Yandex RPKI നടപ്പിലാക്കുന്നു

ഹലോ, എൻ്റെ പേര് അലക്സാണ്ടർ അസിമോവ്. Yandex-ൽ, ഞാൻ വിവിധ നിരീക്ഷണ സംവിധാനങ്ങളും ഗതാഗത നെറ്റ്‌വർക്ക് ആർക്കിടെക്ചറും വികസിപ്പിക്കുന്നു. എന്നാൽ ഇന്ന് നമ്മൾ BGP പ്രോട്ടോക്കോളിനെക്കുറിച്ച് സംസാരിക്കും.

ഒരാഴ്ച മുമ്പ്, Yandex എല്ലാ പിയറിംഗ് പങ്കാളികളുമായുള്ള ഇൻ്റർഫേസുകളിലും ട്രാഫിക് എക്സ്ചേഞ്ച് പോയിൻ്റുകളിലും ROV (റൂട്ട് ഒറിജിൻ മൂല്യനിർണ്ണയം) പ്രവർത്തനക്ഷമമാക്കി. എന്തുകൊണ്ടാണ് ഇത് ചെയ്തതെന്നും ടെലികോം ഓപ്പറേറ്റർമാരുമായുള്ള ആശയവിനിമയത്തെ ഇത് എങ്ങനെ ബാധിക്കുമെന്നും ചുവടെ വായിക്കുക.

ബിജിപിയും അതിലെന്താണ് തെറ്റ്

ഒരു ഇൻ്റർഡൊമെയ്ൻ റൂട്ടിംഗ് പ്രോട്ടോക്കോൾ ആയിട്ടാണ് BGP രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത് എന്ന് നിങ്ങൾക്കറിയാം. എന്നിരുന്നാലും, വഴിയിൽ, ഉപയോഗ കേസുകളുടെ എണ്ണം വർദ്ധിച്ചു: ഇന്ന്, BGP, നിരവധി വിപുലീകരണങ്ങൾക്ക് നന്ദി, ഒരു സന്ദേശ ബസായി മാറി, ഓപ്പറേറ്റർ VPN മുതൽ ഇപ്പോൾ ഫാഷനബിൾ SD-WAN വരെയുള്ള ടാസ്‌ക്കുകൾ ഉൾക്കൊള്ളുന്നു, കൂടാതെ ആപ്ലിക്കേഷൻ കണ്ടെത്തി. ഒരു SDN-പോലുള്ള കൺട്രോളറിനുള്ള ഗതാഗതം, ഡിസ്റ്റൻസ് വെക്റ്റർ BGP-യെ ലിങ്ക് സാറ്റ് പ്രോട്ടോക്കോളിന് സമാനമായ ഒന്നാക്കി മാറ്റുന്നു.

ചിത്രം. 1. ബിജിപി എസ്എഎഫ്ഐ

എന്തുകൊണ്ടാണ് BGPക്ക് ഇത്രയധികം ഉപയോഗങ്ങൾ ലഭിച്ചത് (സ്വീകരിക്കുന്നത് തുടരുന്നു)? രണ്ട് പ്രധാന കാരണങ്ങളുണ്ട്:

• സ്വയംഭരണ സംവിധാനങ്ങൾക്കിടയിൽ (AS) പ്രവർത്തിക്കുന്ന ഏക പ്രോട്ടോക്കോൾ BGP ആണ്;
• TLV (തരം-ദൈർഘ്യം-മൂല്യം) ഫോർമാറ്റിലുള്ള ആട്രിബ്യൂട്ടുകളെ BGP പിന്തുണയ്ക്കുന്നു. അതെ, പ്രോട്ടോക്കോൾ ഇതിൽ ഒറ്റയ്ക്കല്ല, പക്ഷേ ടെലികോം ഓപ്പറേറ്റർമാർ തമ്മിലുള്ള ജംഗ്ഷനുകളിൽ പകരം വയ്ക്കാൻ ഒന്നുമില്ലാത്തതിനാൽ, ഒരു അധിക റൂട്ടിംഗ് പ്രോട്ടോക്കോൾ പിന്തുണയ്ക്കുന്നതിനേക്കാൾ മറ്റൊരു ഫംഗ്ഷണൽ ഘടകം അറ്റാച്ചുചെയ്യുന്നത് എല്ലായ്പ്പോഴും കൂടുതൽ ലാഭകരമാണ്.

