Yandex ले RPKI लागू गर्दछ

नमस्ते, मेरो नाम अलेक्जेंडर Azimov हो। Yandex मा, म विभिन्न अनुगमन प्रणाली, साथै यातायात नेटवर्क संरचना विकास गर्छु। तर आज हामी BGP प्रोटोकल बारे कुरा गर्नेछौं।

एक हप्ता अघि, Yandex ले ROV (Route Origin Validation) लाई सबै पियरिङ पार्टनरहरू, साथै ट्राफिक एक्सचेन्ज पोइन्टहरूसँग इन्टरफेसहरूमा सक्षम गरेको थियो। यो किन गरियो र यसले टेलिकम अपरेटरहरूसँगको अन्तरक्रियालाई कसरी असर गर्छ भन्ने बारे तल पढ्नुहोस्।

BGP र यसमा के गलत छ

तपाईलाई थाहा छ कि BGP एक इन्टरडोमेन रूटिङ प्रोटोकलको रूपमा डिजाइन गरिएको थियो। यद्यपि, बाटोमा, प्रयोगका केसहरूको संख्या बढ्दै गएको छ: आज, BGP, धेरै विस्तारहरूका लागि धन्यवाद, सन्देश बसमा परिणत भएको छ, अपरेटर VPN बाट अहिले फेसनशील SD-WAN सम्मका कार्यहरू कभर गर्दै, र यस रूपमा अनुप्रयोग फेला पारेको छ। एक SDN-जस्तो नियन्त्रकको लागि एक यातायात, दूरी भेक्टर BGP लाई लिङ्क सट प्रोटोकल जस्तै केहिमा परिणत गर्दै।

अंजीर। १ BGP SAFI

BGP ले किन यति धेरै प्रयोगहरू प्राप्त गरेको छ (र प्राप्त गर्न जारी छ)? त्यहाँ दुई मुख्य कारणहरू छन्:

• BGP एक मात्र प्रोटोकल हो जसले स्वायत्त प्रणाली (एएस) बीच काम गर्दछ;
• BGP TLV (प्रकार-लम्बाइ-मान) ढाँचामा विशेषताहरूलाई समर्थन गर्दछ। हो, प्रोटोकल यसमा एक्लै छैन, तर टेलिकम अपरेटरहरू बीचको जंक्शनहरूमा यसलाई प्रतिस्थापन गर्न केहि पनि छैन, यसले थप राउटिंग प्रोटोकललाई समर्थन गर्नु भन्दा यसमा अर्को कार्यात्मक तत्व संलग्न गर्न सधैं बढी लाभदायक हुन्छ।

उसलाई के बिग्रियो? संक्षेपमा, प्रोटोकलमा प्राप्त जानकारीको शुद्धता जाँच गर्नको लागि निर्मित संयन्त्र छैन। त्यो हो, BGP एक प्राथमिकता ट्रस्ट प्रोटोकल हो: यदि तपाईं संसारलाई बताउन चाहनुहुन्छ कि अब तपाईंसँग Rostelecom, MTS वा Yandex को नेटवर्क छ, कृपया!

IRRDB-आधारित फिल्टर - सबैभन्दा खराब मध्ये सबै भन्दा राम्रो

प्रश्न उठ्छ: किन इन्टरनेट अझै पनि यस्तो अवस्थामा काम गर्छ? हो, यसले धेरैजसो समय काम गर्छ, तर एकै समयमा यो आवधिक रूपमा विस्फोट हुन्छ, जसले सम्पूर्ण राष्ट्रिय खण्डहरूलाई पहुँचयोग्य बनाउँछ। यद्यपि BGP मा ह्याकर गतिविधि पनि बढ्दै गएको छ, तर धेरैजसो विसंगतिहरू अझै पनि बगहरूका कारण हुन्। यो वर्षको उदाहरण हो सानो अपरेटर त्रुटि बेलारुसमा, जसले इन्टरनेटको महत्त्वपूर्ण भाग मेगाफोन प्रयोगकर्ताहरूलाई आधा घण्टाको लागि पहुँचयोग्य बनायो। अर्को उदाहरण - पागल BGP अनुकूलक संसारको सबैभन्दा ठूलो CDN नेटवर्क तोड्यो।

चामल। 2. Cloudflare ट्राफिक अवरोध

तर अझै पनि, किन यस्ता विसंगतिहरू प्रत्येक छ महिनामा एक पटक हुन्छन्, र हरेक दिन होइन? किनभने वाहकहरूले BGP छिमेकीहरूबाट के प्राप्त गर्छन् भनेर प्रमाणित गर्न राउटिङ जानकारीको बाह्य डाटाबेसहरू प्रयोग गर्छन्। त्यस्ता धेरै डाटाबेसहरू छन्, तिनीहरूमध्ये केही रजिस्ट्रारहरू (RIPE, APNIC, ARIN, AFRINIC) द्वारा व्यवस्थित छन्, केही स्वतन्त्र खेलाडीहरू छन् (सबैभन्दा प्रसिद्ध RADB हो), र त्यहाँ ठूला कम्पनीहरू (Level3) को स्वामित्वमा रहेका रजिस्ट्रारहरूको सम्पूर्ण सेट पनि छ। , NTT, आदि)। यो यी डाटाबेसहरूको लागि धन्यवाद हो कि अन्तर-डोमेन राउटिङले यसको सञ्चालनको सापेक्ष स्थिरता कायम राख्छ।

