എല്ലാം വളരെ മോശമാണ് അല്ലെങ്കിൽ ഒരു പുതിയ തരം ട്രാഫിക് തടസ്സം

മാർച്ച് 13-ന് RIPE ദുരുപയോഗ വിരുദ്ധ വർക്കിംഗ് ഗ്രൂപ്പിലേക്ക് ഒരു ഓഫർ ലഭിച്ചു RIPE നയത്തിന്റെ ലംഘനമായി BGP ഹൈജാക്ക് (hjjack) പരിഗണിക്കുക. നിർദ്ദേശം അംഗീകരിക്കപ്പെട്ടാൽ, ട്രാഫിക് തടസ്സത്താൽ ആക്രമിക്കപ്പെട്ട ഇന്റർനെറ്റ് ദാതാവിന് ആക്രമണകാരിയെ തുറന്നുകാട്ടാൻ ഒരു പ്രത്യേക അഭ്യർത്ഥന അയയ്‌ക്കാനുള്ള അവസരം ലഭിക്കും. റിവ്യൂ ടീം മതിയായ പിന്തുണ തെളിവുകൾ ശേഖരിച്ചാൽ, BGP തടസ്സപ്പെടുത്തലിന്റെ ഉറവിടമായ LIR ഒരു നുഴഞ്ഞുകയറ്റക്കാരനായി കണക്കാക്കുകയും അതിന്റെ LIR പദവി നീക്കം ചെയ്യുകയും ചെയ്യും. ചില വാദപ്രതിവാദങ്ങളും ഉണ്ടായി ഇതിനെതിരെ മാറ്റങ്ങൾ.

ഈ പ്രസിദ്ധീകരണത്തിൽ, യഥാർത്ഥ ആക്രമണകാരിയെ മാത്രമല്ല, ബാധിച്ച പ്രിഫിക്‌സുകളുടെ മുഴുവൻ ലിസ്റ്റും ചോദ്യം ചെയ്യപ്പെട്ട ഒരു ആക്രമണത്തിന്റെ ഒരു ഉദാഹരണം കാണിക്കാൻ ഞങ്ങൾ ആഗ്രഹിക്കുന്നു. മാത്രമല്ല, അത്തരം ഒരു ആക്രമണം വീണ്ടും ഇത്തരത്തിലുള്ള ട്രാഫിക്കിന്റെ ഭാവി തടസ്സങ്ങൾക്കുള്ള ഉദ്ദേശ്യങ്ങളെക്കുറിച്ച് ചോദ്യങ്ങൾ ഉയർത്തുന്നു.

കഴിഞ്ഞ രണ്ട് വർഷങ്ങളായി, MOAS (മൾട്ടിപ്പിൾ ഒറിജിൻ ഓട്ടോണമസ് സിസ്റ്റം) പോലുള്ള വൈരുദ്ധ്യങ്ങൾ മാത്രമാണ് BGP തടസ്സങ്ങളായി പത്രങ്ങളിൽ റിപ്പോർട്ട് ചെയ്യപ്പെട്ടത്. രണ്ട് വ്യത്യസ്ത സ്വയംഭരണ സംവിധാനങ്ങൾ AS_PATH-ലെ അനുബന്ധ ASN-കളുമായി വൈരുദ്ധ്യമുള്ള പ്രിഫിക്‌സുകൾ പരസ്യപ്പെടുത്തുന്ന ഒരു പ്രത്യേക സാഹചര്യമാണ് MOAS (AS_PATH-ലെ ആദ്യ ASN, ഇനി മുതൽ ഉത്ഭവം ASN എന്ന് വിളിക്കപ്പെടുന്നു). എന്നിരുന്നാലും, നമുക്ക് കുറഞ്ഞത് പേരിടാം 3 അധിക തരങ്ങൾ ട്രാഫിക് തടസ്സപ്പെടുത്തൽ, ഫിൽട്ടർ ചെയ്യുന്നതിനും നിരീക്ഷിക്കുന്നതിനുമുള്ള ആധുനിക സമീപനങ്ങളെ മറികടക്കുന്നതുൾപ്പെടെ വിവിധ ആവശ്യങ്ങൾക്കായി AS_PATH ആട്രിബ്യൂട്ട് കൈകാര്യം ചെയ്യാൻ ആക്രമണകാരിയെ അനുവദിക്കുന്നു. അറിയപ്പെടുന്ന ആക്രമണ തരം പിലോസോവ-കപെലി - അത്തരം തടസ്സത്തിന്റെ അവസാന തരം, പക്ഷേ പ്രാധാന്യമില്ല. കഴിഞ്ഞ ആഴ്‌ചകളിൽ നമ്മൾ കണ്ടതും ഇതുപോലുള്ള ആക്രമണം തന്നെയായിരിക്കാം. അത്തരമൊരു സംഭവത്തിന് മനസ്സിലാക്കാവുന്ന സ്വഭാവവും ഗുരുതരമായ പ്രത്യാഘാതങ്ങളും ഉണ്ട്.

