इंटरनेट अजूनही ऑनलाइन का आहे?

इंटरनेट ही एक मजबूत, स्वतंत्र आणि अविनाशी रचना असल्याचे दिसते. सिद्धांतानुसार, नेटवर्क अणु स्फोटात टिकून राहण्यासाठी पुरेसे मजबूत आहे. प्रत्यक्षात, इंटरनेट एक लहान राउटर सोडू शकते. सर्व कारण इंटरनेट हे विरोधाभास, भेद्यता, त्रुटी आणि मांजरींबद्दलच्या व्हिडिओंचा ढीग आहे. इंटरनेटचा कणा बीजीपी समस्यांनी भरलेला आहे. तो अजूनही श्वास घेत आहे हे आश्चर्यकारक आहे. इंटरनेटमधील त्रुटींव्यतिरिक्त, ते सर्व आणि विविध: मोठ्या इंटरनेट प्रदाते, कॉर्पोरेशन, राज्ये आणि DDoS हल्ल्यांद्वारे देखील खंडित आहे. त्याबद्दल काय करावे आणि त्यासह कसे जगायचे?

उत्तर माहीत आहे अलेक्सी उचकिन (रात्रीचा_साप) हा IQ Option मधील नेटवर्क अभियंत्यांच्या टीमचा नेता आहे. वापरकर्त्यांसाठी प्लॅटफॉर्मची प्रवेशयोग्यता हे त्याचे मुख्य कार्य आहे. वर Alexey च्या अहवाल उतारा मध्ये सेंट हायलोड++ 2019 चला बीजीपी, डीडीओएस हल्ले, इंटरनेट स्विचेस, प्रदाता त्रुटी, विकेंद्रीकरण आणि लहान राउटरने इंटरनेटला झोपण्यासाठी पाठवलेल्या प्रकरणांबद्दल बोलूया. शेवटी - हे सर्व कसे टिकवायचे याबद्दल काही टिपा.

ज्या दिवशी इंटरनेट तुटले

मी फक्त काही घटनांचा उल्लेख करेन जिथे इंटरनेटची कनेक्टिव्हिटी तुटली. संपूर्ण चित्रासाठी हे पुरेसे असेल.

"AS7007 घटना". एप्रिल 1997 मध्ये पहिल्यांदा इंटरनेट खंडित झाले. स्वायत्त प्रणाली 7007 मधील एका राउटरच्या सॉफ्टवेअरमध्ये एक बग होता. काही क्षणी, राउटरने त्याचे अंतर्गत राउटिंग टेबल त्याच्या शेजाऱ्यांना घोषित केले आणि नेटवर्कचा अर्धा भाग ब्लॅक होलमध्ये पाठविला.

"पाकिस्तान विरुद्ध YouTube". 2008 मध्ये, पाकिस्तानच्या धाडसी लोकांनी YouTube ब्लॉक करण्याचा निर्णय घेतला. त्यांनी ते इतके चांगले केले की अर्धे जग मांजरींशिवाय राहिले.

Rostelecom द्वारे "VISA, MasterCard आणि Symantec उपसर्ग कॅप्चर करा". 2017 मध्ये, Rostelecom ने चुकून VISA, MasterCard आणि Symantec उपसर्ग घोषित करण्यास सुरुवात केली. परिणामी, आर्थिक वाहतूक प्रदात्याद्वारे नियंत्रित चॅनेलद्वारे केली गेली. गळती फार काळ टिकली नाही, परंतु वित्तीय कंपन्यांसाठी ते अप्रिय होते.

Google विरुद्ध जपान. ऑगस्ट 2017 मध्ये, Google ने त्याच्या काही अपलिंकमध्ये प्रमुख जपानी प्रदाते NTT आणि KDDI चे उपसर्ग घोषित करण्यास सुरुवात केली. ट्रॅफिक गुगलला ट्रांझिट म्हणून पाठवले होते, बहुधा चुकून. Google प्रदाता नसल्यामुळे आणि ट्रांझिट रहदारीला परवानगी देत ​​​​नाही, जपानचा एक महत्त्वपूर्ण भाग इंटरनेटशिवाय राहिला होता.

"DV LINK ने Google, Apple, Facebook, Microsoft चे उपसर्ग कॅप्चर केले". तसेच 2017 मध्ये, रशियन प्रदाता DV LINK ने काही कारणास्तव Google, Apple, Facebook, Microsoft आणि इतर काही प्रमुख खेळाडूंच्या नेटवर्कची घोषणा करण्यास सुरुवात केली.

"यूएसए मधील eNet ने AWS Route53 आणि MyEtherwallet उपसर्ग कॅप्चर केले आहेत". 2018 मध्ये, ओहायो प्रदाता किंवा त्याच्या क्लायंटपैकी एकाने Amazon Route53 आणि MyEtherwallet क्रिप्टो वॉलेट नेटवर्कची घोषणा केली. हल्ला यशस्वी झाला: स्व-स्वाक्षरी केलेले प्रमाणपत्र असूनही, MyEtherwallet वेबसाइटवर प्रवेश करताना वापरकर्त्याला दिसल्याबद्दल चेतावणी दिली गेली, अनेक पाकीटांचे अपहरण केले गेले आणि क्रिप्टोकरन्सीचा काही भाग चोरीला गेला.