അവനെന്താ പ്രശ്നം? ചുരുക്കത്തിൽ, ലഭിച്ച വിവരങ്ങളുടെ കൃത്യത പരിശോധിക്കുന്നതിനുള്ള ബിൽറ്റ്-ഇൻ മെക്കാനിസങ്ങൾ പ്രോട്ടോക്കോളിൽ ഇല്ല. അതായത്, BGP ഒരു പ്രിയോറി ട്രസ്റ്റ് പ്രോട്ടോക്കോൾ ആണ്: നിങ്ങൾക്ക് ഇപ്പോൾ Rostelecom, MTS അല്ലെങ്കിൽ Yandex നെറ്റ്‌വർക്ക് ഉണ്ടെന്ന് ലോകത്തോട് പറയണമെങ്കിൽ, ദയവായി!

IRRDB അടിസ്ഥാനമാക്കിയുള്ള ഫിൽട്ടർ - ഏറ്റവും മികച്ചത്

ചോദ്യം ഉയർന്നുവരുന്നു: അത്തരമൊരു സാഹചര്യത്തിൽ ഇൻ്റർനെറ്റ് ഇപ്പോഴും പ്രവർത്തിക്കുന്നത് എന്തുകൊണ്ട്? അതെ, ഇത് മിക്ക സമയത്തും പ്രവർത്തിക്കുന്നു, എന്നാൽ അതേ സമയം അത് ഇടയ്ക്കിടെ പൊട്ടിത്തെറിക്കുന്നു, ഇത് മുഴുവൻ ദേശീയ സെഗ്മെൻ്റുകളും അപ്രാപ്യമാക്കുന്നു. BGP-യിലും ഹാക്കർ പ്രവർത്തനം വർദ്ധിച്ചുകൊണ്ടിരിക്കുകയാണെങ്കിലും, മിക്ക അപാകതകളും ഇപ്പോഴും ബഗുകൾ മൂലമാണ് സംഭവിക്കുന്നത്. ഈ വർഷത്തെ ഉദാഹരണമാണ് ചെറിയ ഓപ്പറേറ്റർ പിശക് ബെലാറസിൽ, മെഗാഫോൺ ഉപയോക്താക്കൾക്ക് അരമണിക്കൂറോളം ഇൻ്റർനെറ്റിൻ്റെ ഒരു പ്രധാന ഭാഗം അപ്രാപ്യമാക്കി. മറ്റൊരു ഉദാഹരണം - ഭ്രാന്തൻ BGP ഒപ്റ്റിമൈസർ ലോകത്തിലെ ഏറ്റവും വലിയ CDN നെറ്റ്‌വർക്കുകളിൽ ഒന്ന് തകർത്തു.

അരി. 2. ക്ലൗഡ്ഫ്ലെയർ ട്രാഫിക് തടസ്സം

എന്നിട്ടും, എന്തുകൊണ്ടാണ് അത്തരം അപാകതകൾ ഓരോ ആറുമാസത്തിലും ഒരിക്കൽ സംഭവിക്കുന്നത്, എല്ലാ ദിവസവും അല്ല? കാരണം, BGP അയൽക്കാരിൽ നിന്ന് എന്താണ് ലഭിക്കുന്നതെന്ന് പരിശോധിക്കാൻ കാരിയർമാർ റൂട്ടിംഗ് വിവരങ്ങളുടെ ബാഹ്യ ഡാറ്റാബേസുകൾ ഉപയോഗിക്കുന്നു. അത്തരം നിരവധി ഡാറ്റാബേസുകൾ ഉണ്ട്, അവയിൽ ചിലത് നിയന്ത്രിക്കുന്നത് രജിസ്ട്രാർമാരാണ് (RIPE, APNIC, ARIN, AFRINIC), ചിലർ സ്വതന്ത്ര കളിക്കാർ (ഏറ്റവും പ്രശസ്തമായത് RADB ആണ്), കൂടാതെ വലിയ കമ്പനികളുടെ ഉടമസ്ഥതയിലുള്ള ഒരു കൂട്ടം രജിസ്ട്രാറുകളും ഉണ്ട് (Level3 , NTT, മുതലായവ). ഇൻ്റർ-ഡൊമെയ്ൻ റൂട്ടിംഗ് അതിൻ്റെ പ്രവർത്തനത്തിൻ്റെ ആപേക്ഷിക സ്ഥിരത നിലനിർത്തുന്നത് ഈ ഡാറ്റാബേസുകൾക്ക് നന്ദി.

