Yandex RPKI लागू करते

हॅलो, माझे नाव अलेक्झांडर अझीमोव्ह आहे. यांडेक्समध्ये, मी विविध मॉनिटरिंग सिस्टम, तसेच वाहतूक नेटवर्क आर्किटेक्चर विकसित करतो. पण आज आपण बीजीपी प्रोटोकॉलबद्दल बोलू.

एका आठवड्यापूर्वी, Yandex ने सर्व पीअरिंग भागीदारांसह, तसेच ट्रॅफिक एक्सचेंज पॉइंट्ससह इंटरफेसवर ROV (रूट ओरिजिन व्हॅलिडेशन) सक्षम केले. हे का केले गेले आणि त्याचा दूरसंचार ऑपरेटरशी संवाद कसा प्रभावित होईल याबद्दल खाली वाचा.

BGP आणि त्यात काय चूक आहे

तुम्हाला कदाचित माहित असेल की BGP ची रचना इंटरडोमेन राउटिंग प्रोटोकॉल म्हणून केली गेली होती. तथापि, वाटेत, वापराच्या प्रकरणांची संख्या वाढू लागली: आज, बीजीपी, असंख्य विस्तारांमुळे, संदेश बसमध्ये रूपांतरित झाली आहे, ऑपरेटर VPN पासून ते आताच्या फॅशनेबल SD-WAN पर्यंतची कार्ये समाविष्ट करते, आणि त्याला अनुप्रयोग देखील सापडला आहे. SDN सारख्या कंट्रोलरसाठी वाहतूक, अंतर वेक्टर BGP ला लिंक्स सॅट प्रोटोकॉल प्रमाणेच काहीतरी बनवते.

अंजीर 1. BGP SAFI

बीजीपीला इतके उपयोग का मिळाले आहेत (आणि प्राप्त होत आहेत)? दोन मुख्य कारणे आहेत:

• BGP हा एकमेव प्रोटोकॉल आहे जो स्वायत्त प्रणाली (AS) दरम्यान कार्य करतो;
• BGP TLV (प्रकार-लांबी-मूल्य) स्वरूपात विशेषतांना समर्थन देते. होय, यात प्रोटोकॉल एकटा नाही, परंतु टेलिकॉम ऑपरेटर्समधील जंक्शनवर ते बदलण्यासाठी काहीही नसल्यामुळे, अतिरिक्त राउटिंग प्रोटोकॉलला समर्थन देण्यापेक्षा त्यात आणखी एक कार्यात्मक घटक जोडणे नेहमीच फायदेशीर ठरते.

त्याचे काय बिघडले आहे? थोडक्यात, प्राप्त माहितीची शुद्धता तपासण्यासाठी प्रोटोकॉलमध्ये अंगभूत यंत्रणा नाही. म्हणजेच, बीजीपी हा एक प्रायोरी ट्रस्ट प्रोटोकॉल आहे: जर तुम्हाला जगाला सांगायचे असेल की आता तुमच्याकडे Rostelecom, MTS किंवा Yandex चे नेटवर्क आहे, कृपया!

IRRDB आधारित फिल्टर - सर्वात वाईटपैकी सर्वोत्तम

प्रश्न उद्भवतो: अशा परिस्थितीत इंटरनेट अद्याप का कार्य करते? होय, ते बहुतेक वेळा कार्य करते, परंतु त्याच वेळी ते अधूनमधून विस्फोट करते, ज्यामुळे संपूर्ण राष्ट्रीय विभाग प्रवेश करण्यायोग्य नसतात. जरी BGP मध्ये हॅकर क्रियाकलाप देखील वाढत आहे, तरीही बहुतेक विसंगती बग्समुळे होतात. यंदाचे उदाहरण आहे लहान ऑपरेटर त्रुटी बेलारूसमध्ये, ज्याने इंटरनेटचा महत्त्वपूर्ण भाग मेगाफोन वापरकर्त्यांसाठी अर्ध्या तासासाठी प्रवेश करण्यायोग्य बनविला. दुसरे उदाहरण - वेडा BGP ऑप्टिमायझर जगातील सर्वात मोठ्या CDN नेटवर्कपैकी एक तोडले.

तांदूळ. 2. क्लाउडफ्लेअर ट्रॅफिक इंटरसेप्शन

पण तरीही, अशा विसंगती दर सहा महिन्यांनी एकदा का होतात, आणि दररोज नाही? कारण वाहक त्यांना BGP शेजाऱ्यांकडून काय प्राप्त होते हे सत्यापित करण्यासाठी राउटिंग माहितीचा बाह्य डेटाबेस वापरतात. असे बरेच डेटाबेस आहेत, त्यापैकी काही रजिस्ट्रार (RIPE, APNIC, ARIN, AFRINIC) द्वारे व्यवस्थापित केले जातात, काही स्वतंत्र खेळाडू आहेत (सर्वात प्रसिद्ध RADB आहे), आणि मोठ्या कंपन्यांच्या मालकीचा रजिस्ट्रारचा संपूर्ण संच आहे (स्तर3 , NTT, इ.). या डेटाबेसेसमुळे इंटर-डोमेन राउटिंग त्याच्या ऑपरेशनची सापेक्ष स्थिरता राखते.