एकट्या 2017 मध्ये अशा 14 हून अधिक घटना घडल्या! नेटवर्क अजूनही विकेंद्रित आहे, म्हणून सर्वकाही आणि प्रत्येकजण खंडित होत नाही. परंतु हजारो घटना आहेत, त्या सर्व BGP प्रोटोकॉलशी संबंधित आहेत जे इंटरनेटला सामर्थ्य देतात.

BGP आणि त्याच्या समस्या

प्रोटोकॉल BGP - बॉर्डर गेटवे प्रोटोकॉल, प्रथम वर्णन 1989 मध्ये IBM आणि Cisco Systems च्या दोन अभियंत्यांनी तीन “नॅपकिन्स” - A4 शीटवर केले होते. या "नॅपकिन्स" नेटवर्किंग जगाचे अवशेष म्हणून सॅन फ्रान्सिस्कोमधील सिस्को सिस्टम्सच्या मुख्यालयात अजूनही बसले आहेत.

प्रोटोकॉल स्वायत्त प्रणालींच्या परस्परसंवादावर आधारित आहे - स्वायत्त प्रणाली किंवा थोडक्यात एएस. स्वायत्त प्रणाली ही फक्त एक आयडी आहे ज्याला सार्वजनिक नोंदणीमध्ये आयपी नेटवर्क नियुक्त केले जातात. हा आयडी असलेला राउटर या नेटवर्कची घोषणा जगाला करू शकतो. त्यानुसार, इंटरनेटवरील कोणताही मार्ग वेक्टर म्हणून दर्शविला जाऊ शकतो, ज्याला म्हणतात AS पथ. वेक्टरमध्ये स्वायत्त प्रणालींची संख्या असते ज्यांना गंतव्य नेटवर्कवर पोहोचण्यासाठी मार्गक्रमण करणे आवश्यक आहे.

उदाहरणार्थ, अनेक स्वायत्त प्रणालींचे नेटवर्क आहे. तुम्हाला AS65001 सिस्टमवरून AS65003 सिस्टीमवर जाण्याची आवश्यकता आहे. एका सिस्टीममधील मार्ग आकृतीमध्ये AS पथ द्वारे दर्शविला जातो. यात दोन स्वायत्त प्रणालींचा समावेश आहे: 65002 आणि 65003. प्रत्येक गंतव्य पत्त्यासाठी एक AS पथ वेक्टर असतो, ज्यामध्ये स्वायत्त प्रणालींची संख्या असते ज्यातून आपल्याला जावे लागते.

मग बीजीपीमध्ये काय समस्या आहेत?

बीजीपी हा ट्रस्ट प्रोटोकॉल आहे

BGP प्रोटोकॉल विश्वासावर आधारित आहे. याचा अर्थ असा की आपण आपल्या शेजाऱ्यावर बाय डीफॉल्ट विश्वास ठेवतो. इंटरनेटच्या अगदी पहाटे विकसित झालेल्या अनेक प्रोटोकॉलचे हे वैशिष्ट्य आहे. चला "विश्वास" म्हणजे काय ते शोधूया.

शेजारी प्रमाणीकरण नाही. औपचारिकपणे, MD5 आहे, परंतु 5 मध्ये MD2019 इतकेच आहे...

फिल्टरिंग नाही. BGP मध्ये फिल्टर आहेत आणि त्यांचे वर्णन केले आहे, परंतु ते वापरलेले नाहीत किंवा चुकीच्या पद्धतीने वापरलेले नाहीत. का मी नंतर स्पष्ट करेन.

अतिपरिचित क्षेत्र सेट करणे खूप सोपे आहे. जवळपास कोणत्याही राउटरवर BGP प्रोटोकॉलमध्ये अतिपरिचित क्षेत्र सेट करणे हे कॉन्फिगरेशनच्या दोन ओळी आहेत.

BGP व्यवस्थापन अधिकारांची आवश्यकता नाही. तुमची पात्रता सिद्ध करण्यासाठी तुम्हाला परीक्षा देण्याची गरज नाही. नशेत असताना बीजीपी कॉन्फिगर करण्याचे तुमचे अधिकार कोणीही काढून घेणार नाही.

दोन मुख्य समस्या

उपसर्ग hijacks. मायइथरवॉलेटच्या बाबतीत असेच आहे, उपसर्ग अपहरण म्हणजे तुमच्या मालकीचे नसलेल्या नेटवर्कची जाहिरात करणे. आम्ही काही उपसर्ग घेतले, प्रदात्याशी सहमत झालो किंवा ते हॅक केले आणि त्याद्वारे आम्ही या नेटवर्कची घोषणा करतो.

मार्ग गळती. लीक थोडे अधिक क्लिष्ट आहेत. लीक हा एएस पाथमधील बदल आहे. सर्वोत्तम म्हणजे, बदलामुळे जास्त विलंब होईल कारण तुम्हाला लांब मार्गाने किंवा कमी क्षमतेच्या दुव्यावर प्रवास करणे आवश्यक आहे. सर्वात वाईट म्हणजे, Google आणि जपानच्या बाबतीत पुनरावृत्ती होईल.

Google स्वतः ऑपरेटर किंवा परिवहन स्वायत्त प्रणाली नाही. पण जेव्हा त्याने जपानी ऑपरेटर्सचे नेटवर्क त्याच्या प्रदात्याला जाहीर केले तेव्हा AS पथ मार्गे Google द्वारे ट्रॅफिकला उच्च प्राधान्य म्हणून पाहिले गेले. ट्रॅफिक तिथे गेले आणि खाली आले कारण Google मधील रूटिंग सेटिंग्ज सीमेवरील फिल्टरपेक्षा अधिक जटिल आहेत.