എന്നിരുന്നാലും, സൂക്ഷ്മതകളുണ്ട്. റൂട്ടിംഗ് വിവരങ്ങൾ ROUTE-OBJECTS, AS-SET ഒബ്‌ജക്‌റ്റുകൾ എന്നിവയെ അടിസ്ഥാനമാക്കി പരിശോധിക്കുന്നു. ആദ്യത്തേത് IRRDB-യുടെ ഭാഗത്തിന് അംഗീകാരം നൽകുന്നതാണെങ്കിൽ, രണ്ടാം ക്ലാസിന് ഒരു ക്ലാസായി അംഗീകാരം ഇല്ല. അതായത്, ആർക്കും ആരെയും അവരുടെ സെറ്റുകളിലേക്ക് ചേർക്കാനും അതുവഴി അപ്‌സ്ട്രീം ദാതാക്കളുടെ ഫിൽട്ടറുകൾ മറികടക്കാനും കഴിയും. മാത്രമല്ല, വ്യത്യസ്ത IRR ബേസുകൾക്കിടയിലുള്ള AS-SET നാമകരണത്തിൻ്റെ പ്രത്യേകത ഉറപ്പുനൽകുന്നില്ല, ഇത് ടെലികോം ഓപ്പറേറ്റർക്ക് പെട്ടെന്ന് കണക്റ്റിവിറ്റി നഷ്‌ടപ്പെടുന്നതിലൂടെ ആശ്ചര്യകരമായ ഇഫക്റ്റുകൾക്ക് ഇടയാക്കും, അദ്ദേഹത്തിൻ്റെ ഭാഗത്ത്, ഒന്നും മാറ്റില്ല.

AS-SET-ൻ്റെ ഉപയോഗ രീതിയാണ് ഒരു അധിക വെല്ലുവിളി. ഇവിടെ രണ്ട് പോയിൻ്റുകൾ ഉണ്ട്:

• ഒരു ഓപ്പറേറ്റർക്ക് ഒരു പുതിയ ക്ലയൻ്റ് ലഭിക്കുമ്പോൾ, അത് അതിൻ്റെ AS-SET-ലേക്ക് ചേർക്കുന്നു, പക്ഷേ മിക്കവാറും അത് നീക്കം ചെയ്യുന്നില്ല;
• ക്ലയൻ്റുകളുമായുള്ള ഇൻ്റർഫേസുകളിൽ മാത്രമാണ് ഫിൽട്ടറുകൾ ക്രമീകരിച്ചിരിക്കുന്നത്.

തൽഫലമായി, BGP ഫിൽട്ടറുകളുടെ ആധുനിക ഫോർമാറ്റിൽ, ക്ലയൻ്റുകളുമായുള്ള ഇൻ്റർഫേസുകളിൽ ക്രമേണ തരംതാഴ്ത്തുന്ന ഫിൽട്ടറുകളും പിയറിംഗ് പങ്കാളികളിൽ നിന്നും IP ട്രാൻസിറ്റ് ദാതാക്കളിൽ നിന്നും വരുന്ന കാര്യങ്ങളിൽ പ്രാഥമിക വിശ്വാസവും അടങ്ങിയിരിക്കുന്നു.