TL;DR പതിപ്പ് തിരയുന്നവർക്ക് "പെർഫെക്റ്റ് അറ്റാക്ക്" സബ്ടൈറ്റിലിലേക്ക് സ്ക്രോൾ ചെയ്യാം.

നെറ്റ്‌വർക്ക് പശ്ചാത്തലം

(ഈ സംഭവത്തിൽ ഉൾപ്പെട്ടിരിക്കുന്ന പ്രക്രിയകൾ നന്നായി മനസ്സിലാക്കാൻ നിങ്ങളെ സഹായിക്കുന്നതിന്)

നിങ്ങൾക്ക് ഒരു പാക്കറ്റ് അയയ്‌ക്കണമെങ്കിൽ, റൂട്ടിംഗ് ടേബിളിൽ ലക്ഷ്യസ്ഥാന ഐപി വിലാസം അടങ്ങുന്ന ഒന്നിലധികം പ്രിഫിക്‌സുകൾ ഉണ്ടെങ്കിൽ, ഏറ്റവും ദൈർഘ്യമേറിയ ദൈർഘ്യമുള്ള പ്രിഫിക്‌സിനായി നിങ്ങൾ റൂട്ട് ഉപയോഗിക്കും. റൂട്ടിംഗ് ടേബിളിൽ ഒരേ പ്രിഫിക്‌സിനായി നിരവധി വ്യത്യസ്ത റൂട്ടുകൾ ഉണ്ടെങ്കിൽ, നിങ്ങൾ ഏറ്റവും മികച്ചത് തിരഞ്ഞെടുക്കും (മികച്ച പാത്ത് തിരഞ്ഞെടുക്കൽ സംവിധാനം അനുസരിച്ച്).

നിലവിലുള്ള ഫിൽട്ടറിംഗ്, മോണിറ്ററിംഗ് സമീപനങ്ങൾ റൂട്ടുകൾ വിശകലനം ചെയ്യാനും AS_PATH ആട്രിബ്യൂട്ട് വിശകലനം ചെയ്തുകൊണ്ട് തീരുമാനങ്ങൾ എടുക്കാനും ശ്രമിക്കുന്നു. പരസ്യ സമയത്ത് ഏത് മൂല്യത്തിലേക്കും റൂട്ടറിന് ഈ ആട്രിബ്യൂട്ട് മാറ്റിയേക്കാം. AS_PATH ൻ്റെ തുടക്കത്തിൽ ഉടമയുടെ ASN ചേർത്താൽ മതിയാകും (ഉത്ഭവ ASN ആയി) നിലവിലെ ഉത്ഭവ പരിശോധനാ സംവിധാനങ്ങൾ മറികടക്കാൻ. മാത്രമല്ല, ആക്രമിക്കപ്പെട്ട ASN-ൽ നിന്ന് നിങ്ങളിലേക്ക് ഒരു റൂട്ട് ഉണ്ടെങ്കിൽ, നിങ്ങളുടെ മറ്റ് പരസ്യങ്ങളിൽ ഈ റൂട്ടിൻ്റെ AS_PATH എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യാനും ഉപയോഗിക്കാനും സാധിക്കും. നിങ്ങൾ തയ്യാറാക്കിയ പ്രഖ്യാപനങ്ങൾക്കായി AS_PATH-ന് മാത്രമുള്ള ഏതെങ്കിലും മൂല്യനിർണ്ണയ പരിശോധന ഒടുവിൽ കടന്നുപോകും.

എടുത്തുപറയേണ്ട ചില പരിമിതികൾ ഇപ്പോഴും ഉണ്ട്. ഒന്നാമതായി, അപ്‌സ്‌ട്രീം ദാതാവ് പ്രിഫിക്‌സ് ഫിൽട്ടറിംഗ് ചെയ്യുന്ന സാഹചര്യത്തിൽ, അപ്‌സ്ട്രീമിൽ കോൺഫിഗർ ചെയ്‌തിരിക്കുന്ന നിങ്ങളുടെ ക്ലയന്റ് കോണിൽ പ്രിഫിക്‌സ് ഉൾപ്പെടുന്നില്ലെങ്കിൽ, നിങ്ങളുടെ റൂട്ട് (ശരിയായ AS_PATH-ൽ പോലും) ഫിൽട്ടർ ചെയ്‌തേക്കാം. രണ്ടാമതായി, സൃഷ്ടിച്ച റൂട്ട് തെറ്റായ ദിശകളിൽ പരസ്യപ്പെടുത്തുകയും അങ്ങനെ റൂട്ടിംഗ് നയം ലംഘിക്കുകയും ചെയ്താൽ സാധുവായ AS_PATH അസാധുവാകും. അവസാനമായി, ROA ദൈർഘ്യം ലംഘിക്കുന്ന ഒരു പ്രിഫിക്‌സുള്ള ഏത് റൂട്ടും അസാധുവായി കണക്കാക്കാം.

