रोस्टेलीकॉममधील बीजीपी मार्गाच्या गळतीमुळे सर्वात मोठ्या नेटवर्कच्या कनेक्टिव्हिटीमध्ये व्यत्यय आला

चुकीच्या BGP घोषणेचा परिणाम म्हणून, 8800 पेक्षा जास्त परदेशी नेटवर्क उपसर्ग स्वतःला सापडले पुनर्निर्देशित Rostelecom नेटवर्कद्वारे, ज्यामुळे रूटिंगचे अल्पकालीन संकुचित, नेटवर्क कनेक्टिव्हिटीमध्ये व्यत्यय आणि जगभरातील काही सेवांमध्ये प्रवेश करण्यात समस्या निर्माण झाली. समस्या झाकलेले Akamai, Cloudflare, Digital Ocean, Amazon AWS, Hetzner, Level200, Facebook, Alibaba आणि Linode यासह प्रमुख इंटरनेट कंपन्यांच्या मालकीच्या 3 हून अधिक स्वायत्त प्रणाली आणि सामग्री वितरण नेटवर्क.

Rostelecom (AS12389) द्वारे 1 एप्रिल रोजी 22:28 (MSK) द्वारे चुकीची घोषणा करण्यात आली होती, त्यानंतर ती प्रदाता Rascom (AS20764) ने उचलली आणि पुढे साखळीसह ती Cogent (AS174) आणि Level3 (AS3356) मध्ये पसरली. , ज्या क्षेत्रात जवळजवळ सर्व इंटरनेट प्रदाते प्रथम स्तरावर समाविष्ट आहेत (टियर-एक्सNUMएक्स). सेवा monitoringa बीजीपीने त्वरित रोस्टेलीकॉमला समस्येबद्दल सूचित केले, त्यामुळे ही घटना सुमारे 10 मिनिटे चालली (त्यानुसार इतर डेटा सुमारे एक तास प्रभाव दिसून आला).

रोस्टेलीकॉमच्या बाजूने त्रुटी असलेली ही पहिली घटना नाही. 2017 मध्ये Rostelecom द्वारे 5-7 मिनिटांत पुनर्निर्देशित केले होते व्हिसा आणि मास्टरकार्डसह सर्वात मोठ्या बँका आणि वित्तीय सेवांचे नेटवर्क. दोन्ही घटनांमध्ये, समस्येचे मूळ असल्याचे दिसून येते सेवा केली ट्रॅफिक मॅनेजमेंटशी संबंधित काम, उदाहरणार्थ, काही सेवा आणि सीडीएनसाठी रोस्टेलीकॉममधून जाणाऱ्या ट्रॅफिकचे अंतर्गत निरीक्षण, प्राधान्य किंवा मिररिंग आयोजित करताना मार्गांची गळती होऊ शकते (अखेर घरातून मोठ्या प्रमाणात काम केल्यामुळे नेटवर्क लोड वाढल्यामुळे मार्च चर्चा केली देशांतर्गत संसाधनांच्या बाजूने परदेशी सेवांच्या रहदारीसाठी प्राधान्य कमी करण्याचा मुद्दा). उदाहरणार्थ, काही वर्षांपूर्वी पाकिस्तानमध्ये एक प्रयत्न झाला होता गुंडाळणे शून्य इंटरफेसवरील YouTube सबनेट्समुळे BGP घोषणांमध्ये हे सबनेट दिसले आणि सर्व YouTube ट्रॅफिक पाकिस्तानकडे वळले.

हे मनोरंजक आहे की Rostelecom सह घटनेच्या आदल्या दिवशी, शहरातील लहान प्रदाता “न्यू रियालिटी” (AS50048). सुमेरल्या Transtelecom द्वारे होते घोषित केले Orange, Akamai, Rostelecom आणि 2658 पेक्षा जास्त कंपन्यांचे नेटवर्क प्रभावित करणारे 300 उपसर्ग. मार्ग गळतीमुळे अनेक मिनिटे रहदारी पुनर्निर्देशनाच्या अनेक लाटा निर्माण झाल्या. त्याच्या शिखरावर, समस्येने 13.5 दशलक्ष IP पत्ते प्रभावित केले. Transtelecom ने प्रत्येक क्लायंटसाठी मार्ग निर्बंध वापरल्यामुळे लक्षणीय जागतिक व्यत्यय टाळला गेला.