फिल्टर्स का काम करत नाहीत?

कुणालाच काळजी नाही. हे मुख्य कारण आहे - कोणालाही काळजी नाही. BGP द्वारे प्रदात्याशी कनेक्ट केलेल्या छोट्या प्रदाता किंवा कंपनीच्या प्रशासकाने MikroTik घेतले, त्यावर BGP कॉन्फिगर केले आणि तेथे फिल्टर कॉन्फिगर केले जाऊ शकतात हे देखील माहित नाही.

कॉन्फिगरेशन त्रुटी. त्यांनी काहीतरी गडबड केली, मास्कमध्ये चूक केली, चुकीची जाळी घातली - आणि आता पुन्हा एक चूक आहे.

तांत्रिक शक्यता नाही. उदाहरणार्थ, दूरसंचार प्रदात्यांकडे अनेक ग्राहक आहेत. प्रत्येक क्लायंटसाठी फिल्टर्स आपोआप अपडेट करणे ही स्मार्ट गोष्ट आहे - त्याच्याकडे नवीन नेटवर्क आहे की नाही, त्याने त्याचे नेटवर्क एखाद्याला भाड्याने दिले आहे. हे अनुसरण करणे कठीण आहे आणि आपल्या हातांनी आणखी कठीण आहे. म्हणून, ते फक्त आरामशीर फिल्टर स्थापित करतात किंवा फिल्टर अजिबात स्थापित करत नाहीत.

अपवाद. प्रिय आणि मोठ्या क्लायंटसाठी अपवाद आहेत. विशेषत: इंटर-ऑपरेटर इंटरफेसच्या बाबतीत. उदाहरणार्थ, TransTeleCom आणि Rostelecom मध्ये नेटवर्कचा एक समूह आहे आणि त्यांच्यामध्ये एक इंटरफेस आहे. जॉइंट पडल्यास, ते कोणासाठीही चांगले होणार नाही, म्हणून फिल्टर आरामशीर किंवा पूर्णपणे काढून टाकले जातात.

IRR मध्ये कालबाह्य किंवा असंबद्ध माहिती. मध्ये रेकॉर्ड केलेल्या माहितीवर आधारित फिल्टर तयार केले जातात IRR - इंटरनेट राउटिंग रेजिस्ट्री. हे प्रादेशिक इंटरनेट निबंधकांच्या नोंदणी आहेत. बहुतेकदा, नोंदणींमध्ये कालबाह्य किंवा असंबद्ध माहिती किंवा दोन्ही असतात.

हे रजिस्ट्रार कोण आहेत?

सर्व इंटरनेट पत्ते संस्थेचे आहेत IANA - इंटरनेट असाइन केलेले क्रमांक प्राधिकरण. जेव्हा तुम्ही एखाद्याकडून आयपी नेटवर्क खरेदी करता तेव्हा तुम्ही पत्ते खरेदी करत नसून ते वापरण्याचा अधिकार घेत आहात. पत्ते एक अमूर्त संसाधन आहेत आणि सामान्य करारानुसार ते सर्व IANA च्या मालकीचे आहेत.

प्रणाली अशा प्रकारे कार्य करते. IANA पाच प्रादेशिक निबंधकांना IP पत्ते आणि स्वायत्त प्रणाली क्रमांकांचे व्यवस्थापन सोपवते. ते स्वायत्त प्रणाली जारी करतात LIR - स्थानिक इंटरनेट रजिस्ट्रार. LIR नंतर अंतिम वापरकर्त्यांना IP पत्ते वाटप करतात.

प्रणालीचा तोटा असा आहे की प्रत्येक प्रादेशिक निबंधक आपापल्या पद्धतीने रजिस्टर्स ठेवतात. रजिस्टरमध्ये कोणती माहिती असावी आणि ती कोणी तपासावी किंवा करू नये यावर प्रत्येकाची स्वतःची मते आहेत. त्याचा परिणाम म्हणजे आता आमच्यातला गोंधळ.

या समस्यांशी तुम्ही आणखी कसे लढू शकता?

IRR - मध्यम गुणवत्ता. हे IRR सह स्पष्ट आहे - तेथे सर्व काही वाईट आहे.

BGP-समुदाय. ही काही विशेषता आहे जी प्रोटोकॉलमध्ये वर्णन केलेली आहे. आम्ही आमच्या घोषणेसाठी एक विशेष समुदाय जोडू शकतो, जेणेकरुन शेजारी आमचे नेटवर्क त्याच्या शेजाऱ्यांना पाठवू नये. जेव्हा आमच्याकडे P2P लिंक असते, तेव्हा आम्ही आमच्या नेटवर्कची देवाणघेवाण करतो. मार्ग चुकून इतर नेटवर्कवर जाण्यापासून रोखण्यासाठी, आम्ही समुदाय जोडतो.

