັດຂວາງດັ່ງກ່າວ. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຕ້ອງການຂໍ້ມູນທີ່ເຊື່ອຖືໄດ້ກ່ຽວກັບຄໍານໍາຫນ້າຂອງທ່ານ. ດັ່ງນັ້ນ, ຖ້າທ່ານສ້າງກອງປະຊຸມ BGP ກັບຜູ້ລວບລວມຂໍ້ມູນຂອງພວກເຮົາແລະໃຫ້ຂໍ້ມູນກ່ຽວກັບການເບິ່ງເຫັນອິນເຕີເນັດຂອງທ່ານ, ພວກເຮົາສາມາດຊອກຫາຂອບເຂດສໍາລັບເຫດການອື່ນໆ. ສໍາລັບຜູ້ທີ່ຍັງບໍ່ໄດ້ເຊື່ອມຕໍ່ກັບລະບົບການຕິດຕາມຂອງພວກເຮົາ, ເພື່ອເລີ່ມຕົ້ນດ້ວຍ, ບັນຊີລາຍຊື່ຂອງເສັ້ນທາງພຽງແຕ່ມີຄໍານໍາຫນ້າຂອງທ່ານຈະພຽງພໍ. ຖ້າທ່ານມີກອງປະຊຸມກັບພວກເຮົາ, ກະລຸນາກວດເບິ່ງວ່າເສັ້ນທາງທັງຫມົດຂອງທ່ານໄດ້ຖືກສົ່ງໄປແລ້ວ. ແຕ່ຫນ້າເສຍດາຍ, ນີ້ແມ່ນຄວນຈື່ໄວ້ເພາະວ່າຜູ້ປະຕິບັດການບາງຄົນລືມຄໍານໍາຫນ້າຫຼືສອງອັນແລະດັ່ງນັ້ນຈຶ່ງແຊກແຊງວິທີການຄົ້ນຫາຂອງພວກເຮົາ. ຖ້າເຮັດຢ່າງຖືກຕ້ອງ, ພວກເຮົາຈະມີຂໍ້ມູນທີ່ເຊື່ອຖືໄດ້ກ່ຽວກັບຄໍານໍາຫນ້າຂອງທ່ານ, ເຊິ່ງໃນອະນາຄົດຈະຊ່ວຍໃຫ້ພວກເຮົາກໍານົດອັດຕະໂນມັດແລະກວດພົບປະເພດນີ້ (ແລະອື່ນໆ) ການຂັດຂວາງການຈະລາຈອນສໍາລັບພື້ນທີ່ທີ່ຢູ່ຂອງເຈົ້າ.

ຖ້າທ່ານຮູ້ເຖິງການຂັດຂວາງການຈະລາຈອນຂອງເຈົ້າໃນເວລາຈິງ, ທ່ານສາມາດພະຍາຍາມຕ້ານກັບຕົວເອງ. ວິທີການທໍາອິດແມ່ນການໂຄສະນາເສັ້ນທາງທີ່ມີຄໍານໍາຫນ້າສະເພາະເຫຼົ່ານີ້ຕົວທ່ານເອງ. ໃນກໍລະນີຂອງການໂຈມຕີໃຫມ່ກ່ຽວກັບຄໍານໍາຫນ້າເຫຼົ່ານີ້, ເຮັດຊ້ໍາອີກຄັ້ງ.

ວິທີທີສອງແມ່ນການລົງໂທດຜູ້ໂຈມຕີແລະຜູ້ທີ່ລາວເປັນຈຸດສໍາຄັນ (ສໍາລັບເສັ້ນທາງທີ່ດີ) ໂດຍການຕັດການເຂົ້າເຖິງເສັ້ນທາງຂອງເຈົ້າກັບຜູ້ໂຈມຕີ. ອັນນີ້ສາມາດເຮັດໄດ້ໂດຍການເພີ່ມ ASN ຂອງຜູ້ໂຈມຕີໃສ່ AS_PATH ຂອງເສັ້ນທາງເກົ່າຂອງເຈົ້າ ແລະດັ່ງນັ້ນຈຶ່ງບັງຄັບໃຫ້ເຂົາເຈົ້າຫຼີກລ່ຽງ AS ໂດຍໃຊ້ກົນໄກກວດຫາວົງຮອບໃນ BGP. ເພື່ອຄວາມດີຂອງເຈົ້າເອງ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com