इन्टरनेट किन अझै अनलाइन छ?

इन्टरनेट एक बलियो, स्वतन्त्र र अविनाशी संरचना जस्तो देखिन्छ। सिद्धान्तमा, नेटवर्क परमाणु विस्फोट बाँच्न पर्याप्त बलियो छ। वास्तवमा, इन्टरनेटले एउटा सानो राउटर छोड्न सक्छ। सबै किनभने इन्टरनेट विरोधाभास, कमजोरीहरू, त्रुटिहरू र बिरालाहरूको बारेमा भिडियोहरूको थुप्रो हो। इन्टरनेटको मेरुदण्ड, BGP, समस्याहरूले भरिएको छ। यो अचम्मको छ कि उहाँ अझै सास फेर्दै हुनुहुन्छ। इन्टरनेटमा त्रुटिहरू बाहेक, यो सबै र विभिन्न: ठूला इन्टरनेट प्रदायकहरू, निगमहरू, राज्यहरू र DDoS आक्रमणहरूद्वारा तोडिएको छ। यसको बारेमा के गर्ने र यसलाई कसरी बाँच्ने?

जवाफ थाहा छ एलेक्सी उचाकिन (राती_सर्प) IQ Option मा नेटवर्क इन्जिनियरहरूको टोलीको नेता हो। यसको मुख्य कार्य प्रयोगकर्ताहरूको लागि प्लेटफर्मको पहुँच हो। एलेक्सीको रिपोर्टको ट्रान्सक्रिप्टमा सेन्ट हाईलोड++ २०१९ BGP, DDOS आक्रमणहरू, इन्टरनेट स्विचहरू, प्रदायक त्रुटिहरू, विकेन्द्रीकरण र केसहरू बारे कुरा गरौं जब एउटा सानो राउटरले इन्टरनेटलाई सुत्न पठायो। अन्तमा - यो सबै कसरी बाँच्न मा सुझाव को एक जोडी।

इन्टरनेट बिग्रिएको दिन

म केवल केहि घटनाहरू उद्धृत गर्नेछु जहाँ इन्टरनेटको जडान बिग्रियो। यो पूर्ण तस्वीर को लागी पर्याप्त हुनेछ।

"AS7007 घटना"। पहिलो पटक इन्टरनेट बिच्छेद भएको थियो अप्रिल 1997 मा। स्वायत्त प्रणाली 7007 को एउटा राउटरको सफ्टवेयरमा बग थियो। केहि बिन्दुमा, राउटरले आफ्नो छिमेकीहरूलाई यसको आन्तरिक रूटिङ तालिका घोषणा गर्‍यो र नेटवर्कको आधा भागलाई ब्ल्याक होलमा पठायो।

"युट्युब विरुद्ध पाकिस्तान"। 2008 मा, पाकिस्तानका बहादुर केटाहरूले YouTube ब्लक गर्ने निर्णय गरे। तिनीहरूले यो यति राम्रो गरे कि आधा संसार बिरालोहरू बिना छोडियो।

"रोस्टेलीकम द्वारा भिसा, मास्टरकार्ड र सिमेन्टेक उपसर्गहरूको कब्जा"। 2017 मा, Rostelecom ले गल्तीले VISA, MasterCard र Symantec उपसर्गहरू घोषणा गर्न थाल्यो। नतिजाको रूपमा, वित्तीय ट्राफिक प्रदायक द्वारा नियन्त्रित च्यानलहरू मार्फत मार्ग गरिएको थियो। चुहावट लामो समय टिकेन, तर वित्तीय कम्पनीहरूको लागि यो अप्रिय थियो।

गुगल बनाम जापान। अगस्त 2017 मा, Google ले आफ्ना केही अपलिङ्कहरूमा प्रमुख जापानी प्रदायकहरू NTT र KDDI को उपसर्गहरू घोषणा गर्न थाल्यो। ट्राफिकलाई ट्रान्जिटको रूपमा गुगलमा पठाइएको थियो, सम्भवतः गल्तीले। गुगल प्रदायक नभएकोले र ट्राफिक ट्राफिकलाई अनुमति दिँदैन, जापानको एक महत्त्वपूर्ण भाग इन्टरनेट बिना नै छोडियो।

"DV LINK ले Google, Apple, Facebook, Microsoft को उपसर्गहरू कब्जा गर्यो"। साथै 2017 मा, रूसी प्रदायक DV LINK कुनै कारणले गुगल, एप्पल, फेसबुक, माइक्रोसफ्ट र केहि अन्य प्रमुख खेलाडीहरूको नेटवर्क घोषणा गर्न थाले।

"संयुक्त राज्य अमेरिकाबाट eNet ले AWS Route53 र MyEtherwallet उपसर्गहरू कब्जा गरेको छ"। 2018 मा, ओहायो प्रदायक वा यसको एक ग्राहकले Amazon Route53 र MyEtherwallet क्रिप्टो वालेट नेटवर्कहरू घोषणा गरे। आक्रमण सफल भयो: स्व-हस्ताक्षरित प्रमाणपत्रको बाबजुद पनि, MyEtherwallet वेबसाइटमा प्रवेश गर्दा प्रयोगकर्तालाई देखा पर्ने चेतावनी, धेरै वालेटहरू अपहरण गरिएका थिए र क्रिप्टोकरन्सीको अंश चोरी भएको थियो।

2017 मा मात्र 14 भन्दा बढी यस्ता घटनाहरू थिए! सञ्जाल अझै विकेन्द्रीकृत छ, त्यसैले सबै कुरा र सबैले टुट्दैनन्। तर त्यहाँ हजारौं घटनाहरू छन्, सबै BGP प्रोटोकलसँग सम्बन्धित छन् जसले इन्टरनेटलाई शक्ति दिन्छ।

