Internet verkar vara en stark, oberoende och oförstörbar struktur. I teorin Ă€r nĂ€tverks hĂ„llfasthet tillrĂ€cklig för att överleva en kĂ€rnvapensprĂ€ngning. I verkligheten kan internet falla pĂ„ en enda liten router. Allt pĂ„ grund av att internet Ă€r ett hopkok av motsĂ€gelser, sĂ„rbarheter, fel och kattvideos. Grunden för internet â BGP-protokollet â har en massa problem. Det Ă€r mĂ€rkligt att det alls fungerar. Utöver felen i sjĂ€lva internet bryter alla som har lust det: stora internetleverantörer, företag, stater och DDoS-attacker. Vad kan man göra Ă„t detta och hur lever man med det?
Svaret vet Alexey Uchakin () â ledare för teamet av nĂ€tverksingenjörer pĂ„ IQ Option. Hans huvuduppgift Ă€r att sĂ€kerstĂ€lla tillgĂ„ngen till plattformen för anvĂ€ndarna. I transkriberingen av Alexeys föredrag pĂ„Â diskuterar vi BGP, DDoS-attacker, avstĂ€ngningsknappen för internet, leverantörers fel, decentralisering och fall dĂ€r en liten router har fĂ„tt internet att sova. I slutet â ett par tips om hur man överlever allt detta.
Dagen dÄ internet gick sönder
Jag kommer att nÀmna nÄgra incidenter dÀr internet har förlorat sin anslutning. Detta kommer att vara tillrÀckligt för att ge en fullstÀndig bild.
«Incidenten med AS7007». Första gÄngen internet gick sönder var i april 1997. I programvaran pÄ en router frÄn det autonoma systemet 7007 fanns det ett fel. Vid nÄgot tillfÀlle annonserade routern sin interna routingtabell till grannarna och skickade hÀlften av nÀtet till ett black hole.
«Pakistan mot YouTube». à r 2008 bestÀmde sig hjÀltarna i Pakistan för att blockera YouTube i sitt land. De gjorde det sÄ bra att hela vÀrlden utan kattvideos blev kvar.
«Prefixcapture av VISA, MasterCard och Symantec av Rostelekom». à r 2017 började Rostelekom av misstag annonsera prefixen för VISA, MasterCard och Symantec. Som ett resultat dirigerades finansiell trafik genom kanaler som kontrollerades av leverantören. LÀckan varade inte lÀnge, men det var obehagligt för de finansiella företagen.
«Google mot Japan». I augusti 2017 började Google annonsera prefixen för stora japanska leverantörer NTT och KDDI för vissa av sina uplinks. Trafiken skickades till Google som transit, förmodligen av misstag. Eftersom Google inte Àr en leverantör och inte slÀpper igenom transit trafik, blev en stor del av Japan utan internet.
«DV LINK har tagit över prefix frÄn Google, Apple, Facebook, Microsoft». Under 2017 började den ryska leverantören DV LINK av nÄgon anledning att annonsera nÀtverk frÄn Google, Apple, Facebook, Microsoft och nÄgra andra stora aktörer.
«eNet frÄn USA har tagit över prefix frÄn AWS Route53 och MyEtherwallet». à r 2018 annonserade en leverantör frÄn Ohio eller nÄgon av deras kunder nÀtverk frÄn Amazon Route53 och kryptovaluta-plÄnboken MyEtherwallet. Attacken lyckades: Àven om det fanns ett sjÀlvsignerat certifikat, vilket ledde till en varning för anvÀndaren nÀr de kom in pÄ MyEtherwallet, blev mÄnga plÄnböcker kapade och en del kryptovaluta stulen.
Under 2017 intrÀffade det mer Àn 14000 sÄdana incidenter! NÀtverket Àr fortfarande decentraliserat, sÄ allt gÄr inte sönder och inte hos alla. Men incidenter sker i tusentals och alla Àr kopplade till BGP-protokollet som internet Àr baserat pÄ.