यद्यपि, त्यहाँ nuances छन्। रूटिङ जानकारी ROUTE-OBJECTS र AS-SET वस्तुहरूमा आधारित जाँच गरिन्छ। र यदि पहिलोले IRRDB को अंशको लागि प्राधिकरणलाई संकेत गर्छ भने, दोस्रो कक्षाको लागि त्यहाँ वर्गको रूपमा कुनै प्राधिकरण छैन। त्यो हो, जो कोहीले पनि आफ्नो सेटमा कसैलाई थप्न सक्छ र यसरी अपस्ट्रीम प्रदायकहरूको फिल्टरहरू बाइपास गर्न सक्छ। यसबाहेक, विभिन्न IRR आधारहरू बीच AS-SET नामकरणको विशिष्टताको ग्यारेन्टी छैन, जसले टेलिकम अपरेटरको लागि अचानक जडानको हानिको साथ आश्चर्यजनक प्रभावहरू निम्त्याउन सक्छ, जसले आफ्नो पक्षको लागि, केहि परिवर्तन गरेन।

एउटा अतिरिक्त चुनौती AS-SET को प्रयोग ढाँचा हो। यहाँ दुई बिन्दुहरू छन्:

• जब एक अपरेटरले नयाँ क्लाइन्ट पाउँछ, उसले यसलाई आफ्नो AS-SET मा थप्छ, तर लगभग कहिल्यै हटाउँदैन;
• फिल्टरहरू ग्राहकहरूसँगको इन्टरफेसमा मात्र कन्फिगर गरिएका छन्।

नतिजाको रूपमा, BGP फिल्टरहरूको आधुनिक ढाँचामा ग्राहकहरूसँगको इन्टरफेसहरूमा क्रमशः अपमानजनक फिल्टरहरू र पियरिङ पार्टनरहरू र IP ट्रान्जिट प्रदायकहरूबाट आउने कुराहरूमा एक प्राथमिकता विश्वास समावेश हुन्छ।

AS-SET मा आधारित उपसर्ग फिल्टर प्रतिस्थापन के हो? सबैभन्दा रोचक कुरा यो छ कि छोटो अवधि मा - केहि छैन। तर IRRDB-आधारित फिल्टरहरूको कामलाई पूरक बनाउने थप संयन्त्रहरू देखा परिरहेका छन्, र सबैभन्दा पहिले, यो, निस्सन्देह, RPKI हो।

RPKI

सरल तरिकामा, RPKI आर्किटेक्चरलाई वितरित डाटाबेसको रूपमा सोच्न सकिन्छ जसको रेकर्डहरू क्रिप्टोग्राफिक रूपमा प्रमाणित गर्न सकिन्छ। ROA (Route Object Authorization) को अवस्थामा, हस्ताक्षरकर्ता ठेगाना स्पेसको मालिक हो, र रेकर्ड आफैंमा ट्रिपल (उपसर्ग, asn, max_length) हो। अनिवार्य रूपमा, यो प्रविष्टिले निम्नलाई पोष्टुलेट गर्दछ: $उपसर्ग ठेगाना स्पेसको मालिकले $max_length भन्दा लम्बाइ नभएको उपसर्गहरू विज्ञापन गर्न AS नम्बर $asn लाई अधिकार दिएको छ। र राउटरहरू, RPKI क्यास प्रयोग गरेर, अनुपालनको लागि जोडी जाँच गर्न सक्षम छन् उपसर्ग - बाटोमा पहिलो वक्ता.

चित्र 3. RPKI वास्तुकला

ROA वस्तुहरू धेरै लामो समयको लागि मानकीकृत गरिएको छ, तर हालसम्म तिनीहरू वास्तवमा IETF जर्नलमा कागजमा मात्र रहन्छन्। मेरो विचारमा, यसको कारण डरलाग्दो छ - खराब मार्केटिङ। मानकीकरण पूरा भएपछि, प्रोत्साहन थियो कि ROA BGP अपहरण विरुद्ध सुरक्षित थियो - जुन सत्य थिएन। आक्रमणकारीहरूले मार्गको सुरुमा सही AC नम्बर घुसाएर ROA-आधारित फिल्टरहरूलाई सजिलै बाइपास गर्न सक्छन्। र यो अनुभूति हुने बित्तिकै, अर्को तार्किक कदम ROA को प्रयोग त्याग्न थियो। वास्तवमा, हामीलाई प्रविधि किन चाहिन्छ यदि यसले काम गर्दैन?