BGP र यसको समस्याहरू

प्रोटोकल BGP - सीमा गेटवे प्रोटोकल, पहिलो पटक 1989 मा IBM र Cisco Systems का दुई इन्जिनियरहरूले तीन "नेपकिन" - A4 पानाहरूमा वर्णन गरेका थिए। यी "नैपकिन" अझै पनि नेटवर्किङ संसारको अवशेषको रूपमा सान फ्रान्सिस्कोमा सिस्को प्रणाली मुख्यालयमा बस्नुहोस्।

प्रोटोकल स्वायत्त प्रणाली को अन्तरक्रिया मा आधारित छ - स्वायत्त प्रणाली वा छोटो लागि AS। एक स्वायत्त प्रणाली केवल एक आईडी हो जसमा आईपी नेटवर्कहरू सार्वजनिक रजिस्ट्रीमा तोकिएका छन्। यो आईडी भएको राउटरले यी नेटवर्कहरू संसारमा घोषणा गर्न सक्छ। तदनुसार, इन्टरनेटमा कुनै पनि मार्गलाई भेक्टरको रूपमा प्रतिनिधित्व गर्न सकिन्छ, जसलाई भनिन्छ AS पथ। भेक्टरमा स्वायत्त प्रणालीहरूको संख्या समावेश हुन्छ जुन गन्तव्य नेटवर्कमा पुग्नको लागि पार गरिनुपर्छ।

उदाहरणका लागि, त्यहाँ धेरै स्वायत्त प्रणालीहरूको नेटवर्क छ। तपाईंले AS65001 प्रणालीबाट AS65003 प्रणालीमा पुग्न आवश्यक छ। एउटा प्रणालीबाट मार्ग रेखाचित्रमा AS पथ द्वारा प्रतिनिधित्व गरिएको छ। यसमा दुईवटा स्वायत्त प्रणालीहरू हुन्छन्: 65002 र 65003। प्रत्येक गन्तव्य ठेगानाको लागि त्यहाँ एउटा AS पथ भेक्टर हुन्छ, जसमा हामीले पार गर्नुपर्ने स्वायत्त प्रणालीहरूको सङ्ख्या समावेश हुन्छ।

त्यसोभए BGP को समस्याहरू के छन्?

BGP एक ट्रस्ट प्रोटोकल हो

BGP प्रोटोकल विश्वास आधारित छ। यसको मतलब हामी हाम्रो छिमेकीलाई पूर्वनिर्धारित रूपमा विश्वास गर्छौं। यो धेरै प्रोटोकलहरूको विशेषता हो जुन इन्टरनेटको धेरै बिहानमा विकसित गरिएको थियो। "विश्वास" को अर्थ के हो बुझौं।

कुनै छिमेकी प्रमाणीकरण छैन। औपचारिक रूपमा, त्यहाँ MD5 छ, तर 5 मा MD2019 मात्र हो ...

कुनै फिल्टरिङ छैन। BGP मा फिल्टरहरू छन् र तिनीहरू वर्णन गरिएका छन्, तर तिनीहरू प्रयोग वा गलत रूपमा प्रयोग गरिएका छैनन्। म पछि व्याख्या गर्नेछु किन।

छिमेक सेट अप गर्न धेरै सजिलो छ। लगभग कुनै पनि राउटरमा BGP प्रोटोकलमा छिमेक सेट अप गर्नु कन्फिगरेसनको एक जोडी हो।

कुनै BGP व्यवस्थापन अधिकार आवश्यक छैन। तपाईंले आफ्नो योग्यता प्रमाणित गर्न परीक्षा दिन आवश्यक छैन। मातेको बेला BGP कन्फिगर गर्ने तपाईंको अधिकार कसैले खोस्ने छैन।

दुई मुख्य समस्या

उपसर्ग अपहरण। उपसर्ग अपहरण भनेको तपाइँसँग सम्बन्धित नभएको नेटवर्कको विज्ञापन गर्नु हो, जस्तै MyEtherwallet को मामलामा। हामीले केही उपसर्गहरू लिएका छौं, प्रदायकसँग सहमत छौं वा यसलाई ह्याक गरेका छौं, र यसको माध्यमबाट हामी यी नेटवर्कहरू घोषणा गर्छौं।

मार्ग चुहावट। लीकहरू अलि बढी जटिल छन्। चुहावट AS पथमा परिवर्तन हो। सबै भन्दा राम्रो मा, परिवर्तन एक ठूलो ढिलाइ को परिणाम हुनेछ किनभने तपाईं एक लामो मार्ग वा कम क्षमता लिंक मा यात्रा गर्न आवश्यक छ। सबैभन्दा खराबमा, गुगल र जापानको मामला दोहोरिनेछ।

गुगल आफैं एक अपरेटर वा ट्रान्जिट स्वायत्त प्रणाली होइन। तर जब उनले आफ्नो प्रदायकलाई जापानी अपरेटरहरूको नेटवर्क घोषणा गरे, गुगल मार्फत एएस पथ मार्फत ट्राफिकलाई उच्च प्राथमिकताको रूपमा हेरिएको थियो। ट्राफिक त्यहाँ गयो र छोडियो किनभने गुगल भित्रको रूटिङ सेटिङहरू सीमामा फिल्टरहरू भन्दा बढी जटिल छन्।

किन फिल्टरले काम गर्दैन?