समुदाय संक्रमणशील नसतात. हे नेहमीच दोघांसाठी एक करार असते आणि ही त्यांची कमतरता आहे. आम्ही कोणताही समुदाय नियुक्त करू शकत नाही, एक अपवाद वगळता, जो प्रत्येकाद्वारे डीफॉल्टनुसार स्वीकारला जातो. आम्ही खात्री बाळगू शकत नाही की प्रत्येकजण या समुदायाचा स्वीकार करेल आणि त्याचा योग्य अर्थ लावेल. म्हणूनच, सर्वोत्तम बाबतीत, जर तुम्ही तुमच्या अपलिंकशी सहमत असाल, तर समुदायाच्या दृष्टीने तुम्हाला त्याच्याकडून काय हवे आहे हे त्याला समजेल. परंतु तुमच्या शेजाऱ्याला समजू शकत नाही किंवा ऑपरेटर फक्त तुमचा टॅग रीसेट करेल आणि तुम्हाला हवे ते साध्य होणार नाही.

RPKI + ROA समस्यांचा फक्त एक छोटासा भाग सोडवते. RPKI आहे संसाधन सार्वजनिक की पायाभूत सुविधा  — राउटिंग माहितीवर स्वाक्षरी करण्यासाठी एक विशेष फ्रेमवर्क. LIR आणि त्यांच्या क्लायंटना अद्ययावत अॅड्रेस स्पेस डेटाबेस राखण्यासाठी सक्ती करणे ही चांगली कल्पना आहे. पण त्यात एक अडचण आहे.

RPKI देखील एक श्रेणीबद्ध सार्वजनिक की प्रणाली आहे. IANA कडे एक की आहे ज्यातून RIR की व्युत्पन्न केल्या जातात आणि कोणत्या LIR कळा तयार केल्या जातात? ज्यासह ते ROAs वापरून त्यांच्या पत्त्याच्या जागेवर स्वाक्षरी करतात - रूट मूळ प्राधिकरण:

— मी तुम्हाला खात्री देतो की हा उपसर्ग या स्वायत्त प्रदेशाच्या वतीने घोषित केला जाईल.

ROA व्यतिरिक्त, इतर वस्तू आहेत, परंतु नंतर त्यांच्याबद्दल अधिक. ही एक चांगली आणि उपयुक्त गोष्ट दिसते. परंतु हे आपल्याला “अजिबात” या शब्दातून लीक होण्यापासून संरक्षण देत नाही आणि उपसर्ग अपहरणासह सर्व समस्या सोडवत नाही. त्यामुळे खेळाडूंना त्याची अंमलबजावणी करण्याची घाई नाही. AT&T आणि मोठ्या IX कंपन्यां सारख्या मोठ्या खेळाडूंकडून आधीच आश्वासने असली तरी अवैध ROA रेकॉर्ड असलेले उपसर्ग वगळले जातील.

कदाचित ते हे करतील, परंतु सध्या आमच्याकडे मोठ्या संख्येने उपसर्ग आहेत जे कोणत्याही प्रकारे स्वाक्षरी केलेले नाहीत. एकीकडे, ते वैधपणे घोषित केले आहेत की नाही हे स्पष्ट नाही. दुसरीकडे, आम्ही त्यांना डीफॉल्टनुसार टाकू शकत नाही, कारण हे बरोबर आहे की नाही याची आम्हाला खात्री नाही.

अजून काय आहे तिकडे?

BGPSec. गुलाबी पोनीच्या जाळ्यासाठी शिक्षणतज्ञांनी तयार केलेली ही एक छान गोष्ट आहे. ते म्हणाले:

- आमच्याकडे RPKI + ROA - अॅड्रेस स्पेस स्वाक्षरीची पडताळणी करणारी यंत्रणा आहे. चला एक वेगळा BGP विशेषता तयार करू आणि त्याला BGPSec पथ म्हणू. प्रत्येक राउटर त्याच्या स्वतःच्या स्वाक्षरीने त्याच्या शेजाऱ्यांना जाहीर केलेल्या घोषणांवर स्वाक्षरी करेल. अशा प्रकारे आम्हाला स्वाक्षरी केलेल्या घोषणांच्या साखळीतून एक विश्वासार्ह मार्ग मिळेल आणि ते तपासण्यात सक्षम होऊ.

सैद्धांतिकदृष्ट्या चांगले, परंतु व्यवहारात अनेक समस्या आहेत. BGPSec नेक्स्ट-हॉप्स निवडण्यासाठी आणि थेट राउटरवर इनकमिंग/आउटगोइंग ट्रॅफिक व्यवस्थापित करण्यासाठी अनेक विद्यमान BGP मेकॅनिक्स तोडते. BGPSec संपूर्ण बाजारपेठेपैकी 95% लागू करेपर्यंत कार्य करत नाही, जे स्वतःच एक यूटोपिया आहे.

BGPSec मध्ये कार्यक्षमतेच्या मोठ्या समस्या आहेत. सध्याच्या हार्डवेअरवर, घोषणा तपासण्याची गती प्रति सेकंद अंदाजे 50 उपसर्ग आहे. तुलनेसाठी: 700 उपसर्गांची वर्तमान इंटरनेट सारणी 000 तासांमध्ये अपलोड केली जाईल, त्या दरम्यान ते आणखी 5 वेळा बदलेल.

बीजीपी ओपन पॉलिसी (भूमिका-आधारित बीजीपी). मॉडेलवर आधारित नवीन प्रस्ताव गाओ-रेक्सफोर्ड. बीजीपीवर संशोधन करणारे हे दोन शास्त्रज्ञ आहेत.