AS-SET അടിസ്ഥാനമാക്കിയുള്ള പ്രിഫിക്സ് ഫിൽട്ടറുകൾ മാറ്റിസ്ഥാപിക്കുന്നത് എന്താണ്? ഏറ്റവും രസകരമായ കാര്യം ഹ്രസ്വകാലത്തേക്ക് - ഒന്നുമില്ല എന്നതാണ്. എന്നാൽ IRRDB അടിസ്ഥാനമാക്കിയുള്ള ഫിൽട്ടറുകളുടെ പ്രവർത്തനത്തെ പൂർത്തീകരിക്കുന്ന അധിക സംവിധാനങ്ങൾ ഉയർന്നുവരുന്നു, ഒന്നാമതായി, ഇത് തീർച്ചയായും RPKI ആണ്.

ആർ.പി.കെ.ഐ

ലളിതമായ രീതിയിൽ, RPKI ആർക്കിടെക്ചറിനെ ഒരു വിതരണം ചെയ്ത ഡാറ്റാബേസായി കണക്കാക്കാം, അതിൻ്റെ റെക്കോർഡുകൾ ക്രിപ്റ്റോഗ്രാഫിക്കായി പരിശോധിക്കാം. ROA (റൂട്ട് ഒബ്‌ജക്റ്റ് ഓതറൈസേഷൻ)യുടെ കാര്യത്തിൽ, സൈനർ വിലാസ സ്ഥലത്തിൻ്റെ ഉടമയാണ്, കൂടാതെ റെക്കോർഡ് തന്നെ ഒരു ട്രിപ്പിൾ ആണ് (പ്രിഫിക്സ്, asn, max_length). അടിസ്ഥാനപരമായി, ഈ എൻട്രി ഇനിപ്പറയുന്നവ അനുമാനിക്കുന്നു: $max_length-ൽ കൂടാത്ത ദൈർഘ്യമുള്ള പ്രിഫിക്‌സുകൾ പരസ്യപ്പെടുത്തുന്നതിന് $പ്രിഫിക്‌സ് വിലാസ സ്‌പെയ്‌സിൻ്റെ ഉടമ AS നമ്പർ $asn-ന് അംഗീകാരം നൽകിയിട്ടുണ്ട്. കൂടാതെ, RPKI കാഷെ ഉപയോഗിച്ച് റൂട്ടറുകൾക്ക് ജോഡി പാലിക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കാൻ കഴിയും പ്രിഫിക്സ് - ആദ്യ സ്പീക്കർ.

ചിത്രം 3. RPKI ആർക്കിടെക്ചർ

ROA ഒബ്‌ജക്‌റ്റുകൾ വളരെക്കാലമായി സ്റ്റാൻഡേർഡ് ചെയ്‌തിട്ടുണ്ട്, എന്നാൽ അടുത്തിടെ വരെ അവ യഥാർത്ഥത്തിൽ IETF ജേണലിൽ പേപ്പറിൽ മാത്രമായിരുന്നു. എൻ്റെ അഭിപ്രായത്തിൽ, ഇതിനുള്ള കാരണം ഭയാനകമായി തോന്നുന്നു - മോശം മാർക്കറ്റിംഗ്. സ്റ്റാൻഡേർഡൈസേഷൻ പൂർത്തിയാക്കിയ ശേഷം, BGP ഹൈജാക്കിംഗിൽ നിന്ന് ROA സംരക്ഷിച്ചു എന്നതാണ് പ്രോത്സാഹനം - അത് ശരിയല്ല. പാതയുടെ തുടക്കത്തിൽ ശരിയായ എസി നമ്പർ ചേർത്തുകൊണ്ട് ആക്രമണകാരികൾക്ക് ROA അടിസ്ഥാനമാക്കിയുള്ള ഫിൽട്ടറുകൾ എളുപ്പത്തിൽ മറികടക്കാൻ കഴിയും. ഈ തിരിച്ചറിവ് വന്നയുടനെ, അടുത്ത ലോജിക്കൽ ഘട്ടം ROA യുടെ ഉപയോഗം ഉപേക്ഷിക്കുക എന്നതായിരുന്നു. ശരിക്കും, അത് പ്രവർത്തിക്കുന്നില്ലെങ്കിൽ നമുക്ക് എന്തിനാണ് സാങ്കേതികവിദ്യ വേണ്ടത്?