इंटरनेटवरही अशाच घटना घडतात नियमितपणे आणि ते सर्वत्र लागू होईपर्यंत सुरू राहतील अधिकृतता पद्धती RPKI (BGP ओरिजिन व्हॅलिडेशन) वर आधारित BGP घोषणा, फक्त नेटवर्क मालकांकडून घोषणांचे स्वागत करण्याची परवानगी देते. अधिकृततेशिवाय, कोणताही ऑपरेटर मार्गाच्या लांबीबद्दल काल्पनिक माहितीसह सबनेटची जाहिरात करू शकतो आणि जाहिरात फिल्टरिंग लागू न करणार्‍या इतर सिस्टीममधून ट्रॅफिकच्या काही भागातून स्वतःहून संक्रमण सुरू करू शकतो.

त्याच वेळी, विचाराधीन घटनेत, RIPE RPKI भांडाराचा वापर करून एक धनादेश निघाला निरुपयोगी. योगायोगाने, Rostelecom मधील BGP मार्ग लीक होण्याच्या तीन तास आधी, RIPE सॉफ्टवेअर अपडेट करण्याच्या प्रक्रियेदरम्यान, चुकून हटवले 4100 ROA रेकॉर्ड (RPKI रूट ओरिजिन ऑथोरायझेशन). डेटाबेस केवळ 2 एप्रिल रोजी पुनर्संचयित केला गेला आणि या सर्व वेळेस RIPE क्लायंटसाठी चेक अकार्यक्षम होता (समस्येचा इतर निबंधकांच्या RPKI भांडारांवर परिणाम झाला नाही). आज RIPE ला 7 तासांच्या आत नवीन समस्या आणि RPKI भांडार आहे अनुपलब्ध होते.

रेजिस्ट्री-आधारित फिल्टरिंगचा वापर गळती रोखण्यासाठी उपाय म्हणून देखील केला जाऊ शकतो धरता (इंटरनेट राउटिंग रजिस्ट्री), जी स्वायत्त प्रणाली परिभाषित करते ज्याद्वारे निर्दिष्ट उपसर्गांच्या राउटिंगला परवानगी आहे. लहान ऑपरेटरशी संवाद साधताना, मानवी चुकांचा प्रभाव कमी करण्यासाठी, तुम्ही EBGP सत्रांसाठी (कमाल-प्रीफिक्स सेटिंग) स्वीकारलेल्या प्रिफिक्सची कमाल संख्या मर्यादित करू शकता.

बहुतेक प्रकरणांमध्ये, घटना कर्मचार्‍यांच्या चुकांमुळे घडतात, परंतु अलीकडे लक्ष्यित हल्ले देखील झाले आहेत, ज्या दरम्यान हल्लेखोर पुरवठादारांच्या पायाभूत सुविधांशी तडजोड करतात. आयोजित करणे पुनर्निर्देशन и व्यत्यय साठी रहदारी बदली डीएनएस प्रतिसाद बदलण्यासाठी MiTM हल्ला आयोजित करून विशिष्ट साइट्स.
अशा हल्ल्यांदरम्यान TLS प्रमाणपत्रे मिळवणे अधिक कठीण करण्यासाठी, लेट्स एन्क्रिप्ट प्रमाणपत्र प्राधिकरण अलीकडे स्विच केले विविध सबनेट वापरून मल्टी-पोझिशन डोमेन तपासण्यासाठी. या चेकला बायपास करण्यासाठी, आक्रमणकर्त्याला एकाच वेळी वेगवेगळ्या अपलिंकसह प्रदात्यांच्या अनेक स्वायत्त प्रणालींसाठी मार्ग पुनर्निर्देशन प्राप्त करणे आवश्यक आहे, जे एका मार्गाचे पुनर्निर्देशन करण्यापेक्षा खूप कठीण आहे.

स्त्रोत: opennet.ru