गाओ-रेक्सफोर्ड मॉडेल खालीलप्रमाणे आहे. सोप्या करण्यासाठी, बीजीपी सह संवादाचे काही प्रकार आहेत:

• प्रदाता ग्राहक;
• पी 2 पी;
• अंतर्गत संवाद, iBGP म्हणा.

राउटरच्या भूमिकेवर आधारित, डीफॉल्टनुसार काही आयात/निर्यात धोरणे नियुक्त करणे आधीच शक्य आहे. प्रशासकाला उपसर्ग सूची कॉन्फिगर करण्याची आवश्यकता नाही. राउटर आपापसात सहमत असलेल्या भूमिकेवर आधारित आणि जे सेट केले जाऊ शकते, आम्हाला आधीच काही डीफॉल्ट फिल्टर प्राप्त झाले आहेत. सध्या हा मसुदा आहे ज्यावर IETF मध्ये चर्चा होत आहे. मला आशा आहे की लवकरच आम्ही हे आरएफसी आणि हार्डवेअरवर अंमलबजावणीच्या रूपात पाहू.

मोठे इंटरनेट प्रदाता

प्रदात्याचे उदाहरण पाहू सेंचुरी लिंक्स. 37 राज्यांना सेवा देणारा आणि 15 डेटा केंद्रे असणारा हा तिसरा सर्वात मोठा यूएस प्रदाता आहे. 

डिसेंबर 2018 मध्ये, सेंच्युरीलिंक यूएस मार्केटमध्ये 50 तासांसाठी होती. घटनेदरम्यान, दोन राज्यांमध्ये एटीएमच्या ऑपरेशनमध्ये समस्या आल्या आणि पाच राज्यांमध्ये 911 नंबर अनेक तास काम करत नव्हता. आयडाहोमधील लॉटरी पूर्णपणे उद्ध्वस्त झाली. या घटनेची सध्या यूएस टेलिकम्युनिकेशन कमिशनकडून चौकशी सुरू आहे.

दुर्घटनेचे कारण एका डेटा सेंटरमधील एक नेटवर्क कार्ड होते. कार्ड खराब झाले, चुकीचे पॅकेट पाठवले आणि प्रदात्याचे सर्व 15 डेटा सेंटर खाली गेले.

या प्रदात्यासाठी कल्पना कार्य करत नाही "पडणे खूप मोठे". ही कल्पना अजिबात चालत नाही. तुम्ही कोणताही मोठा खेळाडू घेऊ शकता आणि काही लहान गोष्टी शीर्षस्थानी ठेवू शकता. अमेरिका अजूनही कनेक्टिव्हिटीमध्ये चांगले काम करत आहे. सेंच्युरीलिंकचे ग्राहक ज्यांच्याकडे रिझर्व्ह होते ते मोठ्या संख्येने त्यात गेले. त्यानंतर पर्यायी ऑपरेटर्सनी त्यांच्या लिंक ओव्हरलोड झाल्याची तक्रार केली.

जर सशर्त Kazakhtelecom पडले तर संपूर्ण देश इंटरनेटशिवाय राहील.

महामंडळे

कदाचित Google, Amazon, FaceBook आणि इतर कॉर्पोरेशन इंटरनेटला समर्थन देतात? नाही, तेही तोडतात.

2017 मध्ये सेंट पीटर्सबर्ग येथे ENOG13 परिषदेत जेफ ह्यूस्टन पासून APnic ओळख करून दिली अहवाल "ट्रान्झिटचा मृत्यू". त्यात असे म्हटले आहे की आम्हाला परस्परसंवाद, पैशांचा ओघ आणि इंटरनेटवर ट्रॅफिक उभ्या राहण्याची सवय आहे. आमच्याकडे लहान प्रदाते आहेत जे मोठ्यांना कनेक्टिव्हिटीसाठी पैसे देतात आणि ते आधीच ग्लोबल ट्रांझिटच्या कनेक्टिव्हिटीसाठी पैसे देतात.

आता आपल्याकडे अशी अनुलंब रचना आहे. सर्व काही ठीक होईल, परंतु जग बदलत आहे - प्रमुख खेळाडू त्यांच्या स्वत: च्या पाठीचा कणा तयार करण्यासाठी त्यांच्या ट्रान्सोसेनिक केबल्स तयार करत आहेत.

CDN केबल बद्दल बातम्या.

2018 मध्ये, TeleGeography ने एक अभ्यास जारी केला की इंटरनेटवरील निम्म्याहून अधिक रहदारी यापुढे इंटरनेट नाही, तर मोठ्या खेळाडूंचा पाठीचा कणा CDN आहे. ही रहदारी आहे जी इंटरनेटशी संबंधित आहे, परंतु आम्ही ज्या नेटवर्कबद्दल बोलत होतो ते आता नाही.

इंटरनेट मोठ्या प्रमाणात जोडलेल्या नेटवर्कमध्ये मोडत आहे.

मायक्रोसॉफ्टचे स्वतःचे नेटवर्क आहे, Google चे स्वतःचे आहे आणि त्यांचे एकमेकांशी थोडेसे ओव्हरलॅप आहे. यूएसए मध्ये कोठेतरी उगम झालेला ट्रॅफिक मायक्रोसॉफ्ट चॅनेलद्वारे समुद्राच्या पलीकडे युरोपमध्ये कुठेतरी CDN वर जातो, नंतर CDN किंवा IX द्वारे तो तुमच्या प्रदात्याशी जोडला जातो आणि तुमच्या राउटरवर जातो.