किन यो आफ्नो मन परिवर्तन गर्ने समय हो? किनभने यो सम्पूर्ण सत्य होइन। ROA ले BGP मा ह्याकर गतिविधि विरुद्ध सुरक्षा गर्दैन, तर आकस्मिक ट्राफिक अपहरण विरुद्ध सुरक्षा, उदाहरणका लागि BGP मा स्थिर चुहावटबाट, जुन अझ सामान्य हुँदै गइरहेको छ। साथै, IRR-आधारित फिल्टरहरूको विपरीत, ROV ग्राहकहरूसँगको इन्टरफेसमा मात्र होइन, साथीहरू र अपस्ट्रिम प्रदायकहरूसँगको इन्टरफेसमा पनि प्रयोग गर्न सकिन्छ। अर्थात्, RPKI को परिचयसँगै, BGP बाट एक प्राथमिक विश्वास बिस्तारै हराउँदैछ।

अब, ROA मा आधारित मार्गहरू जाँच गर्दै मुख्य खेलाडीहरू द्वारा बिस्तारै कार्यान्वयन भइरहेको छ: सबैभन्दा ठूलो युरोपेली IX ले पहिले नै Tier-1 अपरेटरहरू बीच गलत मार्गहरू खारेज गर्दैछ, यो AT&T लाई हाइलाइट गर्न लायक छ, जसले आफ्ना पियरिङ पार्टनरहरूसँग इन्टरफेसहरूमा फिल्टरहरू सक्षम गरेको छ। सबैभन्दा ठूला सामग्री प्रदायकहरू पनि परियोजनामा ​​​​आइरहेका छन्। र दर्जनौं मध्यम आकारको ट्रान्जिट अपरेटरहरूले यसबारे कसैलाई नभनी चुपचाप यसलाई लागू गरिसकेका छन्। यी सबै अपरेटरहरूले किन RPKI लागू गरिरहेका छन्? जवाफ सरल छ: तपाईंको बाहिर जाने ट्राफिकलाई अन्य व्यक्तिका गल्तीहरूबाट जोगाउन। यसैले Yandex यसको नेटवर्कको किनारमा ROV समावेश गर्ने रूसी संघमा पहिलो हो।

अब के हुने हो ?

हामीले अब ट्राफिक एक्सचेन्ज पोइन्टहरू र निजी पियरिंगहरूका साथ इन्टरफेसमा राउटिङ जानकारी जाँच गर्ने सक्षम गरेका छौं। निकट भविष्यमा, अपस्ट्रीम ट्राफिक प्रदायकहरूसँग प्रमाणिकरण पनि सक्षम हुनेछ।

यसले तपाईलाई के फरक पार्छ? यदि तपाइँ तपाइँको नेटवर्क र Yandex बीच ट्राफिक मार्ग को सुरक्षा बढाउन चाहनुहुन्छ भने, हामी सिफारिस गर्दछौं:

• आफ्नो ठेगाना स्पेस साइन इन गर्नुहोस् RIPE पोर्टलमा - यो सरल छ, औसतमा 5-10 मिनेट लाग्छ। कसैले अनजानमा तपाईंको ठेगाना स्थान चोरेको घटनामा यसले हाम्रो जडानलाई सुरक्षित गर्नेछ (र यो चाँडै वा पछि निश्चित रूपमा हुनेछ);
• खुला स्रोत RPKI क्यास मध्ये एउटा स्थापना गर्नुहोस् (परिपक्व-प्रमाणीकरणकर्ता, दिनचर्या) र नेटवर्क बोर्डरमा मार्ग जाँच सक्षम गर्नुहोस् - यसले थप समय लिनेछ, तर फेरि, यसले कुनै प्राविधिक कठिनाइहरू ल्याउने छैन।

Yandex ले नयाँ RPKI वस्तुमा आधारित फिल्टरिङ प्रणालीको विकासलाई पनि समर्थन गर्दछ - ASPA (स्वायत्त प्रणाली प्रदायक प्राधिकरण)। ASPA र ROA वस्तुहरूमा आधारित फिल्टरहरूले "लिकी" AS-SET हरू मात्र प्रतिस्थापन गर्न सक्दैन, तर BGP प्रयोग गरेर MiTM आक्रमणका मुद्दाहरूलाई पनि बन्द गर्न सक्छ।

म अर्को हप सम्मेलनमा एक महिनामा ASPA बारे विस्तृत रूपमा कुरा गर्नेछु। Netflix, Facebook, Dropbox, Juniper, Mellanox र Yandex का सहकर्मीहरूले पनि त्यहाँ बोल्नेछन्। यदि तपाइँ नेटवर्क स्ट्याक र भविष्यमा यसको विकासमा रुचि राख्नुहुन्छ भने, आउनुहोस् दर्ता खुला छ.

स्रोत: www.habr.com