സംഭവം

ഏതാനും ആഴ്‌ചകൾക്ക് മുമ്പ് ഞങ്ങളുടെ ഉപയോക്താക്കളിൽ ഒരാളിൽ നിന്ന് ഞങ്ങൾക്ക് ഒരു പരാതി ലഭിച്ചു. അവന്റെ ഉത്ഭവം ASN ഉം /25 പ്രിഫിക്സുകളും ഉള്ള റൂട്ടുകൾ ഞങ്ങൾ കണ്ടു, അതേസമയം ഉപയോക്താവ് അവ പരസ്യം ചെയ്തിട്ടില്ലെന്ന് അവകാശപ്പെട്ടു.

TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.7.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.18.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.0/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.163.226.128/25|265466 262761 263444 22356 3491 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.0/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
TABLE_DUMP2|1554076803|B|xxx|265466|78.164.7.128/25|265466 262761 263444 6762 2914 9121|INCOMPLETE|xxx|0|0||NAG||
2019 ഏപ്രിൽ തുടക്കത്തിലെ പ്രഖ്യാപനങ്ങളുടെ ഉദാഹരണങ്ങൾ

/25 പ്രിഫിക്‌സിനുള്ള പാതയിലെ NTT അതിനെ പ്രത്യേകിച്ച് സംശയാസ്പദമാക്കുന്നു. സംഭവസമയത്ത് എൽജി എൻടിടിക്ക് ഈ റൂട്ടിനെക്കുറിച്ച് അറിയില്ലായിരുന്നു. അതെ, ചില ഓപ്പറേറ്റർമാർ ഈ പ്രിഫിക്സുകൾക്കായി ഒരു മുഴുവൻ AS_PATH സൃഷ്ടിക്കുന്നു! മറ്റ് റൂട്ടറുകളിൽ പരിശോധിക്കുന്നത് ഒരു പ്രത്യേക ASN വെളിപ്പെടുത്തുന്നു: AS263444. ഈ സ്വയംഭരണ സംവിധാനമുള്ള മറ്റ് റൂട്ടുകൾ നോക്കിയ ശേഷം, ഞങ്ങൾ ഇനിപ്പറയുന്ന സാഹചര്യം നേരിട്ടു:

TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.0/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.23.143.128/25|265466 262761 263444 22356 6762 9498 9730 45528|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.24.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.0.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.26.128.0/17|265466 262761 263444 6762 4837|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.96.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.64.112.0/20|265466 262761 263444 6762 3491 4760|IGP|xxx|0|0||NAG||
ഇവിടെ എന്താണ് തെറ്റ് എന്ന് ഊഹിക്കാൻ ശ്രമിക്കുക

ആരോ റൂട്ടിൽ നിന്ന് പ്രിഫിക്‌സ് എടുത്തതായി തോന്നുന്നു, അതിനെ രണ്ട് ഭാഗങ്ങളായി വിഭജിക്കുകയും ആ രണ്ട് പ്രിഫിക്‌സുകൾക്കായി ഒരേ AS_PATH ഉപയോഗിച്ച് റൂട്ട് പരസ്യം ചെയ്യുകയും ചെയ്തു.

TABLE_DUMP2|1554076800|B|xxx|263444|1.6.36.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|263444|1.6.38.0/23|263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.36.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|61775|1.6.38.0/23|61775 262761 263444 52320 9583|IGP|xxx|0|0|32:12595 52320:21311 65444:20000|NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.36.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|265466|1.6.38.0/23|265466 262761 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.36.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
TABLE_DUMP2|1554076800|B|xxx|28172|1.6.38.0/23|28172 52531 263444 52320 9583|IGP|xxx|0|0||NAG||
സ്പ്ലിറ്റ് പ്രിഫിക്‌സ് ജോഡികളിലൊന്നിനുള്ള ഉദാഹരണ റൂട്ടുകൾ

ഒരേസമയം നിരവധി ചോദ്യങ്ങൾ ഉയർന്നുവരുന്നു. പ്രായോഗികമായി ആരെങ്കിലും ഇത്തരത്തിലുള്ള തടസ്സപ്പെടുത്തൽ പരീക്ഷിച്ചിട്ടുണ്ടോ? ആരെങ്കിലും ഈ വഴികൾ സ്വീകരിച്ചിട്ടുണ്ടോ? ഏതൊക്കെ പ്രിഫിക്സുകളെ ബാധിച്ചു?

ഇവിടെയാണ് ഞങ്ങളുടെ പരാജയങ്ങളുടെ പരമ്പര ആരംഭിക്കുന്നത്, ഇന്റർനെറ്റിന്റെ നിലവിലെ ആരോഗ്യസ്ഥിതിയിൽ നിരാശയുടെ മറ്റൊരു റൗണ്ട് കൂടി.