BGP och dess problem
Protokoll BGP â Border Gateway Protocol, beskrevs först 1989 av tvĂ„ ingenjörer frĂ„n IBM och Cisco Systems pĂ„ tre «servetter» â A4-ark. Dessa ligger fortfarande i huvudkontoret för Cisco Systems i San Francisco som en relik frĂ„n nĂ€tverksvĂ€rlden.
I grunden för protokollet Ă€r interaktionen mellan autonoma system â Autonomous Systems eller förkortat â AS. Ett autonomt system Ă€r helt enkelt en viss ID, som i det offentliga registret kopplas till IP-nĂ€tverk. En router med ett sĂ„dant ID kan annonsera dessa nĂ€tverk till omvĂ€rlden. DĂ€rmed kan varje vĂ€g pĂ„ internet representeras som en vektor som kallas AS Path. Vektorn bestĂ„r av nummer pĂ„ autonoma system som mĂ„ste passeras för att nĂ„ destinationsnĂ€tverket.
Till exempel finns det ett nÀtverk av ett visst antal autonoma system. Du behöver ta dig frÄn system AS65001 till system AS65003. VÀgen frÄn ett system representeras av AS Path i diagrammet. Den bestÄr av tvÄ autonoma system: 65002 och 65003. För varje destinationsadress finns det en AS Path-vektor, som bestÄr av numren pÄ de autonoma system vi behöver passera.
Vad har BGP för problem?
BGP Àr ett förtroendeprotokoll
BGP-protokollet Àr baserat pÄ förtroende. Det betyder att vi per default litar pÄ vÄr granne. Detta Àr en egenskap hos mÄnga protokoll som utvecklades i internetets tidiga dagar. LÄt oss undersöka vad »lita pÄ» betyder.
Ingen autentisering av grannen. Formellt finns det MD5, men MD5 2019 â tja, sĂ„dĂ€râŠ
Ingen filtrering. Det finns filter i BGP, och de Àr beskrivna, men de anvÀnds inte, eller sÄ anvÀnds de felaktigt. Jag ska förklara senare varför.
Mycket enkelt att stÀlla in grannskapet. Att konfigurera grannskapet i BGP-protokollet pÄ nÀstan vilken router som helst krÀver bara ett par rader konfiguration.
Det krÀvs inga rÀttigheter för att hantera BGP. Du behöver inte skriva prov för att bekrÀfta din kompetens. Ingen kommer att ta ifrÄn dig rÀtten att konfigurera BGP Àven om du gör det berusad.
TvÄ huvudproblem
Prefixkapningar - prefix hijacks. Prefixkapning innebÀr att annonsera ett nÀtverk som du inte Àger, som i fallet med MyEtherwallet. Vi tog vissa prefix, kom överens med leverantören eller hackade den, och genom den annonserar vi dessa nÀtverk.
RuttlÀckor - route leaks. RuttlÀckor Àr lite mer komplicerade. En lÀcka Àr en förÀndring av AS Path. I bÀsta fall leder förÀndringen till högre latens, eftersom man tvingas ta en lÀngre vÀg eller en mindre kapacitetsrik lÀnk. I vÀrsta fall kan det bli som med Google och Japan.
SjÀlva Google Àr inte en operatör och inte en transit autonom system. Men nÀr de annonserade till sin leverantör nÀt frÄn japanska operatörer, sÄg trafiken genom Google pÄ AS Path ut att vara mer prioriterad. Trafiken gick dit och droppades helt enkelt eftersom routinginstÀllningarna inom Google Àr mer komplicerade Àn bara filter pÄ grÀnsen.
Varför fungerar inte filtren?
Ingen bryr sig. Det hÀr Àr huvudskÀlet - ingen bryr sig. En administratör frÄn en liten leverantör eller ett företag som anslutit sig till leverantören via BGP tog en MikroTik, konfigurerade BGP pÄ den och vet knappt att det gÄr att konfigurera filter.