നിങ്ങളുടെ മനസ്സ് മാറ്റാൻ സമയമായിരിക്കുന്നത് എന്തുകൊണ്ട്? കാരണം ഇത് മുഴുവൻ സത്യമല്ല. BGP-യിലെ ഹാക്കർ പ്രവർത്തനങ്ങളിൽ നിന്ന് ROA പരിരക്ഷിക്കുന്നില്ല, പക്ഷേ ആകസ്മികമായ ട്രാഫിക് ഹൈജാക്കിംഗുകളിൽ നിന്ന് സംരക്ഷിക്കുന്നു, ഉദാഹരണത്തിന്, കൂടുതൽ സാധാരണമായിക്കൊണ്ടിരിക്കുന്ന ബിജിപിയിലെ സ്റ്റാറ്റിക് ലീക്കുകളിൽ നിന്ന്. കൂടാതെ, IRR-അധിഷ്‌ഠിത ഫിൽട്ടറുകളിൽ നിന്ന് വ്യത്യസ്തമായി, ക്ലയൻ്റുകളുമായുള്ള ഇൻ്റർഫേസുകളിൽ മാത്രമല്ല, സമപ്രായക്കാരുമായും അപ്‌സ്ട്രീം ദാതാക്കളുമായും ഉള്ള ഇൻ്റർഫേസുകളിലും ROV ഉപയോഗിക്കാൻ കഴിയും. അതായത്, ആർപികെഐയുടെ ആമുഖത്തിനൊപ്പം, ബിജിപിയിൽ നിന്ന് ഒരു മുൻഗണന ട്രസ്റ്റ് ക്രമേണ അപ്രത്യക്ഷമാകുന്നു.

ഇപ്പോൾ, ROA അടിസ്ഥാനമാക്കിയുള്ള റൂട്ടുകൾ പരിശോധിക്കുന്നത് പ്രധാന കളിക്കാർ ക്രമേണ നടപ്പിലാക്കുന്നു: ഏറ്റവും വലിയ യൂറോപ്യൻ IX ഇതിനകം തന്നെ ടയർ-1 ഓപ്പറേറ്റർമാർക്കിടയിൽ തെറ്റായ റൂട്ടുകൾ നിരസിക്കുന്നു, ഇത് AT&T ഹൈലൈറ്റ് ചെയ്യുന്നത് മൂല്യവത്താണ്, ഇത് അതിൻ്റെ പിയറിംഗ് പങ്കാളികളുമായുള്ള ഇൻ്റർഫേസുകളിൽ ഫിൽട്ടറുകൾ പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു. ഏറ്റവും വലിയ ഉള്ളടക്ക ദാതാക്കളും പദ്ധതിയെ സമീപിക്കുന്നുണ്ട്. ഡസൻ കണക്കിന് ഇടത്തരം ട്രാൻസിറ്റ് ഓപ്പറേറ്റർമാർ ഇതിനെക്കുറിച്ച് ആരോടും പറയാതെ നിശബ്ദമായി ഇത് നടപ്പിലാക്കിയിട്ടുണ്ട്. എന്തുകൊണ്ടാണ് ഈ ഓപ്പറേറ്റർമാരെല്ലാം RPKI നടപ്പിലാക്കുന്നത്? ഉത്തരം ലളിതമാണ്: മറ്റുള്ളവരുടെ തെറ്റുകളിൽ നിന്ന് നിങ്ങളുടെ ഔട്ട്ഗോയിംഗ് ട്രാഫിക്കിനെ സംരക്ഷിക്കാൻ. അതുകൊണ്ടാണ് റഷ്യൻ ഫെഡറേഷനിൽ അതിൻ്റെ നെറ്റ്‌വർക്കിൻ്റെ അരികിൽ ROV ഉൾപ്പെടുത്തിയ ആദ്യത്തെയാളിൽ ഒരാളായ Yandex.

അടുത്തതായി എന്ത് സംഭവിക്കും?