कसैले वास्ता गरदैन। यो मुख्य कारण हो - कसैले वास्ता गर्दैन। BGP मार्फत प्रदायकसँग जडान भएको सानो प्रदायक वा कम्पनीको प्रशासकले MikroTik लिए, BGP कन्फिगर गरे र त्यहाँ फिल्टरहरू कन्फिगर गर्न सकिन्छ भनेर पनि थाहा छैन।

कन्फिगरेसन त्रुटिहरू। तिनीहरूले केहि गडबड गरे, मास्कमा गल्ती गरे, गलत जाल लगाए - र अब फेरि गल्ती छ।

प्राविधिक सम्भावना छैन। उदाहरणका लागि, टेलिकम प्रदायकहरूसँग धेरै ग्राहकहरू छन्। गर्नको लागि स्मार्ट कुरा भनेको प्रत्येक ग्राहकको लागि स्वचालित रूपमा फिल्टरहरू अद्यावधिक गर्नु हो - उसको नयाँ नेटवर्क छ कि उसले कसैलाई आफ्नो नेटवर्क भाडामा दिएको छ भनेर निगरानी गर्न। यसलाई पछ्याउन गाह्रो छ, र तपाईंको हातले अझ गाह्रो छ। तसर्थ, तिनीहरू केवल आराम फिल्टरहरू स्थापना गर्छन् वा फिल्टरहरू स्थापना गर्दैनन्।

अपवादहरू। प्रिय र ठूला ग्राहकहरूको लागि अपवादहरू छन्। विशेष गरी अन्तर-अपरेटर इन्टरफेस को मामला मा। उदाहरणका लागि, TransTeleCom र Rostelecom सँग नेटवर्कहरूको गुच्छा छ र तिनीहरू बीच एक इन्टरफेस छ। यदि जोइन्ट खस्यो भने, यो कसैको लागि राम्रो हुनेछैन, त्यसैले फिल्टरहरू आराम वा पूर्ण रूपमा हटाइन्छ।

IRR मा पुरानो वा अप्रासंगिक जानकारी। फिल्टरहरू रेकर्ड गरिएको जानकारीमा आधारित हुन्छन् IRR - इन्टरनेट रूटिङ रजिस्ट्री। यी क्षेत्रीय इन्टरनेट रजिस्ट्रारहरूको दर्ताहरू हुन्। प्रायः, दर्ताहरूमा पुरानो वा अप्रासंगिक जानकारी, वा दुवै समावेश हुन्छन्।

यी रजिस्ट्रारहरू को हुन्?

सबै इन्टरनेट ठेगानाहरू संस्थासँग सम्बन्धित छन् IANA - इन्टरनेट असाइन गरिएको नम्बर प्राधिकरण। जब तपाइँ कसैबाट आईपी नेटवर्क खरिद गर्नुहुन्छ, तपाइँ ठेगानाहरू किन्नुहुन्न, तर तिनीहरूलाई प्रयोग गर्ने अधिकार। ठेगानाहरू एक अमूर्त स्रोत हुन् र साझा सम्झौताद्वारा तिनीहरू सबै IANA को स्वामित्वमा छन्।

प्रणाली यस प्रकार काम गर्दछ। IANA ले IP ठेगानाहरू र स्वायत्त प्रणाली नम्बरहरूको व्यवस्थापन पाँच क्षेत्रीय रजिस्ट्रारहरूलाई प्रत्यायोजन गर्दछ। तिनीहरूले स्वायत्त प्रणाली जारी गर्छन् LIR - स्थानीय इन्टरनेट रजिस्ट्रारहरू। LIR ले अन्त प्रयोगकर्ताहरूलाई IP ठेगानाहरू आवंटित गर्दछ।

प्रणालीको बेफाइदा यो हो कि प्रत्येक क्षेत्रीय रजिस्ट्रारहरूले आफ्नै तरिकाले आफ्नो दर्ताहरू राख्छन्। रजिष्टरमा कुन-कुन जानकारी राख्नु पर्छ, र कसले जाँच्नु पर्छ वा गर्नु हुँदैन भन्ने बारे सबैको आ-आफ्नै विचार छ। त्यसको नतिजा अहिले हामीले भोगेको गडबडी हो ।

तपाईं यी समस्याहरू कसरी लड्न सक्नुहुन्छ?

IRR - सामान्य गुणस्तर। यो IRR संग स्पष्ट छ - त्यहाँ सबै खराब छ।

BGP-समुदायहरू। यो प्रोटोकल मा वर्णन गरिएको केहि विशेषता हो। उदाहरणका लागि, छिमेकीले आफ्ना छिमेकीहरूलाई हाम्रो नेटवर्कहरू नपठाउनको लागि हामी हाम्रो घोषणामा एउटा विशेष समुदाय जोड्न सक्छौं। जब हामीसँग P2P लिङ्क हुन्छ, हामी केवल हाम्रो नेटवर्कहरू साटासाट गर्छौं। मार्गलाई दुर्घटनावश अन्य नेटवर्कहरूमा जानबाट रोक्नको लागि, हामी समुदाय थप्छौं।

समुदायहरू संक्रामक छैनन्। यो सधैं दुई को लागी एक सम्झौता हो, र यो तिनीहरूको कमजोरी हो। हामी कुनै पनि समुदायलाई असाइन गर्न सक्दैनौं, एक बाहेक, जुन सबैले पूर्वनिर्धारित रूपमा स्वीकार गर्दछ। हामी निश्चित हुन सक्दैनौं कि सबैले यस समुदायलाई स्वीकार गर्नेछन् र यसलाई सही रूपमा व्याख्या गर्नेछन्। त्यसकारण, उत्तम अवस्थामा, यदि तपाइँ तपाइँको अपलिङ्कसँग सहमत हुनुहुन्छ भने, उसले समुदायको सर्तमा तपाइँ उहाँबाट के चाहानुहुन्छ भनेर बुझ्नुहुनेछ। तर तपाईंको छिमेकीले नबुझेको हुन सक्छ, वा अपरेटरले तपाईंको ट्याग रिसेट गर्नेछ, र तपाईंले चाहेको कुरा हासिल गर्न सक्नुहुन्न।