Konfigurationsfel. NÄgot debuggedes, man gjorde fel i masken, satte inte in rÀtt nÀt - och hÀr Àr, Ànnu ett fel.
Ingen teknisk möjlighet. Till exempel har kommunikationsleverantörer mÄnga kunder. Klokast skulle vara att automatiskt uppdatera filter för varje kund - hÄlla koll pÄ att de fÄngar upp nya nÀt, att de hyr ut sina nÀt till nÄgon. Att hÄlla koll pÄ detta Àr svÄrt, och Ànnu svÄrare att göra för hand. DÀrför sÀtter man helt enkelt avslappnade filter eller sÀtter inga filter alls.
Undantag. Det finns undantag för favoriter och stora kunder. SÀrskilt vid interoperatörskopplingar. Till exempel har TransTeleCom och Rostelecom massor av nÀt och en koppling mellan dem. Om kopplingen faller Àr det ingen som fÄr det bra, sÄ filtren slappas eller tas helt bort.
FörÄldrad eller irrelevant information i IRR. Filter byggs pÄ grundval av den information som Àr registrerad i IRR - Internet Routing Registry. Det handlar om register över regionala internetregistratorer. Ofta innehÄller registren förÄldrad eller irrelevant information, eller bÄde och.
Vem Àr dessa registratorer?
Alla adresser pÄ internet tillhör organisationen IANA - Internet Assigned Numbers Authority. NÀr du köper ett IP-nÀtverk frÄn nÄgon, köper du inte adresser utan rÀtten att anvÀnda dem. Adresser Àr en immateriell resurs, och det Àr allmÀnt överenskommet att alla tillhör IANA.
Systemet fungerar sÄ hÀr. IANA delegerar hanteringen av IP-adresser och autonoma systemnummer till fem regionala registratorer. Dessa utfÀrdar autonoma system LIR - lokala internetregistratorer. Sedan fördelar LIR IP-adresser till slutkunder.
Nackdelen med systemet Àr att varje regional registrator för sin egen register pÄ sitt sÀtt. Var och en har sina Äsikter om vilken information som bör ingÄ i registren, vem som bör eller inte bör kontrollera dem. Resultatet blir det röriga tillstÄnd vi har nu.
Hur kan vi annars bekÀmpa dessa problem?
IRR - medelmÄttig kvalitet. Med IRR Àr det tydligt - dÀr Àr allt dÄligt.
BGP-community. Detta Àr en viss attribut som beskrivs i protokollet. Vi kan exempelvis koppla en speciell community till vÄr annonsering, sÄ att grannen inte skickar vÄra nÀtverk till sina grannar. NÀr vi har en P2P-lÀnk, delar vi bara vÄra nÀtverk. För att förhindra att en rutt av misstag gÄr till andra nÀtverk, kopplar vi community.
Community Àr icke-transitiva. Det Àr alltid ett avtal mellan tvÄ parter, och det Àr deras nackdel. Vi kan inte koppla vilken som helst community, förutom en som accepteras som standard av alla. Vi kan inte vara sÀkra pÄ att denna community kommer att accepteras och tolkas korrekt. DÀrför, i bÀsta fall, om du kommer överens med din uplink, kommer den att förstÄ vad du vill ha gÀllande community. Men grannen kanske inte förstÄr det, eller sÄ kan operatören bara slÀppa din etikett, och du nÄr inte det du ville.
RPKI + ROA löser endast en liten del av problemen. RPKI Ă€r Resource Public Key Infrastructure â ett sĂ€rskilt ramverk för att signera routningsinformation. En bra idĂ© för att tvinga LIR:er och deras kunder att upprĂ€tthĂ„lla en aktuell databas för adresseringsutrymme. Men det finns ett problem med det.