ട്രാഫിക് എക്‌സ്‌ചേഞ്ച് പോയിൻ്റുകളും സ്വകാര്യ പിയറിംഗുകളും ഉള്ള ഇൻ്റർഫേസുകളിൽ റൂട്ടിംഗ് വിവരങ്ങൾ പരിശോധിക്കുന്നത് ഞങ്ങൾ ഇപ്പോൾ പ്രവർത്തനക്ഷമമാക്കിയിട്ടുണ്ട്. സമീപഭാവിയിൽ, അപ്‌സ്‌ട്രീം ട്രാഫിക് ദാതാക്കളുമായി പരിശോധനയും പ്രവർത്തനക്ഷമമാക്കും.

ഇത് നിങ്ങൾക്ക് എന്ത് വ്യത്യാസമാണ് ഉണ്ടാക്കുന്നത്? നിങ്ങളുടെ നെറ്റ്‌വർക്കിനും Yandex-നും ഇടയിലുള്ള ട്രാഫിക് റൂട്ടിംഗിൻ്റെ സുരക്ഷ വർദ്ധിപ്പിക്കാൻ നിങ്ങൾ ആഗ്രഹിക്കുന്നുവെങ്കിൽ, ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു:

• നിങ്ങളുടെ വിലാസ സ്ഥലത്ത് ഒപ്പിടുക RIPE പോർട്ടലിൽ - ഇത് ലളിതമാണ്, ശരാശരി 5-10 മിനിറ്റ് എടുക്കും. അറിയാതെ ആരെങ്കിലും നിങ്ങളുടെ അഡ്രസ് സ്പേസ് മോഷ്ടിച്ചാൽ ഇത് ഞങ്ങളുടെ കണക്റ്റിവിറ്റിയെ സംരക്ഷിക്കും (ഇത് തീർച്ചയായും താമസിയാതെ അല്ലെങ്കിൽ പിന്നീട് സംഭവിക്കും);
• ഓപ്പൺ സോഴ്സ് RPKI കാഷെകളിൽ ഒന്ന് ഇൻസ്റ്റാൾ ചെയ്യുക (പഴുത്ത-വാലിഡേറ്റർ, റൂട്ടിനേറ്റർ) കൂടാതെ നെറ്റ്‌വർക്ക് ബോർഡറിൽ റൂട്ട് പരിശോധന പ്രവർത്തനക്ഷമമാക്കുക - ഇതിന് കൂടുതൽ സമയമെടുക്കും, പക്ഷേ വീണ്ടും, ഇത് സാങ്കേതിക ബുദ്ധിമുട്ടുകൾ ഉണ്ടാക്കില്ല.

പുതിയ RPKI ഒബ്‌ജക്‌റ്റിനെ അടിസ്ഥാനമാക്കി ഒരു ഫിൽട്ടറിംഗ് സിസ്റ്റത്തിൻ്റെ വികസനത്തെയും Yandex പിന്തുണയ്ക്കുന്നു - ASPA (ഓട്ടോണമസ് സിസ്റ്റം പ്രൊവൈഡർ ഓതറൈസേഷൻ). ASPA, ROA ഒബ്‌ജക്‌റ്റുകൾ അടിസ്ഥാനമാക്കിയുള്ള ഫിൽട്ടറുകൾക്ക് "ലീക്കായ" AS-SET-കൾ മാറ്റിസ്ഥാപിക്കാൻ മാത്രമല്ല, BGP ഉപയോഗിച്ച് MiTM ആക്രമണങ്ങളുടെ പ്രശ്നങ്ങൾ അവസാനിപ്പിക്കാനും കഴിയും.

അടുത്ത ഹോപ്പ് കോൺഫറൻസിൽ ഒരു മാസത്തിനുള്ളിൽ ഞാൻ ASPA-യെക്കുറിച്ച് വിശദമായി സംസാരിക്കും. Netflix, Facebook, Dropbox, Juniper, Mellanox, Yandex എന്നിവിടങ്ങളിൽ നിന്നുള്ള സഹപ്രവർത്തകരും അവിടെ സംസാരിക്കും. ഭാവിയിൽ നെറ്റ്‌വർക്ക് സ്റ്റാക്കിലും അതിൻ്റെ വികസനത്തിലും നിങ്ങൾക്ക് താൽപ്പര്യമുണ്ടെങ്കിൽ, വരൂ രജിസ്ട്രേഷൻ തുറന്നിരിക്കുന്നു.

അവലംബം: www.habr.com