RPKI + ROA ले समस्याहरूको सानो भाग मात्र समाधान गर्छ। RPKI छ स्रोत सार्वजनिक कुञ्जी पूर्वाधार  - राउटिङ जानकारी हस्ताक्षर गर्नको लागि विशेष रूपरेखा। LIR हरू र तिनीहरूका ग्राहकहरूलाई अप-टु-डेट ठेगाना स्पेस डाटाबेस कायम राख्न बाध्य पार्नु राम्रो विचार हो। तर यसमा एउटा समस्या छ ।

RPKI एक पदानुक्रमित सार्वजनिक कुञ्जी प्रणाली पनि हो। IANA सँग एउटा कुञ्जी छ जसबाट RIR कुञ्जीहरू उत्पन्न हुन्छन्, र कुनबाट LIR कुञ्जीहरू उत्पन्न हुन्छन्? जसको साथ तिनीहरूले आफ्नो ठेगाना स्पेस ROAs प्रयोग गरेर हस्ताक्षर गर्छन् - रूट उत्पत्ति प्राधिकरण:

- म तपाईलाई आश्वासन दिन्छु कि यो उपसर्ग यस स्वायत्त क्षेत्रको तर्फबाट घोषणा गरिनेछ।

ROA को अतिरिक्त, त्यहाँ अन्य वस्तुहरू छन्, तर पछि तिनीहरूको बारेमा थप। यो राम्रो र उपयोगी कुरा जस्तो देखिन्छ। तर यसले हामीलाई "एकदमै" शब्दबाट चुहावटबाट जोगाउँदैन र उपसर्ग अपहरणका साथ सबै समस्याहरू समाधान गर्दैन। त्यसैले, खेलाडीहरू यसलाई लागू गर्न कुनै हतार छैन। यद्यपि त्यहाँ पहिले नै ठूला खेलाडीहरू जस्तै AT&T र ठूला IX कम्पनीहरूबाट आश्वासनहरू छन् जुन अवैध ROA रेकर्डको साथ उपसर्गहरू छोडिनेछ।

सायद तिनीहरूले यो गर्नेछन्, तर अहिलेको लागि हामीसँग धेरै संख्यामा उपसर्गहरू छन् जुन कुनै पनि हिसाबले हस्ताक्षर गरिएको छैन। एकातिर, यो अस्पष्ट छ कि तिनीहरू वैध रूपमा घोषणा गरिएको छ कि छैन। अर्कोतर्फ, हामी तिनीहरूलाई पूर्वनिर्धारित रूपमा छोड्न सक्दैनौं, किनभने हामी निश्चित छैनौं कि यो सही हो वा होइन।

अरू के छ त्यहाँ?

BGPSec। यो एक राम्रो कुरा हो जुन शिक्षाविद्हरू गुलाबी पोनीहरूको नेटवर्कको लागि आए। तिनीहरूले भने:

- हामीसँग RPKI + ROA छ - ठेगाना स्पेस हस्ताक्षरहरू प्रमाणीकरण गर्ने संयन्त्र। एउटा छुट्टै BGP विशेषता सिर्जना गरौं र यसलाई BGPSec पथ भनिन्छ। प्रत्येक राउटरले आफ्ना छिमेकीहरूलाई घोषणा गर्ने घोषणाहरू आफ्नै हस्ताक्षरले हस्ताक्षर गर्नेछ। यस तरिकाले हामीले हस्ताक्षरित घोषणाहरूको श्रृंखलाबाट एक विश्वसनीय मार्ग प्राप्त गर्नेछौं र यसलाई जाँच गर्न सक्षम हुनेछौं।

सैद्धान्तिक रूपमा राम्रो, तर व्यवहारमा धेरै समस्याहरू छन्। BGPSec ले नेक्स्ट-हप्स चयन गर्न र राउटरमा सिधै आगमन/आउटगोइङ ट्राफिक प्रबन्ध गर्नका लागि धेरै अवस्थित BGP मेकानिकहरू तोड्छ। BGPSec ले सम्पूर्ण बजारको 95% कार्यान्वयन नगरेसम्म काम गर्दैन, जुन आफैमा एक यूटोपिया हो।

BGPSec सँग ठूलो प्रदर्शन समस्याहरू छन्। हालको हार्डवेयरमा, घोषणाहरू जाँच गर्ने गति लगभग 50 उपसर्ग प्रति सेकेन्ड छ। तुलनाको लागि: 700 उपसर्गहरूको हालको इन्टरनेट तालिका 000 घण्टामा अपलोड हुनेछ, जुन अवधिमा यो थप 5 पटक परिवर्तन हुनेछ।

BGP खुला नीति (भूमिकामा आधारित BGP)। मोडेलमा आधारित नयाँ प्रस्ताव गाओ-रेक्सफोर्ड। यी दुई वैज्ञानिकहरू हुन् जसले BGP अनुसन्धान गरिरहेका छन्।

गाओ-रेक्सफोर्ड मोडेल निम्नानुसार छ। सरल बनाउनको लागि, BGP संग त्यहाँ अन्तरक्रिया को प्रकार को एक सानो संख्या छ:

• प्रदायक ग्राहक;
• P2P;
• आन्तरिक संचार, iBGP भन्नुहोस्।

राउटरको भूमिकाको आधारमा, पूर्वनिर्धारित रूपमा निश्चित आयात/निर्यात नीतिहरू तोक्न सम्भव छ। प्रशासकले उपसर्ग सूचीहरू कन्फिगर गर्न आवश्यक छैन। राउटरहरू आपसमा सहमत हुने र सेट गर्न सकिने भूमिकाको आधारमा, हामीले पहिले नै केही पूर्वनिर्धारित फिल्टरहरू प्राप्त गरेका छौं। यो हाल IETF मा छलफल भइरहेको एक मस्यौदा हो। मलाई आशा छ कि चाँडै हामीले यसलाई RFC र हार्डवेयरमा कार्यान्वयनको रूपमा देख्नेछौं।

ठूला इन्टरनेट प्रदायकहरू

प्रदायकको उदाहरण हेरौं शताब्दीलिंक। यो तेस्रो ठूलो अमेरिकी प्रदायक हो, 37 राज्यहरूमा सेवा गर्दै र 15 डाटा केन्द्रहरू छन्। 

डिसेम्बर 2018 मा, CenturyLink अमेरिकी बजारमा 50 घण्टाको लागि थियो। घटनाको समयमा, दुई राज्यमा एटीएम सञ्चालनमा समस्याहरू थिए, र 911 नम्बर पाँच राज्यहरूमा धेरै घण्टासम्म काम गरिरहेको थिएन। Idaho मा लटरी पूर्ण रूपमा बर्बाद भएको थियो। यो घटना अहिले अमेरिकी दूरसञ्चार आयोगले अनुसन्धान गरिरहेको छ।

दुर्घटनाको कारण एक डाटा सेन्टर मा एक नेटवर्क कार्ड थियो। कार्ड खराब भयो, गलत प्याकेटहरू पठाइयो, र प्रदायकका सबै 15 डाटा केन्द्रहरू तल गए।

यो प्रदायकको लागि विचारले काम गरेन "झर्न धेरै ठूलो"। यो विचारले काम गर्दैन। तपाईं कुनै पनि प्रमुख खेलाडी लिन र शीर्षमा केही साना चीजहरू राख्न सक्नुहुन्छ। अमेरिका अझै पनि कनेक्टिभिटीमा राम्रो गरिरहेको छ। सेन्चुरीलिङ्कका ग्राहकहरू जोसँग रिजर्भ थियो त्यसमा धेरै संख्यामा गए। त्यसपछि वैकल्पिक अपरेटरहरूले उनीहरूको लिङ्कहरू ओभरलोड भएको गुनासो गरे।

यदि सशर्त Kazakhtelecom खस्यो भने, सम्पूर्ण देश इन्टरनेट बिना छोडिनेछ।

निगमहरू

सायद गुगल, अमेजन, फेसबुक र अन्य निगमहरूले इन्टरनेटलाई समर्थन गर्छन्? होइन, तिनीहरूले पनि तोड्छन्।

2017 मा सेन्ट पीटर्सबर्गमा ENOG13 सम्मेलनमा जेफ ह्युस्टन बाट APnic परिचय रिपोर्ट "ट्रान्जिट को मृत्यु"। यसले भन्दछ कि हामी अन्तरक्रिया, पैसा प्रवाह र इन्टरनेटमा ट्राफिक ठाडो हुन अभ्यस्त छौं। हामीसँग साना प्रदायकहरू छन् जसले ठूलाहरूलाई जडानको लागि भुक्तान गर्छन्, र तिनीहरूले पहिले नै ग्लोबल ट्रान्जिटमा जडानको लागि भुक्तानी गर्छन्।

अब हामीसँग यस्तो ठाडो उन्मुख संरचना छ। सबै कुरा ठीक हुनेछ, तर संसार परिवर्तन हुँदैछ - प्रमुख खेलाडीहरूले आफ्नै ब्याकबोनहरू निर्माण गर्न ट्रान्ससेनिक केबलहरू निर्माण गर्दैछन्।

CDN केबल बारे समाचार।

2018 मा, टेलिजियोग्राफीले एक अध्ययन जारी गर्‍यो कि इन्टरनेटमा आधा भन्दा बढी ट्राफिक अब इन्टरनेट होइन, तर ठूला खेलाडीहरूको ब्याकबोन CDN हो। यो ट्राफिक हो जुन इन्टरनेटसँग सम्बन्धित छ, तर यो अब हामीले कुरा गरिरहेको नेटवर्क छैन।

इन्टरनेट ढिलो जडान भएका नेटवर्कहरूको ठूलो सेटमा टुक्रिएको छ।

माइक्रोसफ्टको आफ्नै नेटवर्क छ, गुगलको आफ्नै छ, र तिनीहरू एकअर्कासँग थोरै ओभरल्याप छन्। संयुक्त राज्य अमेरिकामा कतैबाट उत्पन्न भएको ट्राफिक Microsoft च्यानलहरू मार्फत महासागर पारी युरोपमा कतै CDN मा जान्छ, त्यसपछि CDN वा IX मार्फत यो तपाईंको प्रदायकसँग जडान हुन्छ र तपाईंको राउटरमा पुग्छ।