RPKI Ă€r ocksĂ„ ett hierarkiskt system för offentliga nycklar. IANA har en nyckel frĂ„n vilken RIR-nycklar skapas, och frĂ„n dem LIR-nycklar? som de signerarar sitt adresseringsutrymme med hjĂ€lp av ROAs â Route Origin Authorisations:
â Jag försĂ€krar att detta prefix kommer att annonseras av denna autonomi.
Förutom ROA finns det andra objekt, men dem tar vi en annan gĂ„ng. Det verkar som en bra och anvĂ€ndbar sak. Men den skyddar oss inte frĂ„n lĂ€ckor överhuvudtaget och löser inte alla problem med prefixstöld. DĂ€rför Ă€r spelarna inte sĂ€rskilt snabba att implementera den. Ăven om vi redan har löften frĂ„n stora aktörer som AT&T och stora IX:er att prefix med invalid ROA-post kommer att tas bort.
De kanske kommer att göra det, men för tillfÀllet har vi ett stort antal prefix som inte Àr signerade pÄ nÄgot sÀtt. à ena sidan Àr det oklart om de annonseras pÄ ett giltigt sÀtt. à den andra sidan kan vi inte ta bort dem som standard eftersom vi inte Àr sÀkra pÄ om det Àr rÀtt eller fel.
Vad finns det mer?
BGPSec. Det Àr en cool sak som akademikerna har kommit pÄ för nÀtverket av rosa ponnyer. De sa:
â Vi har RPKI + ROA â en mekanism för att försĂ€kra signaturen av adresseringsutrymmet. LĂ„t oss skapa en separat BGP-attribut och kalla det BGPSec Path. Varje router kommer att signera sina annonser med sin egen signatur, som de annonserar till grannarna. PĂ„ sĂ„ sĂ€tt fĂ„r vi en betrodd vĂ€g i kedjan av signerade annonser och kan verifiera den.
I teorin bra, men i praktiken mÄnga problem. BGPSec bryter mÄnga av de befintliga BGP-mekanismerna för val av next-hop och hantering av inkommande/utgÄende trafik direkt pÄ routern. BGPSec fungerar inte förrÀn 95 % av marknadsaktörerna har implementerat det, vilket i sig Àr en utopi.
BGPSec har stora prestandaproblem. PÄ nuvarande hÄrdvara Àr hastigheten för verifiering av annonser ungefÀr 50 prefix per sekund. För jÀmförelse: den nuvarande internettabellen med 700 000 prefix skulle ta 5 timmar att ladda upp, under vilken tid 10 andra gÄnger skulle Àndras.
BGP Open Policy (Rollbaserad BGP). Ett nytt förslag baserat pÄ modellen Gao-Rexford. Det Àr tvÄ forskare som arbetar med att undersöka BGP.
Gao-Rexford-modellen handlar om följande. För att förenkla, i fallet med BGP finns det ett begrÀnsat antal typer av interaktioner:
- Leverantör Kunder;
- P2P;
- intern interaktion, lÄt oss sÀga iBGP.
Baserat pÄ routerns roll kan vissa import/export-policies som standard tillÀmpas. Administratören behöver inte konfigurera prefixlistor. Baserat pÄ rollen som förhandlas mellan routrarna och som kan stÀllas in, fÄr vi redan vissa standardfilter. Det hÀr Àr just nu ett utkast som diskuteras inom IETF. Jag hoppas att vi snart kommer att se detta i form av RFC och implementering pÄ hÄrdvara.
Stora internetleverantörer
LĂ„t oss ta ett exempel med leverantören CenturyLink. Det Ă€r den tredje största leverantören i USA som betjĂ€nar 37 delstater och har 15 datacenter.â
I december 2018 hade CenturyLink driftstopp pÄ den amerikanska marknaden i 50 timmar. Under incidenten fanns det problem med att bankomater fungerade i tvÄ delstater, och numret 911 var inte i drift i fem delstater under flera timmar. Dessutom stÀlldes lotteriet i Idaho in. För denna incident undersöker nu den amerikanska kommissionen för telekommunikation.