विकेंद्रीकरण लोप पावत आहे.

अणुस्फोटात टिकून राहण्यास मदत करणारी इंटरनेटची ही ताकद नष्ट होत आहे. वापरकर्त्यांची एकाग्रता आणि रहदारीची ठिकाणे दिसतात. कंडिशनल Google क्लाउड पडल्यास, एकाच वेळी अनेक बळी जातील. जेव्हा Roskomnadzor ने AWS ला ब्लॉक केले तेव्हा आम्हाला हे अंशतः जाणवले. आणि सेंच्युरीलिंकचे उदाहरण दाखवते की यासाठी अगदी छोट्या गोष्टीही पुरेशा आहेत.

पूर्वी, सर्वकाही नाही आणि प्रत्येकाने तोडले नाही. भविष्यात, आपण या निष्कर्षापर्यंत पोहोचू शकतो की एका प्रमुख खेळाडूवर प्रभाव टाकून आपण बर्‍याच गोष्टी, अनेक ठिकाणी आणि अनेक लोकांमध्ये खंडित करू शकतो.

राज्ये

राज्ये पुढील रांगेत आहेत आणि त्यांच्या बाबतीत असेच घडते.

आमचे Roskomnadzor कोणत्याही प्रकारे येथे पायनियर नाही. इराण, भारत आणि पाकिस्तानमध्ये इंटरनेट बंद करण्याची अशीच पद्धत अस्तित्वात आहे. इंग्लंडमध्ये इंटरनेट बंद करण्याच्या शक्यतेवर एक विधेयक आहे.

कोणत्याही मोठ्या राज्याला इंटरनेट बंद करण्यासाठी स्विच मिळवायचा आहे, एकतर पूर्णपणे किंवा काही भागांमध्ये: Twitter, Telegram, Facebook. असे नाही की ते कधीही यशस्वी होणार नाहीत हे त्यांना समजत नाही, परंतु त्यांना ते खरोखर हवे आहे. स्विचचा वापर, एक नियम म्हणून, राजकीय हेतूंसाठी केला जातो - राजकीय प्रतिस्पर्ध्यांना दूर करण्यासाठी, किंवा निवडणुका जवळ येत आहेत, किंवा रशियन हॅकर्सने पुन्हा काहीतरी तोडले आहे.

DDoS हल्ले

मी क्यूरेटर लॅबमधून माझ्या कॉम्रेड्सकडून ब्रेड काढून घेणार नाही, ते माझ्यापेक्षा खूप चांगले करतात. त्यांच्याकडे आहे वार्षिक अहवाल इंटरनेट स्थिरतेवर. आणि 2018 च्या अहवालात त्यांनी हेच लिहिले आहे.

DDoS हल्ल्यांचा सरासरी कालावधी 2.5 तासांपर्यंत घसरतो. हल्लेखोर देखील पैसे मोजू लागतात आणि जर संसाधन त्वरित उपलब्ध नसेल तर ते पटकन ते एकटे सोडतात.

हल्ल्यांची तीव्रता वाढत आहे. 2018 मध्ये, आम्ही Akamai नेटवर्कवर 1.7 Tb/s पाहिले आणि ही मर्यादा नाही.

नवीन आक्रमण वेक्टर उदयास येत आहेत आणि जुने तीव्र होत आहेत. नवीन प्रोटोकॉल उदयास येत आहेत जे प्रवर्धनास संवेदनाक्षम आहेत आणि विद्यमान प्रोटोकॉलवर, विशेषत: TLS आणि यासारख्या नवीन आक्रमणे उदयास येत आहेत.

सर्वाधिक रहदारी मोबाइल उपकरणांवरून होते. त्याच वेळी, इंटरनेट ट्रॅफिक मोबाइल क्लायंटकडे वळते. हल्ला करणारे आणि बचाव करणारे दोघेही यासह कार्य करण्यास सक्षम असणे आवश्यक आहे.

अभेद्य - नाही. ही मुख्य कल्पना आहे - कोणतेही सार्वत्रिक संरक्षण नाही जे निश्चितपणे कोणत्याही DDoS विरूद्ध संरक्षण करेल.

इंटरनेटशी कनेक्ट केल्याशिवाय सिस्टम स्थापित केली जाऊ शकत नाही.

मला आशा आहे की मी तुम्हाला पुरेशी घाबरवले आहे. आता यावर काय करायचे याचा विचार करूया.

काय करायचं?!

तुमच्याकडे मोकळा वेळ, इच्छा आणि इंग्रजीचे ज्ञान असल्यास, कार्यरत गटांमध्ये भाग घ्या: IETF, RIPE WG. या खुल्या मेल याद्या आहेत, मेलिंग सूचीची सदस्यता घ्या, चर्चेत भाग घ्या, परिषदांमध्ये या. तुमची LIR स्थिती असल्यास, तुम्ही मत देऊ शकता, उदाहरणार्थ, RIPE मध्ये विविध उपक्रमांसाठी.

हे केवळ नश्वरांसाठी आहे देखरेख. काय तुटले आहे हे जाणून घेण्यासाठी.

देखरेख: काय तपासायचे?

