Rrjedhja e rrugëve BGP çoi në një ndërprerje masive të lidhshmërisë në internet

Kompania Cloudflare publikoi raporti mbi incidentin e djeshëm, si rezultat i të cilit për katër orë nga 13:34 deri në 16:26 (MSK) u vërejtën probleme me qasjen në shumë burime në rrjetin global, përfshirë infrastrukturën e Cloudflare, Facebook, Akamai, Apple, Linode dhe Amazon AWS. Problemet në infrastrukturën e Cloudflare, e cila ofron CDN për 16 milionë faqe, u vërejtën nga 14:02 deri në 16:02 (MSK). Sipas vlerësimit të Cloudflare, gjatë defektit ishte regjistruar një humbje prej rreth 15% të trafikut global. Problemi ishte

një rrjedhje rrugësh përmes BGP, gjatë së cilës rreth 20 mijë prefiks të 2400 rrjetëve u ridrejtuan në mënyrë të gabuar. Burimi i rrjedhjes ishte ofruesi DQE Communications, i cili përdori software është shkaktuar nga BGP Optimizer për optimizimin e routing-ut. BGP Optimizer ndan IP-prefiksin në më të vogla, për shembull, ndan 104.20.0.0/20 në 104.20.0.0/21 dhe 104.20.8.0/21, dhe, si pasojë, DQE Communications mbante një numër të madh të rrugëve specifike në anën e tij, duke ri-definuar rrugët më të përgjithshme (pra, në vend të rrugëve të përgjithshme drejt Cloudflare, përdorej rruga më e detajuar për nënrrjetat specifike të Cloudflare). Këto rrugë specifike u njoftuan njërit prej klientëve (Allegheny Technologies, AS396531), i cili gjithashtu kishte një lidhje përmes një ofruesi tjetër. Allegheny Technologies transmetoi rrugët e marra te një ofrues tjetër transit (Verizon, AS701). Për shkak të mungesës së filtrimit të duhur të BGP-anonseve dhe kufizimeve në numrin e prefikseve, Verizon e mori këtë njoftim dhe transmetoi 20 mijë prefikse të marra për pjesën tjetër të internetit. Prefikset e gabuara, për shkak të granularitetit të tyre, u perceptuan si më të prioritizuara pasi rruga specifike ka një prioritet më të lartë se sa ajo e përgjithshme.

Si pasojë, trafiku për shumë rrjete të mëdha filloi të drejtohej përmes Verizon drejt ofruesit të vogël DQE Communications, i cili nuk ishte në gjendje të përballonte fluksin e ardhshëm, duke çuar në kolaps (efekti është i ngjashëm me atë kur një pjesë e një autostrade të ngarkuar zëvendësohet me një rrugë grash).

Për të parandaluar ndodhi të ngjashme në të ardhmen

verifikimi
të rekomanduara:

• Përdorni i anonseve mbi bazën e RPKI (BGP Origin Validation, lejon pranimin e anonseve vetëm nga pronarët e rrjetit); Kufizimi i numrit maksimal të prefikseve të pranuara për të gjitha seancat EBGP (konfigurimi i maximum-prefix do të ndihmonte menjëherë në heqjen e 20 mijë prefikseve brenda një seance);
• Përcaktoni numrin maksimal të prefikseve që mund të pranohen për të gjitha seancat EBGP (konfigurimi maximum-prefix do të ndihmonte menjëherë në shkëputjen e dërgesës së 20 mijë prefikseve brenda një seance);
• Të aplikoni filtrimin e bazuar në regjistrin IRR (Internet Routing Registry, përcakton AS përmes të cilave lejohet rrerutimi i prefixeve të caktuara);
• Të përdorni në routerat konfigurimin e rekomanduar në RFC 8212 për bllokimin e parazgjedhur (‘default deny’);
• Të ndaloni përdorimin e paarsyeshëm të optimizuesve BGP.

Burimi: opennet.ru