Anledningen till tragedin var ett nÀtverkskort i ett datacenter. Kortet slutade fungera, skickade felaktiga paket och alla 15 datacenter av leverantören föll.
För denna leverantör fungerade inte idén "för stor för att falla". Den hÀr idén fungerar överhuvudtaget inte. Man kan ta vilken stor aktör som helst och fÄ den att falla med nÄgot litet. I USA fungerar kopplingarna fortfarande bra. Kunder till CenturyLink, som hade reserv, flyttade massivt över till dem. DÀrefter klagade alternativa operatörer pÄ överbelastningen av sina lÀnkar.
Om en hypotetisk "Kazakhtelecom" skulle falla, skulle hela landet bli utan internet.
Företag
HÄller internetet verkligen uppe pÄ Google, Amazon, FaceBook och andra företag? Nej, de kan ocksÄ skapa problem.
à r 2017 vid konferensen ENOG13 i Sankt Petersburg Jeff Houston frÄn APNIC Är . I den talas det om att vi har vant oss vid att interaktioner, flöden av pengar och trafik pÄ internet Àr vertikala. Vi har smÄ leverantörer som betalar för att koppla upp sig mot större, och de betalar sedan för att koppla upp sig mot global transit.
Nu har vi en vertikalt orienterad struktur. Det skulle vara bra, men vĂ€rlden förĂ€ndras â stora aktörer bygger sina transoceana kablar för att bygga sina egna backbones.
Nyheten om CDN-kabeln.
à r 2018 publicerade TeleGeography en studie som visade att mer Àn hÀlften av trafiken pÄ internet inte lÀngre Àr internet, utan backbones CDN frÄn stora aktörer. Det Àr trafik som har att göra med internet, men det Àr inte lÀngre det nÀtverk vi pratade om.
Internet bryts upp i en stor uppsÀttning svagt kopplade nÀtverk.
Microsoft har sitt eget nÀtverk, Google har sitt, och de tvÄ överlappar varandra svagt. Trafik som föds nÄgonstans i USA fÀrdas genom Microsofts kanaler över havet till Europa, gÄr igenom ett CDN, kopplas antingen via CDN eller IX till din leverantör och nÄr dig i din router.
Decentralisering försvinner.
Denna styrka hos internet, som gör att det kan överleva efter en kÀrnvapenexplosion, gÄr förlorad. Platser med koncentration av anvÀndare och trafik dyker upp. Om ett stort aktör som Google Cloud skulle falla, skulle mÄnga drabbas samtidigt. Vi kÀnde delvis detta nÀr Roskomnadzor blockerade AWS. Och med CenturyLink kan vi se att det krÀvs mycket lite för detta.
Tidigare var det inte alla som bröt ihop. I framtiden kan vi komma till en punkt dÀr man genom att pÄverka en stor aktör kan stÀlla till med mycket för mÄnga pÄ mÄnga stÀllen.
Stater
NÀsta i tur Àr staterna, och det gÄr vanligtvis till pÄ detta sÀtt.
HÀr Àr vÄr Roskomnadzor inte ens pionjÀr. Liknande praxis med internetavstÀngning förekommer i Iran, Indien, Pakistan. I England finns det ett lagförslag om möjligheten att stÀnga av internet.
Varje stor stat vill ha en strömbrytare för att stĂ€nga av internet, antingen helt eller delvis: Twitter, Telegram, Facebook. De förstĂ„r inte att de aldrig kommer att lyckas, men de vill verkligen ha det. En strömbrytare anvĂ€nds oftast i politiska syften â för att eliminera politiska konkurrenter, eller inför val, eller sĂ„ har ryska hackare Ă„terigen förstört nĂ„got.
DDoS-attacker
Jag ska inte ta brödet frÄn mina kollegor pÄ Qrator Labs, de gör det mycket bÀttre Àn jag. De har om stabiliteten hos internet. Och hÀr Àr vad de skrev i rapporten för Är 2018.