विकेन्द्रीकरण लोप हुँदै गएको छ ।

आणविक विस्फोटबाट बच्न मद्दत गर्ने इन्टरनेटको यो शक्ति हराउँदै गएको छ। प्रयोगकर्ता र ट्राफिकको एकाग्रता स्थानहरू देखा पर्दछ। यदि सशर्त Google क्लाउड खस्यो भने, त्यहाँ एकै पटक धेरै पीडित हुनेछन्। हामीले यो आंशिक रूपमा महसुस गर्यौं जब Roskomnadzor ले AWS लाई रोक्यो। र CenturyLink को उदाहरणले देखाउँछ कि साना चीजहरू पनि यसको लागि पर्याप्त छन्।

पहिले, सबै छैन र सबैले तोडेको छैन। भविष्यमा, हामी यो निष्कर्षमा पुग्न सक्छौं कि एक प्रमुख खेलाडीलाई प्रभाव पारेर, हामी धेरै चीजहरू, धेरै ठाउँहरू र धेरै मानिसहरूलाई तोड्न सक्छौं।

राज्यहरु

राज्यहरू पङ्क्तिमा अर्को छन्, र यो सामान्यतया उनीहरूलाई हुन्छ।

यहाँ हाम्रो Roskomnadzor एक अग्रगामी पनि छैन। इरान, भारत र पाकिस्तानमा इन्टरनेट बन्द गर्ने यस्तै अभ्यास छ। इङ्गल्याण्डमा इन्टरनेट बन्द गर्ने सम्भाव्यतामा एक बिल छ।

कुनै पनि ठूला राज्यले इन्टरनेट बन्द गर्नको लागि स्विच प्राप्त गर्न चाहन्छ, या त पूर्ण रूपमा वा भागहरूमा: ट्विटर, टेलिग्राम, फेसबुक। यो होइन कि तिनीहरू बुझ्दैनन् कि तिनीहरू कहिल्यै सफल हुनेछैनन्, तर तिनीहरू वास्तवमै यो चाहन्छन्। यो स्विच, एक नियमको रूपमा, राजनीतिक उद्देश्यका लागि प्रयोग गरिन्छ - राजनीतिक प्रतिद्वन्द्वीहरू हटाउन, वा चुनाव नजिकिँदै छ, वा रूसी ह्याकरहरूले फेरि केहि तोडेका छन्।

DDoS आक्रमणहरू

म क्यूरेटर ल्याब्सबाट मेरा साथीहरूबाट रोटी लिने छैन, तिनीहरूले म भन्दा धेरै राम्रो गर्छन्। उनीहरुसँग छ वार्षिक प्रतिवेदन इन्टरनेट स्थिरता मा। र यो तिनीहरूले 2018 रिपोर्टमा लेखेका छन्।

DDoS आक्रमणहरूको औसत अवधि 2.5 घण्टामा घट्छ। आक्रमणकारीहरूले पनि पैसा गणना गर्न थाल्छन्, र यदि संसाधन तुरुन्तै उपलब्ध भएन भने, तिनीहरू तुरुन्तै यसलाई एक्लै छोड्छन्।

आक्रमणको तीव्रता बढ्दै गएको छ। 2018 मा, हामीले Akamai नेटवर्कमा 1.7 Tb/s देख्यौं, र यो सीमा होइन।

नयाँ आक्रमण भेक्टरहरू उदाइरहेका छन् र पुरानाहरू तीव्र हुँदैछन्। नयाँ प्रोटोकलहरू उदाइरहेका छन् जुन प्रवर्धनको लागि संवेदनशील छन्, र अवस्थित प्रोटोकलहरूमा नयाँ आक्रमणहरू देखा पर्दैछन्, विशेष गरी TLS र यस्तै।

धेरैजसो ट्राफिक मोबाइल उपकरणबाट हुन्छ। एकै समयमा, इन्टरनेट ट्राफिक मोबाइल ग्राहकहरूमा परिवर्तन हुन्छ। आक्रमण गर्ने र रक्षा गर्ने दुवै यससँग काम गर्न सक्षम हुन आवश्यक छ।

अभेद्य - छैन। यो मुख्य विचार हो - त्यहाँ कुनै सार्वभौमिक सुरक्षा छैन जसले निश्चित रूपमा कुनै पनि DDoS विरुद्ध सुरक्षा गर्नेछ।

इन्टरनेटमा जडान नभएसम्म प्रणाली स्थापना गर्न सकिँदैन।

मलाई आशा छ कि मैले तपाईलाई पर्याप्त डराएको छु। अब यसको बारेमा के गर्ने भनेर सोचौं।

के गर्ने?!

यदि तपाईंसँग खाली समय, इच्छा र अंग्रेजीको ज्ञान छ भने, कार्य समूहहरूमा भाग लिनुहोस्: IETF, RIPE WG। यी खुला मेल सूचीहरू हुन्, मेलिङ सूचीहरूको सदस्यता लिनुहोस्, छलफलहरूमा भाग लिनुहोस्, सम्मेलनहरूमा आउनुहोस्। यदि तपाइँसँग LIR स्थिति छ भने, तपाइँ मतदान गर्न सक्नुहुन्छ, उदाहरणका लागि, विभिन्न पहलहरूको लागि RIPE मा।

यो केवल नश्वरहरूको लागि हो निगरानी। के बिग्रिएको छ थाहा पाउन।

निगरानी: के जाँच गर्ने?