പരാജയത്തിന്റെ പാത

ആദ്യ കാര്യങ്ങൾ ആദ്യം. അത്തരം തടസ്സപ്പെട്ട റൂട്ടുകൾ ഏതൊക്കെ റൂട്ടറുകളാണ് സ്വീകരിച്ചതെന്നും ആരുടെ ട്രാഫിക്ക് ഇന്ന് വഴിതിരിച്ചുവിടാമെന്നും നമുക്ക് എങ്ങനെ നിർണ്ണയിക്കാനാകും? ഞങ്ങൾ /25 പ്രിഫിക്‌സുകൾ ഉപയോഗിച്ച് ആരംഭിക്കുമെന്ന് ഞങ്ങൾ കരുതി, കാരണം അവയ്ക്ക് "ആഗോള വിതരണം സാധ്യമല്ല." നിങ്ങൾക്ക് ഊഹിക്കാവുന്നതുപോലെ, ഞങ്ങൾ വളരെ തെറ്റിദ്ധരിക്കപ്പെട്ടു. ഈ മെട്രിക് വളരെ ശബ്ദമയമായതിനാൽ ടയർ-1 ഓപ്പറേറ്റർമാരിൽ നിന്ന് പോലും അത്തരം പ്രിഫിക്സുകളുള്ള റൂട്ടുകൾ ദൃശ്യമാകും. ഉദാഹരണത്തിന്, എൻടിടിക്ക് അത്തരം ഏകദേശം 50 പ്രിഫിക്സുകൾ ഉണ്ട്, അത് സ്വന്തം ക്ലയന്റുകൾക്ക് വിതരണം ചെയ്യുന്നു. മറുവശത്ത്, ഈ മെട്രിക് മോശമാണ്, കാരണം ഓപ്പറേറ്റർ ഉപയോഗിക്കുകയാണെങ്കിൽ അത്തരം പ്രിഫിക്സുകൾ ഫിൽട്ടർ ചെയ്യാവുന്നതാണ് ചെറിയ പ്രിഫിക്സുകൾ ഫിൽട്ടർ ചെയ്യുന്നു, എല്ലാ ദിശകളിലും. അതിനാൽ, അത്തരം ഒരു സംഭവത്തിന്റെ ഫലമായി ട്രാഫിക് റീഡയറക്‌ട് ചെയ്‌ത എല്ലാ ഓപ്പറേറ്റർമാരെയും കണ്ടെത്തുന്നതിന് ഈ രീതി അനുയോജ്യമല്ല.

ഞങ്ങൾ കരുതിയ മറ്റൊരു നല്ല ആശയം നോക്കുക എന്നതാണ് എന്നതൊക്കെയാണു. പ്രത്യേകിച്ചും അനുബന്ധ ROA-യുടെ പരമാവധി നീളം നിയമം ലംഘിക്കുന്ന റൂട്ടുകൾക്ക്. നൽകിയിരിക്കുന്ന AS-ന് ദൃശ്യമാകുന്ന അസാധുവായ സ്റ്റാറ്റസ് ഉള്ള വ്യത്യസ്‌ത ഉത്ഭവ ASN-കളുടെ എണ്ണം ഇതുവഴി നമുക്ക് കണ്ടെത്താനാകും. എന്നിരുന്നാലും, ഒരു "ചെറിയ" പ്രശ്നമുണ്ട്. ഈ സംഖ്യയുടെ ശരാശരി (മധ്യസ്ഥവും മോഡും) (വ്യത്യസ്‌ത ഉത്ഭവ ASN-കളുടെ എണ്ണം) ഏകദേശം 150 ആണ്, ഞങ്ങൾ ചെറിയ പ്രിഫിക്‌സുകൾ ഫിൽട്ടർ ചെയ്‌താലും അത് 70-ന് മുകളിലായിരിക്കും. ഈ അവസ്ഥയ്ക്ക് വളരെ ലളിതമായ ഒരു വിശദീകരണമുണ്ട്: ഒരു എൻട്രി പോയിന്റുകളിൽ "അസാധുവായ റൂട്ടുകൾ പുനഃസജ്ജമാക്കുക" എന്ന നയമുള്ള ROA- ഫിൽട്ടറുകൾ ഇതിനകം ഉപയോഗിക്കുന്ന കുറച്ച് ഓപ്പറേറ്റർമാർ, അതുവഴി യഥാർത്ഥ ലോകത്ത് ROA ലംഘനമുള്ള ഒരു റൂട്ട് ദൃശ്യമാകുന്നിടത്തെല്ലാം, അത് എല്ലാ ദിശകളിലും പ്രചരിപ്പിക്കാൻ കഴിയും.