नियमित पिंग, आणि केवळ बायनरी चेकच नाही - ते कार्य करते किंवा नाही. इतिहासात RTT रेकॉर्ड करा जेणेकरून तुम्ही नंतर विसंगती पाहू शकता.

Traceroute. हा TCP/IP नेटवर्कवरील डेटा मार्ग निश्चित करण्यासाठी उपयुक्तता कार्यक्रम आहे. विसंगती आणि अडथळे ओळखण्यात मदत करते.

HTTP कस्टम URL आणि TLS प्रमाणपत्रांसाठी तपासते हल्ल्यासाठी ब्लॉकिंग किंवा डीएनएस स्पूफिंग शोधण्यात मदत करेल, जे व्यावहारिकदृष्ट्या समान आहे. ब्लॉकिंग अनेकदा DNS स्पूफिंगद्वारे आणि ट्रॅफिकला स्टब पेजवर वळवून केले जाते.

शक्य असल्यास, तुमच्याकडे अर्ज असल्यास वेगवेगळ्या ठिकाणांहून तुमच्या क्लायंटचा तुमच्या मूळचा संकल्प तपासा. हे तुम्हाला DNS अपहरण विसंगती शोधण्यात मदत करेल, जे काही वेळा ISP करतात.

देखरेख: कुठे तपासायचे?

कोणतेही सार्वत्रिक उत्तर नाही. वापरकर्ता कोठून येत आहे ते तपासा. वापरकर्ते रशियामध्ये असल्यास, रशियामधून तपासा, परंतु स्वत: ला मर्यादित करू नका. तुमचे वापरकर्ते वेगवेगळ्या प्रदेशात राहत असल्यास, या प्रदेशांमधून तपासा. पण जगभरातून चांगले.

देखरेख: काय तपासायचे?

मी तीन मार्ग शोधून काढले. आपल्याला अधिक माहिती असल्यास, टिप्पण्यांमध्ये लिहा.

• RIPE ऍटलस.
• व्यावसायिक निरीक्षण.
• आभासी मशीनचे तुमचे स्वतःचे नेटवर्क.

चला त्या प्रत्येकाबद्दल बोलूया.

RIPE ऍटलस - हा एक छोटा बॉक्स आहे. ज्यांना घरगुती "इन्स्पेक्टर" माहित आहे त्यांच्यासाठी - हा एकच बॉक्स आहे, परंतु वेगळ्या स्टिकरसह.

RIPE Atlas हा एक विनामूल्य कार्यक्रम आहे. तुम्ही नोंदणी करा, मेलद्वारे राउटर मिळवा आणि नेटवर्कमध्ये प्लग करा. तुमचा नमुना कोणीतरी वापरतो या वस्तुस्थितीसाठी, तुम्हाला काही क्रेडिट्स मिळतात. या कर्जांसह तुम्ही स्वतः काही संशोधन करू शकता. आपण वेगवेगळ्या प्रकारे चाचणी करू शकता: पिंग, ट्रेसरूट, प्रमाणपत्रे तपासा. कव्हरेज बरेच मोठे आहे, अनेक नोड्स आहेत. पण बारकावे आहेत.

क्रेडिट सिस्टम बिल्डिंग प्रोडक्शन सोल्यूशन्सला परवानगी देत ​​​​नाही. चालू संशोधन किंवा व्यावसायिक निरीक्षणासाठी पुरेशी क्रेडिट्स मिळणार नाहीत. क्रेडिट्स लहान अभ्यासासाठी किंवा एक-वेळच्या तपासणीसाठी पुरेसे आहेत. एका नमुन्यातील दैनंदिन प्रमाण 1-2 तपासण्यांद्वारे वापरले जाते.

कव्हरेज असमान आहे. कार्यक्रम दोन्ही दिशांनी विनामूल्य असल्याने, कव्हरेज युरोपमध्ये, रशियाच्या युरोपियन भागात आणि काही प्रदेशांमध्ये चांगले आहे. परंतु जर तुम्हाला इंडोनेशिया किंवा न्यूझीलंडची गरज असेल तर सर्वकाही खूपच वाईट आहे - तुमच्याकडे प्रति देशात 50 नमुने नसतील.

तुम्ही नमुना वरून http तपासू शकत नाही. हे तांत्रिक सूक्ष्मतेमुळे आहे. ते नवीन आवृत्तीमध्ये त्याचे निराकरण करण्याचे वचन देतात, परंतु सध्या http तपासले जाऊ शकत नाही. केवळ प्रमाणपत्राची पडताळणी केली जाऊ शकते. काही प्रकारची HTTP तपासणी केवळ अँकर नावाच्या विशेष RIPE ऍटलस उपकरणावर केली जाऊ शकते.

दुसरी पद्धत म्हणजे व्यावसायिक निरीक्षण. त्याच्याबरोबर सर्व काही ठीक आहे, तुम्ही पैसे देत आहात, बरोबर? ते तुम्हाला जगभरातील अनेक डझन किंवा शेकडो मॉनिटरिंग पॉइंट्सचे वचन देतात आणि बॉक्सच्या बाहेर सुंदर डॅशबोर्ड काढतात. पण, पुन्हा, समस्या आहेत.

हे सशुल्क आहे, काही ठिकाणी ते खूप आहे. पिंग मॉनिटरिंग, जगभरातील तपासण्या आणि अनेक HTTP चेकसाठी वर्षाला अनेक हजार डॉलर्स खर्च होऊ शकतात. वित्त परवानगी देत ​​असल्यास आणि तुम्हाला हा उपाय आवडत असल्यास, पुढे जा.