सामान्य पिंग, र बाइनरी जाँच मात्र होइन - यसले काम गर्छ वा गर्दैन। इतिहासमा RTT रेकर्ड गर्नुहोस् ताकि तपाईं पछि विसंगतिहरू हेर्न सक्नुहुन्छ।

Traceroute। यो TCP/IP नेटवर्कहरूमा डाटा मार्गहरू निर्धारण गर्नको लागि एक उपयोगिता कार्यक्रम हो। विसंगति र अवरोधहरू पहिचान गर्न मद्दत गर्दछ।

HTTP आफू अनुकूल URL र TLS प्रमाणपत्रहरूको लागि जाँच गर्दछ आक्रमणको लागि अवरुद्ध वा DNS स्पूफिङ पत्ता लगाउन मद्दत गर्नेछ, जुन व्यावहारिक रूपमा एउटै कुरा हो। DNS स्पूफिङ र ट्राफिकलाई स्टब पृष्ठमा बदलेर ब्लक गर्ने काम प्रायः गरिन्छ।

यदि सम्भव छ भने, यदि तपाइँसँग एप्लिकेसन छ भने विभिन्न स्थानबाट तपाइँको ग्राहकहरूको तपाइँको मूलको संकल्प जाँच गर्नुहोस्। यसले तपाइँलाई DNS अपहरण विसंगतिहरू पत्ता लगाउन मद्दत गर्दछ, जुन प्रदायकहरूले कहिलेकाहीं गर्छन्।

निगरानी: कहाँ जाँच गर्ने?

त्यहाँ कुनै विश्वव्यापी जवाफ छैन। प्रयोगकर्ता कहाँबाट आउँदैछ जाँच गर्नुहोस्। यदि प्रयोगकर्ताहरू रूसमा छन् भने, रूसबाट जाँच गर्नुहोस्, तर आफूलाई यसमा सीमित नगर्नुहोस्। यदि तपाइँका प्रयोगकर्ताहरू विभिन्न क्षेत्रहरूमा बस्छन् भने, यी क्षेत्रहरूबाट जाँच गर्नुहोस्। तर संसारभरबाट राम्रो।

निगरानी: के जाँच गर्ने?

मैले तीनवटा बाटो लिएँ । यदि तपाईलाई थप थाहा छ भने, टिप्पणीहरूमा लेख्नुहोस्।

• RIPE एटलस।
• वाणिज्य अनुगमन।
• भर्चुअल मेसिनहरूको तपाईंको आफ्नै नेटवर्क।

तिनीहरूमध्ये प्रत्येकको बारेमा कुरा गरौं।

RIPE एटलस - यो यस्तो सानो बक्स हो। घरेलु "इन्स्पेक्टर" लाई चिन्नेहरूका लागि - यो एउटै बक्स हो, तर फरक स्टिकरको साथ।

RIPE एटलस एक नि: शुल्क कार्यक्रम हो। तपाइँ दर्ता गर्नुहोस्, मेल द्वारा राउटर प्राप्त गर्नुहोस् र यसलाई नेटवर्कमा प्लग गर्नुहोस्। अरू कसैले तपाईंको नमूना प्रयोग गरेको तथ्यको लागि, तपाईंले केही क्रेडिटहरू पाउनुहुन्छ। यी ऋणहरु संग तपाईले केहि अनुसन्धान आफै गर्न सक्नुहुन्छ। तपाईं विभिन्न तरिकामा परीक्षण गर्न सक्नुहुन्छ: पिंग, ट्रेसरूट, प्रमाणपत्रहरू जाँच गर्नुहोस्। कभरेज धेरै ठूलो छ, त्यहाँ धेरै नोडहरू छन्। तर त्यहाँ nuances छन्।

क्रेडिट प्रणालीले उत्पादन समाधानहरू निर्माण गर्न अनुमति दिँदैन। चलिरहेको अनुसन्धान वा व्यावसायिक अनुगमनको लागि पर्याप्त क्रेडिट हुनेछैन। क्रेडिटहरू छोटो अध्ययन वा एक-पटक जाँचको लागि पर्याप्त छन्। एक नमूनाबाट दैनिक मानक 1-2 चेक द्वारा खपत हुन्छ।

कभरेज असमान छ। कार्यक्रम दुबै दिशामा नि:शुल्क भएकोले, कभरेज युरोपमा, रूसको युरोपेली भाग र केही क्षेत्रहरूमा राम्रो छ। तर यदि तपाईंलाई इन्डोनेसिया वा न्यूजील्याण्ड चाहिन्छ भने, त्यसपछि सबै कुरा धेरै खराब छ - तपाईंसँग प्रति देश 50 नमूनाहरू नहुन सक्छ।

तपाईंले नमूनाबाट http जाँच गर्न सक्नुहुन्न। यो प्राविधिक nuances को कारण हो। तिनीहरूले यसलाई नयाँ संस्करणमा ठीक गर्ने वाचा गर्छन्, तर अहिलेको लागि http जाँच गर्न सकिँदैन। प्रमाणपत्र मात्र प्रमाणित गर्न सकिन्छ। केहि प्रकारको HTTP जाँच एङ्कर भनिने विशेष RIPE एटलस उपकरणमा मात्र गर्न सकिन्छ।

दोस्रो तरिका व्यावसायिक अनुगमन हो। उहाँसँग सबै ठीक छ, तपाईं पैसा तिर्दै हुनुहुन्छ, हैन? तिनीहरूले तपाईंलाई विश्वभरि धेरै दर्जन वा सयौं अनुगमन बिन्दुहरू र बक्स बाहिर सुन्दर ड्यासबोर्डहरू कोर्ने वाचा गर्छन्। तर, फेरि, त्यहाँ समस्याहरू छन्।

यो भुक्तान गरिएको छ, केहि ठाउँहरूमा यो धेरै छ। पिङ निगरानी, ​​विश्वव्यापी जाँचहरू, र धेरै HTTP जाँचहरू वर्षमा धेरै हजार डलर खर्च गर्न सक्छन्। यदि वित्तले अनुमति दिन्छ र तपाईंलाई यो समाधान मनपर्छ भने, अगाडि बढ्नुहोस्।