ഞങ്ങളുടെ സംഭവം കണ്ട ഓപ്പറേറ്റർമാരെ കണ്ടെത്താൻ അവസാന രണ്ട് സമീപനങ്ങൾ ഞങ്ങളെ അനുവദിക്കുന്നു (അത് വളരെ വലുതായതിനാൽ), എന്നാൽ പൊതുവെ അവ ബാധകമല്ല. ശരി, എന്നാൽ നമുക്ക് നുഴഞ്ഞുകയറ്റക്കാരനെ കണ്ടെത്താൻ കഴിയുമോ? ഈ AS_PATH കൃത്രിമത്വത്തിന്റെ പൊതു സവിശേഷതകൾ എന്തൊക്കെയാണ്? കുറച്ച് അടിസ്ഥാന അനുമാനങ്ങളുണ്ട്:

• പ്രിഫിക്‌സ് മുമ്പ് എവിടെയും കണ്ടിട്ടില്ല;
• ഉത്ഭവം ASN (ഓർമ്മപ്പെടുത്തൽ: AS_PATH-ലെ ആദ്യ ASN) സാധുവാണ്;
• AS_PATH ലെ അവസാനത്തെ ASN ആക്രമണകാരിയുടെ ASN ആണ് (അതിന്റെ അയൽക്കാരൻ എല്ലാ ഇൻകമിംഗ് റൂട്ടുകളിലും അയൽക്കാരന്റെ ASN പരിശോധിച്ചാൽ);
• ഒരൊറ്റ ദാതാവിൽ നിന്നാണ് ആക്രമണം ഉണ്ടാകുന്നത്.

എല്ലാ അനുമാനങ്ങളും ശരിയാണെങ്കിൽ, എല്ലാ തെറ്റായ റൂട്ടുകളും ആക്രമണകാരിയുടെ ASN (ഉത്ഭവം ASN ഒഴികെ) അവതരിപ്പിക്കും, അതിനാൽ ഇത് ഒരു "നിർണ്ണായക" പോയിന്റാണ്. യഥാർത്ഥ ഹൈജാക്കർമാരിൽ AS263444 ഉണ്ടായിരുന്നു, എന്നിരുന്നാലും മറ്റുള്ളവർ ഉണ്ടായിരുന്നു. സംഭവത്തിന്റെ വഴികൾ ഞങ്ങൾ പരിഗണനയിൽ നിന്ന് ഒഴിവാക്കിയപ്പോഴും. എന്തുകൊണ്ട്? ശരിയായ റൂട്ടുകൾക്ക് പോലും ഒരു നിർണായക പോയിന്റ് നിർണായകമായി തുടരാം. ഇത് ഒന്നുകിൽ ഒരു പ്രദേശത്തെ മോശം കണക്റ്റിവിറ്റിയുടെ ഫലമാകാം അല്ലെങ്കിൽ നമ്മുടെ സ്വന്തം ദൃശ്യപരതയിലെ പരിമിതികളാകാം.

തൽഫലമായി, ഒരു ആക്രമണകാരിയെ കണ്ടെത്താനുള്ള ഒരു മാർഗമുണ്ട്, എന്നാൽ മുകളിൽ പറഞ്ഞിരിക്കുന്ന എല്ലാ വ്യവസ്ഥകളും പാലിക്കുകയാണെങ്കിൽ മാത്രം, നിരീക്ഷണ പരിധികൾ കടന്നുപോകാൻ കഴിയുന്നത്ര വലിയ തടസ്സം ഉണ്ടാകുമ്പോൾ മാത്രം. ഈ ഘടകങ്ങളിൽ ചിലത് പാലിച്ചില്ലെങ്കിൽ, അത്തരം തടസ്സങ്ങൾ നേരിട്ട പ്രിഫിക്സുകൾ നമുക്ക് തിരിച്ചറിയാനാകുമോ? ചില ഓപ്പറേറ്റർമാർക്ക് - അതെ.

ഒരു ആക്രമണകാരി കൂടുതൽ നിർദ്ദിഷ്ട റൂട്ട് സൃഷ്ടിക്കുമ്പോൾ, അത്തരമൊരു പ്രിഫിക്‌സ് യഥാർത്ഥ ഉടമ പരസ്യപ്പെടുത്തില്ല. അതിൽ നിന്ന് അതിന്റെ എല്ലാ പ്രിഫിക്സുകളുടെയും ഡൈനാമിക് ലിസ്റ്റ് നിങ്ങൾക്കുണ്ടെങ്കിൽ, ഒരു താരതമ്യം നടത്താനും വികലമായ കൂടുതൽ നിർദ്ദിഷ്ട റൂട്ടുകൾ കണ്ടെത്താനും കഴിയും. ഞങ്ങളുടെ BGP സെഷനുകൾ ഉപയോഗിച്ച് ഞങ്ങൾ ഈ പ്രിഫിക്‌സുകളുടെ ലിസ്റ്റ് ശേഖരിക്കുന്നു, കാരണം ഇപ്പോൾ ഓപ്പറേറ്റർക്ക് ദൃശ്യമാകുന്ന റൂട്ടുകളുടെ പൂർണ്ണമായ ലിസ്റ്റ് മാത്രമല്ല, അത് ലോകമെമ്പാടും പരസ്യം ചെയ്യാൻ ആഗ്രഹിക്കുന്ന എല്ലാ പ്രിഫിക്‌സുകളുടെയും ലിസ്റ്റും ഞങ്ങൾക്ക് നൽകിയിരിക്കുന്നു. നിർഭാഗ്യവശാൽ, അവസാന ഭാഗം ശരിയായി പൂർത്തിയാക്കാത്ത നിരവധി ഡസൻ റഡാർ ഉപയോക്താക്കൾ ഇപ്പോൾ ഉണ്ട്. ഞങ്ങൾ ഉടൻ തന്നെ അവരെ അറിയിക്കുകയും ഈ പ്രശ്നം പരിഹരിക്കാൻ ശ്രമിക്കുകയും ചെയ്യും. മറ്റെല്ലാവർക്കും ഇപ്പോൾ ഞങ്ങളുടെ നിരീക്ഷണ സംവിധാനത്തിൽ ചേരാനാകും.