तथापि, बारकावे आहेत. रूटिंग माहिती ROUTE-OBJECTS आणि AS-SET ऑब्जेक्ट्सवर आधारित तपासली जाते. आणि जर प्रथम IRRDB च्या भागासाठी अधिकृतता सूचित करते, तर द्वितीय श्रेणीसाठी वर्ग म्हणून कोणतेही अधिकृतता नाही. म्हणजेच, कोणीही कोणालाही त्यांच्या सेटमध्ये जोडू शकतो आणि त्याद्वारे अपस्ट्रीम प्रदात्यांचे फिल्टर बायपास करू शकतो. शिवाय, वेगवेगळ्या IRR बेस्समधील AS-SET नामकरणाच्या विशिष्टतेची हमी दिली जात नाही, ज्यामुळे दूरसंचार ऑपरेटरसाठी अचानक कनेक्टिव्हिटी गमावल्यास आश्चर्यकारक परिणाम होऊ शकतात, ज्याने त्याच्या भागासाठी काहीही बदलले नाही.

AS-SET चा वापर पॅटर्न हे एक अतिरिक्त आव्हान आहे. येथे दोन मुद्दे आहेत:

• जेव्हा ऑपरेटरला नवीन क्लायंट मिळतो, तेव्हा तो त्याच्या AS-SET मध्ये जोडतो, परंतु तो जवळजवळ कधीच काढत नाही;
• फिल्टर स्वतःच केवळ क्लायंटसह इंटरफेसवर कॉन्फिगर केले जातात.

परिणामी, BGP फिल्टर्सच्या आधुनिक फॉरमॅटमध्ये क्लायंटसह इंटरफेसमध्ये हळूहळू खराब होत जाणारे फिल्टर आणि पीअरिंग पार्टनर्स आणि आयपी ट्रान्झिट प्रदात्यांकडून येणाऱ्या गोष्टींवर प्राधान्याने विश्वास असतो.

AS-SET वर आधारित उपसर्ग फिल्टर बदलणे म्हणजे काय? सर्वात मनोरंजक गोष्ट म्हणजे अल्पावधीत - काहीही नाही. परंतु अतिरिक्त यंत्रणा उदयास येत आहेत जी IRRDB-आधारित फिल्टरच्या कार्यास पूरक आहेत आणि सर्व प्रथम, हे अर्थातच RPKI आहे.

RPKI

सोप्या पद्धतीने, RPKI आर्किटेक्चरचा एक वितरित डेटाबेस म्हणून विचार केला जाऊ शकतो ज्याचे रेकॉर्ड क्रिप्टोग्राफिकली सत्यापित केले जाऊ शकतात. ROA (रूट ऑब्जेक्ट ऑथोरायझेशन) च्या बाबतीत, स्वाक्षरी करणारा अॅड्रेस स्पेसचा मालक असतो आणि रेकॉर्ड स्वतः तिप्पट (उपसर्ग, asn, max_length) असतो. मूलत:, ही नोंद खालील गोष्टींचे पालन करते: $प्रीफिक्स अॅड्रेस स्पेसच्या मालकाने $max_length पेक्षा जास्त लांबी नसलेल्या उपसर्गांची जाहिरात करण्यासाठी AS क्रमांक $asn ला अधिकृत केले आहे. आणि राउटर, RPKI कॅशे वापरून, अनुपालनासाठी जोडी तपासण्यास सक्षम आहेत उपसर्ग - वाटेत पहिला स्पीकर.

आकृती 3. RPKI आर्किटेक्चर

ROA ऑब्जेक्ट्स बर्याच काळापासून प्रमाणित केल्या गेल्या आहेत, परंतु अलीकडेपर्यंत ते IETF जर्नलमध्ये फक्त कागदावरच राहिले. माझ्या मते, याचे कारण भीतीदायक वाटते - वाईट विपणन. मानकीकरण पूर्ण झाल्यानंतर, प्रोत्साहन असे होते की ROA ने BGP अपहरणापासून संरक्षण केले - जे खरे नव्हते. पथाच्या सुरुवातीला योग्य AC क्रमांक टाकून हल्लेखोर ROA-आधारित फिल्टर्सला सहजपणे बायपास करू शकतात. आणि ही जाणीव होताच, पुढील तार्किक पाऊल म्हणजे ROA चा वापर सोडून देणे. आणि खरोखर, जर ते कार्य करत नसेल तर आम्हाला तंत्रज्ञानाची आवश्यकता का आहे?