चासोको क्षेत्रमा कभरेज पर्याप्त नहुन सक्छ। एउटै पिंग संग, संसार को एक अमूर्त भाग को अधिकतम निर्दिष्ट गरिएको छ - एशिया, युरोप, उत्तर अमेरिका। दुर्लभ अनुगमन प्रणालीहरू एक विशेष देश वा क्षेत्रमा ड्रिल गर्न सक्छन्।

अनुकूलन परीक्षणहरूको लागि कमजोर समर्थन। यदि तपाइँलाई केहि अनुकूलन चाहिन्छ, र url मा "कर्ली" मात्र होइन, त्यसमा पनि समस्याहरू छन्।

तेस्रो तरिका तपाईको निगरानी हो। यो एक क्लासिक हो: "हाम्रो आफ्नै लेखौं!"

तपाइँको निगरानी एक सफ्टवेयर उत्पादन को विकास मा परिणत हुन्छ, र एक वितरित एक। तपाईं एक पूर्वाधार प्रदायक खोज्दै हुनुहुन्छ, यसलाई कसरी डिप्लोय गर्ने र अनुगमन गर्ने हेर्नुहोस् - अनुगमनलाई अनुगमन गर्न आवश्यक छ, हैन? र समर्थन पनि आवश्यक छ। तपाईंले यो लिनु अघि दस पटक सोच्नुहोस्। तपाईंको लागि यो गर्न कसैलाई भुक्तानी गर्न सजिलो हुन सक्छ।

BGP विसंगतिहरू र DDoS आक्रमणहरू निगरानी गर्दै

यहाँ, उपलब्ध स्रोतहरूमा आधारित, सबै कुरा अझ सरल छ। BGP विसंगतिहरू QRadar, BGPmon जस्ता विशेष सेवाहरू प्रयोग गरेर पत्ता लगाइन्छ। तिनीहरू धेरै अपरेटरहरूबाट पूर्ण दृश्य तालिका स्वीकार गर्छन्। तिनीहरूले विभिन्न अपरेटरहरूबाट के देख्छन् भन्ने आधारमा, तिनीहरूले विसंगतिहरू पत्ता लगाउन सक्छन्, एम्पलीफायरहरू खोज्न सक्छन्, र यस्तै अन्य। दर्ता सामान्यतया नि: शुल्क छ - तपाईंले आफ्नो फोन नम्बर प्रविष्ट गर्नुहोस्, इमेल सूचनाहरूको सदस्यता लिनुहोस्, र सेवाले तपाईंलाई तपाईंको समस्याहरूको बारेमा सचेत गराउनेछ।

DDoS आक्रमणहरूको निगरानी पनि सरल छ। सामान्यतया यो हो नेटफ्लो-आधारित र लगहरू। जस्ता विशेष प्रणालीहरू छन् FastNetMon,का लागि मोड्युलहरू स्प्लंक। अन्तिम उपायको रूपमा, त्यहाँ तपाईंको DDoS सुरक्षा प्रदायक छ। यसले नेटफ्लोलाई पनि चुहावट गर्न सक्छ र, यसको आधारमा, यसले तपाइँलाई तपाइँको दिशामा आक्रमणको बारेमा सूचित गर्नेछ।

निष्कर्ष

कुनै भ्रम छैन - इन्टरनेट निश्चित रूपमा तोडिनेछ। सबै कुरा होइन र सबै टुट्ने पनि होइन, तर २०१७ मा १४ हजार घटनाले घटना हुने सङ्केत दिएको छ ।

तपाईंको काम सकेसम्म चाँडो समस्याहरू ध्यान दिनु हो। कम्तिमा, तपाइँको प्रयोगकर्ता भन्दा पछि छैन। यो नोट गर्न महत्त्वपूर्ण मात्र होइन, सधैं "प्लान बी" रिजर्भमा राख्नुहोस्। योजना भनेको सबै कुरा बिग्रिएपछि तपाईंले के गर्नुहुन्छ भन्ने रणनीति हो।: रिजर्व अपरेटरहरू, DC, CDN। योजना एउटा छुट्टै चेकलिस्ट हो जसको विरुद्धमा तपाईंले सबै कुराको काम जाँच गर्नुहुन्छ। योजनाले नेटवर्क ईन्जिनियरहरूको संलग्नता बिना काम गर्नुपर्छ, किनभने त्यहाँ सामान्यतया थोरै हुन्छन् र तिनीहरू सुत्न चाहन्छन्।

यति नै। म तपाईंलाई उच्च उपलब्धता र हरियो निगरानी चाहन्छु।

अर्को हप्ता नोवोसिबिर्स्क घाम, हाईलोड र विकासकर्ताहरूको उच्च एकाग्रता अपेक्षित छ हाईलोड++ साइबेरिया २०१९। साइबेरियामा, निगरानी, ​​पहुँच र परीक्षण, सुरक्षा र व्यवस्थापनमा रिपोर्टहरूको अगाडि भविष्यवाणी गरिएको छ। सामाजिक सञ्जालहरूमा स्क्रिब्ल्ड नोटहरू, नेटवर्किङ, फोटोहरू र पोस्टहरूको रूपमा वर्षाको अपेक्षा गरिएको छ। हामी जून 24 र 25 मा सबै गतिविधिहरू स्थगित गर्न सिफारिस गर्दछौं टिकट बुक गर्न। हामी साइबेरियामा तपाईंको लागि पर्खिरहेका छौं!

स्रोत: www.habr.com