स्वारस्य असलेल्या प्रदेशात कव्हरेज पुरेसे असू शकत नाही. त्याच पिंगसह, जगाचा जास्तीत जास्त अमूर्त भाग निर्दिष्ट केला आहे - आशिया, युरोप, उत्तर अमेरिका. दुर्मिळ मॉनिटरिंग सिस्टम विशिष्ट देश किंवा प्रदेशात ड्रिल डाउन करू शकतात.

सानुकूल चाचण्यांसाठी कमकुवत समर्थन. तुम्हाला url वर फक्त "कुरळे" नको तर काहीतरी सानुकूल हवे असल्यास, त्यातही समस्या आहेत.

तिसरा मार्ग म्हणजे तुमचे निरीक्षण. हे एक क्लासिक आहे: "चला स्वतःचे लिहूया!"

तुमचे निरीक्षण सॉफ्टवेअर उत्पादनाच्या विकासात आणि वितरित उत्पादनात बदलते. तुम्ही इन्फ्रास्ट्रक्चर प्रदाता शोधत आहात, ते कसे तैनात करावे आणि त्याचे निरीक्षण कसे करावे ते पहा - मॉनिटरिंगचे परीक्षण करणे आवश्यक आहे, बरोबर? त्यासाठी आधारही लागतो. हे घेण्यापूर्वी दहा वेळा विचार करा. तुमच्यासाठी हे करण्यासाठी एखाद्याला पैसे देणे सोपे असू शकते.

BGP विसंगती आणि DDoS हल्ल्यांचे निरीक्षण करणे

येथे, उपलब्ध संसाधनांवर आधारित, सर्वकाही अगदी सोपे आहे. QRadar, BGPmon सारख्या विशेष सेवा वापरून BGP विसंगती शोधल्या जातात. ते एकाधिक ऑपरेटरकडून पूर्ण दृश्य सारणी स्वीकारतात. वेगवेगळ्या ऑपरेटरकडून ते जे पाहतात त्यावर आधारित, ते विसंगती शोधू शकतात, अॅम्प्लीफायर शोधू शकतात आणि याप्रमाणे. नोंदणी सहसा विनामूल्य असते - तुम्ही तुमचा फोन नंबर प्रविष्ट करता, ईमेल अधिसूचनांची सदस्यता घ्या आणि सेवा तुम्हाला तुमच्या समस्यांबद्दल सतर्क करेल.

DDoS हल्ल्यांचे निरीक्षण करणे देखील सोपे आहे. सामान्यतः हे आहे NetFlow-आधारित आणि लॉग. सारख्या विशेष प्रणाली आहेत FastNetMon, साठी मॉड्यूल्स स्प्लंक. शेवटचा उपाय म्हणून, तुमचा DDoS संरक्षण प्रदाता आहे. हे नेटफ्लो देखील लीक करू शकते आणि त्यावर आधारित, ते तुम्हाला तुमच्या दिशेने होणाऱ्या हल्ल्यांबद्दल सूचित करेल.

निष्कर्ष

कोणताही भ्रम ठेवू नका - इंटरनेट नक्कीच खंडित होईल. सगळेच नाही आणि सगळेच मोडतील असे नाही, पण 14 मध्ये 2017 हजार घटना घडतील असे संकेत देतात.

आपले कार्य शक्य तितक्या लवकर समस्या लक्षात घेणे आहे. कमीतकमी, तुमच्या वापरकर्त्यापेक्षा नंतर नाही. केवळ हे लक्षात घेणे महत्त्वाचे नाही तर नेहमी "प्लॅन बी" राखीव ठेवा. सर्व काही बिघडल्यावर तुम्ही काय कराल यासाठी योजना ही एक रणनीती आहे.: राखीव ऑपरेटर, DC, CDN. योजना ही एक वेगळी चेकलिस्ट असते ज्याच्या विरोधात तुम्ही प्रत्येक गोष्टीचे काम तपासता. नेटवर्क अभियंत्यांच्या सहभागाशिवाय योजनेने कार्य केले पाहिजे, कारण सहसा त्यापैकी काही असतात आणि त्यांना झोपायचे असते.

इतकंच. मी तुम्हाला उच्च उपलब्धता आणि हिरव्या निरीक्षणाची इच्छा करतो.

पुढील आठवड्यात नोवोसिबिर्स्कमध्ये सूर्यप्रकाश, हायलोड आणि विकासकांची उच्च एकाग्रता अपेक्षित आहे HighLoad++ सायबेरिया 2019. सायबेरियामध्ये, देखरेख, प्रवेशयोग्यता आणि चाचणी, सुरक्षा आणि व्यवस्थापन यावरील अहवालांचा एक पुढचा अंदाज आहे. स्क्रिब्ल केलेल्या नोट्स, नेटवर्किंग, छायाचित्रे आणि सोशल नेटवर्क्सवरील पोस्ट्सच्या स्वरूपात पाऊस अपेक्षित आहे. आम्ही 24 आणि 25 जून रोजी सर्व क्रियाकलाप पुढे ढकलण्याची शिफारस करतो आणि तिकीट बुक करण्यासाठी. आम्ही सायबेरियात तुमची वाट पाहत आहोत!

स्त्रोत: www.habr.com