तुमचा विचार बदलण्याची वेळ का आली आहे? कारण हे संपूर्ण सत्य नाही. ROA BGP मधील हॅकर क्रियाकलापांपासून संरक्षण करत नाही, परंतु अपघाती वाहतूक अपहरणांपासून संरक्षण करते, उदाहरणार्थ BGP मधील स्थिर गळती, जे अधिक सामान्य होत आहे. तसेच, IRR-आधारित फिल्टर्सच्या विपरीत, ROV केवळ क्लायंटसह इंटरफेसवरच नव्हे तर समवयस्क आणि अपस्ट्रीम प्रदात्यांसह इंटरफेसवर देखील वापरले जाऊ शकते. म्हणजेच, RPKI सोबतच, बीजीपी वरून एक प्राथमिक विश्वास हळूहळू नाहीसा होत आहे.

आता मुख्य खेळाडूंद्वारे ROA-आधारित मार्ग तपासणी हळूहळू लागू केली जात आहे: सर्वात मोठे युरोपियन IX आधीच चुकीचे मार्ग टाकून देत आहे; टियर-1 ऑपरेटरमध्ये, AT&T हायलाइट करणे योग्य आहे, ज्याने त्याच्या पीअरिंग भागीदारांसह इंटरफेसवर फिल्टर सक्षम केले आहेत. सर्वात मोठे सामग्री प्रदाते देखील प्रकल्पाकडे येत आहेत. आणि डझनभर मध्यम-आकाराच्या ट्रान्झिट ऑपरेटरने त्याबद्दल कोणालाही न सांगता, शांतपणे अंमलबजावणी केली आहे. हे सर्व ऑपरेटर RPKI का राबवत आहेत? उत्तर सोपे आहे: तुमच्या आउटगोइंग ट्रॅफिकचे इतर लोकांच्या चुकांपासून संरक्षण करण्यासाठी. म्हणूनच यांडेक्स हे रशियन फेडरेशनमध्ये त्याच्या नेटवर्कच्या काठावर ROV समाविष्ट करणारे पहिले आहे.

पुढे काय होणार?

आम्ही आता ट्रॅफिक एक्सचेंज पॉइंट्स आणि खाजगी पीअरिंगसह इंटरफेसवर राउटिंग माहिती तपासणे सक्षम केले आहे. नजीकच्या भविष्यात, अपस्ट्रीम ट्रॅफिक प्रदात्यांसह सत्यापन देखील सक्षम केले जाईल.

याने तुमच्यासाठी काय फरक पडतो? तुम्हाला तुमचे नेटवर्क आणि Yandex मधील रहदारी मार्गाची सुरक्षा वाढवायची असल्यास, आम्ही शिफारस करतो:

• तुमच्या पत्त्याच्या जागेवर सही करा RIPE पोर्टलमध्ये - हे सोपे आहे, सरासरी 5-10 मिनिटे लागतात. कोणीतरी नकळतपणे तुमची अॅड्रेस स्पेस चोरल्यास आमच्या कनेक्टिव्हिटीचे हे संरक्षण करेल (आणि हे नक्कीच लवकरच किंवा नंतर होईल);
• ओपन सोर्स RPKI कॅशेपैकी एक स्थापित करा (ripe-validator, रूटिनेटर) आणि नेटवर्क सीमेवर मार्ग तपासणी सक्षम करा - यास अधिक वेळ लागेल, परंतु पुन्हा, यामुळे कोणत्याही तांत्रिक अडचणी उद्भवणार नाहीत.

यांडेक्स नवीन RPKI ऑब्जेक्टवर आधारित फिल्टरिंग सिस्टमच्या विकासास देखील समर्थन देते - एएसपीए (स्वायत्त प्रणाली प्रदाता अधिकृतता). ASPA आणि ROA ऑब्जेक्ट्सवर आधारित फिल्टर केवळ "गळती" AS-SETs बदलू शकत नाहीत, परंतु BGP वापरून MiTM हल्ल्यांच्या समस्या देखील बंद करू शकतात.

नेक्स्ट हॉप कॉन्फरन्समध्ये मी एका महिन्यात एएसपीएबद्दल तपशीलवार बोलेन. Netflix, Facebook, Dropbox, Juniper, Mellanox आणि Yandex चे सहकारीही तिथे बोलतील. तुम्हाला भविष्यात नेटवर्क स्टॅक आणि त्याच्या विकासामध्ये स्वारस्य असल्यास, या नोंदणी खुली आहे.

स्त्रोत: www.habr.com