ഞങ്ങൾ യഥാർത്ഥ സംഭവത്തിലേക്ക് മടങ്ങുകയാണെങ്കിൽ, നിർണായക പോയിന്റുകൾക്കായി തിരഞ്ഞുകൊണ്ട് ആക്രമണകാരിയെയും വിതരണ മേഖലയെയും ഞങ്ങൾ കണ്ടെത്തി. അതിശയകരമെന്നു പറയട്ടെ, AS263444 അതിന്റെ എല്ലാ ക്ലയന്റുകളിലേക്കും കെട്ടിച്ചമച്ച റൂട്ടുകൾ അയച്ചില്ല. അപരിചിതമായ ഒരു നിമിഷമുണ്ടെങ്കിലും.

BGP4MP|1554905421|A|xxx|263444|178.248.236.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
BGP4MP|1554905421|A|xxx|263444|178.248.237.0/24|263444 6762 197068|IGP|xxx|0|0|13106:12832 22356:6453 65444:20000|NAG||
ഞങ്ങളുടെ വിലാസ ഇടം തടസ്സപ്പെടുത്താനുള്ള ശ്രമത്തിന്റെ സമീപകാല ഉദാഹരണം

ഞങ്ങളുടെ പ്രിഫിക്‌സുകൾക്കായി കൂടുതൽ നിർദ്ദിഷ്ടവ സൃഷ്‌ടിച്ചപ്പോൾ, പ്രത്യേകം സൃഷ്‌ടിച്ച AS_PATH ഉപയോഗിച്ചു. എന്നിരുന്നാലും, ഈ AS_PATH ഞങ്ങളുടെ മുൻ റൂട്ടുകളിൽ നിന്ന് എടുക്കാൻ കഴിയില്ല. ഞങ്ങൾക്ക് AS6762-മായി ആശയവിനിമയം പോലുമില്ല. സംഭവത്തിലെ മറ്റ് റൂട്ടുകൾ നോക്കുമ്പോൾ, അവയിൽ ചിലർക്ക് മുമ്പ് ഉപയോഗിച്ചിരുന്ന യഥാർത്ഥ AS_PATH ഉണ്ടായിരുന്നു, മറ്റു ചിലത് യഥാർത്ഥമായത് പോലെയാണെങ്കിൽപ്പോലും ഉപയോഗിച്ചിരുന്നില്ല. AS_PATH മാറ്റുന്നത് പ്രായോഗികമായി അർത്ഥമാക്കുന്നില്ല, കാരണം ട്രാഫിക് എങ്ങനെയും ആക്രമണകാരിയിലേക്ക് റീഡയറക്‌ട് ചെയ്യപ്പെടും, എന്നാൽ "മോശം" AS_PATH ഉള്ള റൂട്ടുകൾ ASPA അല്ലെങ്കിൽ മറ്റേതെങ്കിലും പരിശോധനാ സംവിധാനം വഴി ഫിൽട്ടർ ചെയ്യാൻ കഴിയും. ഹൈജാക്കറുടെ പ്രേരണയെക്കുറിച്ചാണ് ഇവിടെ നാം ചിന്തിക്കുന്നത്. ഈ സംഭവം ആസൂത്രിതമായ ആക്രമണമാണെന്ന് സ്ഥിരീകരിക്കാൻ ആവശ്യമായ വിവരങ്ങൾ നിലവിൽ ഞങ്ങളുടെ പക്കലില്ല. എന്നിരുന്നാലും, അത് സാധ്യമാണ്. നമുക്ക് സങ്കൽപ്പിക്കാൻ ശ്രമിക്കാം, ഇപ്പോഴും സാങ്കൽപ്പികമാണെങ്കിലും, എന്നാൽ തികച്ചും യഥാർത്ഥമായ ഒരു സാഹചര്യം.

തികഞ്ഞ ആക്രമണം

നമുക്ക് എന്താണ് ഉള്ളത്? നിങ്ങളൊരു ട്രാൻസിറ്റ് പ്രൊവൈഡർ ആണെന്ന് പറയാം, നിങ്ങളുടെ ക്ലയന്റുകളുടെ പ്രക്ഷേപണ റൂട്ടുകൾ. നിങ്ങളുടെ ക്ലയന്റുകൾക്ക് ഒന്നിലധികം സാന്നിധ്യം (മൾട്ടിഹോം) ഉണ്ടെങ്കിൽ, അവരുടെ ട്രാഫിക്കിന്റെ ഒരു ഭാഗം മാത്രമേ നിങ്ങൾക്ക് ലഭിക്കൂ. എന്നാൽ കൂടുതൽ ട്രാഫിക്, നിങ്ങളുടെ വരുമാനം കൂടുതൽ. അതിനാൽ നിങ്ങൾ ഇതേ AS_PATH ഉപയോഗിച്ച് ഇതേ റൂട്ടുകളുടെ സബ്‌നെറ്റ് പ്രിഫിക്‌സുകൾ പരസ്യപ്പെടുത്താൻ തുടങ്ങിയാൽ, അവരുടെ ബാക്കിയുള്ള ട്രാഫിക്ക് നിങ്ങൾക്ക് ലഭിക്കും. തൽഫലമായി, ബാക്കി പണം.

ROA ഇവിടെ സഹായിക്കുമോ? ഒരുപക്ഷേ അതെ, നിങ്ങൾ ഇത് പൂർണ്ണമായും ഉപയോഗിക്കുന്നത് നിർത്താൻ തീരുമാനിക്കുകയാണെങ്കിൽ പരമാവധി നീളം. കൂടാതെ, വിഭജിക്കുന്ന പ്രിഫിക്സുകളുള്ള ROA റെക്കോർഡുകൾ ഉണ്ടായിരിക്കുന്നത് വളരെ അഭികാമ്യമല്ല. ചില ഓപ്പറേറ്റർമാർക്ക്, അത്തരം നിയന്ത്രണങ്ങൾ അസ്വീകാര്യമാണ്.

മറ്റ് റൂട്ടിംഗ് സുരക്ഷാ സംവിധാനങ്ങൾ പരിഗണിക്കുമ്പോൾ, ഈ സാഹചര്യത്തിലും ASPA സഹായിക്കില്ല (കാരണം ഇത് ഒരു സാധുവായ റൂട്ടിൽ നിന്ന് AS_PATH ഉപയോഗിക്കുന്നു). കുറഞ്ഞ ദത്തെടുക്കൽ നിരക്കുകളും ഡൗൺഗ്രേഡ് ആക്രമണങ്ങളുടെ ശേഷിക്കുന്ന സാധ്യതയും കാരണം BGPSec ഇപ്പോഴും മികച്ച ഓപ്ഷനല്ല.

അതിനാൽ ആക്രമണകാരിക്ക് വ്യക്തമായ നേട്ടവും സുരക്ഷയുടെ അഭാവവുമുണ്ട്. മികച്ച മിശ്രിതം!

ഞാൻ എന്തു ചെയ്യണം?

നിങ്ങളുടെ നിലവിലെ റൂട്ടിംഗ് നയം അവലോകനം ചെയ്യുക എന്നതാണ് വ്യക്തവും ഏറ്റവും കഠിനവുമായ ഘട്ടം. നിങ്ങൾ പരസ്യം ചെയ്യാൻ ആഗ്രഹിക്കുന്ന ഏറ്റവും ചെറിയ കഷ്ണങ്ങളാക്കി (ഓവർലാപ്പുകളൊന്നുമില്ല) നിങ്ങളുടെ വിലാസ ഇടം വിഭജിക്കുക. maxLength പാരാമീറ്റർ ഉപയോഗിക്കാതെ അവർക്കായി മാത്രം ROA സൈൻ ചെയ്യുക. ഈ സാഹചര്യത്തിൽ, നിങ്ങളുടെ നിലവിലെ POV-ക്ക് അത്തരം ആക്രമണത്തിൽ നിന്ന് നിങ്ങളെ രക്ഷിക്കാനാകും. എന്നിരുന്നാലും, വീണ്ടും, ചില ഓപ്പറേറ്റർമാർക്ക് കൂടുതൽ നിർദ്ദിഷ്ട റൂട്ടുകളുടെ പ്രത്യേക ഉപയോഗം കാരണം ഈ സമീപനം ന്യായമല്ല. ROAയുടെയും റൂട്ട് ഒബ്‌ജക്റ്റുകളുടെയും നിലവിലെ അവസ്ഥയിലെ എല്ലാ പ്രശ്‌നങ്ങളും ഞങ്ങളുടെ ഭാവി മെറ്റീരിയലുകളിൽ ഒന്നിൽ വിവരിക്കും.

കൂടാതെ, അത്തരം തടസ്സങ്ങൾ നിരീക്ഷിക്കാൻ നിങ്ങൾക്ക് ശ്രമിക്കാം. ഇത് ചെയ്യുന്നതിന്, നിങ്ങളുടെ പ്രിഫിക്സുകളെക്കുറിച്ചുള്ള വിശ്വസനീയമായ വിവരങ്ങൾ ഞങ്ങൾക്ക് ആവശ്യമാണ്. അതിനാൽ, നിങ്ങൾ ഞങ്ങളുടെ കളക്ടറുമായി ഒരു ബിജിപി സെഷൻ സ്ഥാപിക്കുകയും നിങ്ങളുടെ ഇന്റർനെറ്റ് ദൃശ്യപരതയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഞങ്ങൾക്ക് നൽകുകയും ചെയ്താൽ, മറ്റ് സംഭവങ്ങൾക്കുള്ള സാധ്യത ഞങ്ങൾക്ക് കണ്ടെത്താനാകും. ഞങ്ങളുടെ മോണിറ്ററിംഗ് സിസ്റ്റവുമായി ഇതുവരെ ബന്ധിപ്പിച്ചിട്ടില്ലാത്തവർക്ക്, ആരംഭിക്കുന്നതിന്, നിങ്ങളുടെ പ്രിഫിക്‌സുകളുള്ള റൂട്ടുകളുടെ ഒരു ലിസ്റ്റ് മതിയാകും. നിങ്ങൾക്ക് ഞങ്ങളുമായി ഒരു സെഷൻ ഉണ്ടെങ്കിൽ, നിങ്ങളുടെ എല്ലാ റൂട്ടുകളും അയച്ചിട്ടുണ്ടോയെന്ന് പരിശോധിക്കുക. നിർഭാഗ്യവശാൽ, ഇത് ഓർമ്മിക്കേണ്ടതാണ്, കാരണം ചില ഓപ്പറേറ്റർമാർ ഒന്നോ രണ്ടോ പ്രിഫിക്‌സ് മറക്കുകയും അങ്ങനെ ഞങ്ങളുടെ തിരയൽ രീതികളിൽ ഇടപെടുകയും ചെയ്യുന്നു. ശരിയായി ചെയ്‌താൽ, നിങ്ങളുടെ പ്രിഫിക്‌സുകളെക്കുറിച്ചുള്ള വിശ്വസനീയമായ ഡാറ്റ ഞങ്ങളുടെ പക്കലുണ്ടാകും, ഇത് ഭാവിയിൽ നിങ്ങളുടെ വിലാസ സ്‌പെയ്‌സിനായി ഇത്തരത്തിലുള്ള (മറ്റ്) ട്രാഫിക് തടസ്സങ്ങൾ സ്വയമേവ തിരിച്ചറിയാനും കണ്ടെത്താനും ഞങ്ങളെ സഹായിക്കും.

നിങ്ങളുടെ ട്രാഫിക്കിനെ തത്സമയം തടസ്സപ്പെടുത്തുന്നതിനെക്കുറിച്ച് നിങ്ങൾ ബോധവാന്മാരാകുകയാണെങ്കിൽ, അത് സ്വയം പ്രതിരോധിക്കാൻ നിങ്ങൾക്ക് ശ്രമിക്കാവുന്നതാണ്. ഈ കൂടുതൽ നിർദ്ദിഷ്ട പ്രിഫിക്സുകൾ ഉപയോഗിച്ച് റൂട്ടുകൾ പരസ്യപ്പെടുത്തുക എന്നതാണ് ആദ്യത്തെ സമീപനം. ഈ പ്രിഫിക്സുകളിൽ ഒരു പുതിയ ആക്രമണമുണ്ടായാൽ, ആവർത്തിക്കുക.

രണ്ടാമത്തെ സമീപനം, ആക്രമണകാരിയിലേക്കുള്ള നിങ്ങളുടെ വഴികളിലേക്കുള്ള പ്രവേശനം വെട്ടിക്കുറച്ച്, ആക്രമണകാരിയെയും അവൻ ഒരു നിർണായക പോയിന്റായവരെയും (നല്ല റൂട്ടുകൾക്ക്) ശിക്ഷിക്കുക എന്നതാണ്. നിങ്ങളുടെ പഴയ റൂട്ടുകളുടെ AS_PATH-ലേക്ക് ആക്രമണകാരിയുടെ ASN ചേർത്തുകൊണ്ട് ഇത് ചെയ്യാനാകും, അങ്ങനെ BGP-യിലെ ബിൽറ്റ്-ഇൻ ലൂപ്പ് ഡിറ്റക്ഷൻ മെക്കാനിസം ഉപയോഗിച്ച് ആ AS ഒഴിവാക്കാൻ അവരെ നിർബന്ധിക്കുക. നിങ്ങളുടെ സ്വന്തം നന്മയ്ക്കായി.

അവലംബം: www.habr.com