Den genomsnittliga lÀngden pÄ DDoS-attacker sjunker till 2,5 timmar.. Angriparna börjar ocksÄ rÀkna pengar, och om resurserna inte faller snabbt, lÀmnar de det snabbt i fred.
Intensiteten av attacker ökar. à r 2018 sÄg vi 1,7 Tbit/s pÄ Akamais nÀt, och det Àr inte grÀnsen.
Nya attackvektorer dyker upp och gamla förstÀrks. Nya protokoll som Àr utsatta för amplifikation dyker upp, liksom nya attacker pÄ befintliga protokoll, sÀrskilt pÄ TLS och liknande.
Största delen av trafiken kommer frÄn mobila enheter. Samtidigt övergÄr internettrafiken till mobila klienter. BÄde angripare och försvarare mÄste hantera detta.
Det finns inga sĂ„rbara system. Det Ă€r den viktigaste poĂ€ngen â det finns ingen universell skyddsmekanism som garanterat skyddar mot alla DDoS-attacker.
Systemet kan inte slÄs ut, sÄvida det inte Àr kopplat till internet.
Jag hoppas att jag har skrÀmt er tillrÀckligt. LÄt oss nu tÀnka pÄ vad vi kan göra Ät detta.
Vad ska man göra?!
Om du har lite tid, intresse och kunskaper i engelska â delta i arbetsgrupper: IETF, RIPE WG. Dessa Ă€r öppna mail-listor, prenumerera pĂ„ nyhetsbrev, delta i diskussioner, delta i konferenser. Om du har status som LIR kan du rösta, exempelvis i RIPE, om olika initiativ.
För vanliga dödliga â det Ă€r övervakning. För att veta vad som gĂ„tt sönder.
Ăvervakning: vad ska man kolla?
Vanlig Ping, och inte bara en binĂ€r kontroll â fungerar det eller inte. Registrera RTT i historiken för att senare se avvikelser.
Traceroute. Detta Àr ett verktyg för att bestÀmma vÀgarna för dataströmmar i TCP/IP-nÀtverk. Det hjÀlper till att identifiera avvikelser och blockeringar.
HTTP-checkar av anpassade URL:er och TLS-certifikat kan hjÀlpa till att upptÀcka blockeringar eller DNS-manipulering för attacker, vilket nÀstan Àr samma sak. Blockeringar utförs ofta genom DNS-manipulering och genom att dirigera trafik till en plattformsida.
Om möjligt, kontrollera din origins upplösning frÄn olika platser, om du har en applikation. SÄ kan du upptÀcka DNS-avlyssningsanomalier som ibland orsakas av leverantörer.
Ăvervakning: varifrĂ„n ska man kontrollera?
Det finns inget universellt svar. Kontrollera dĂ€rifrĂ„n anvĂ€ndaren kommer. Om anvĂ€ndarna sitter i Ryssland â kontrollera frĂ„n Ryssland, men begrĂ€nsa dig inte till det. Om dina anvĂ€ndare finns i olika regioner â kontrollera frĂ„n dessa regioner. Men det Ă€r bĂ€st att kontrollera frĂ„n hela vĂ€rlden.
Ăvervakning: vad ska man anvĂ€nda?
Jag har kommit pÄ tre metoder. Om du kÀnner till fler, skriv gÀrna i kommentarerna.
- RIPE Atlas.
- Kommersiell övervakning.
- Egen virtuell nÀtverk.
LĂ„t oss prata om var och en av dem.
RIPE Atlas â det Ă€r en sĂ„n liten lĂ„da. För dem som kĂ€nner till den inhemska "Revisor" â det Ă€r samma typ av lĂ„da, fast med en annan etikett.
RIPE Atlas Àr ett gratis program. Du registrerar dig, fÄr en router skickad till dig via posten och kopplar in den i nÀtverket. För att nÄgon annan anvÀnder din testning fÄr du vissa krediter. Med dessa krediter kan du sjÀlv genomföra nÄgra undersökningar. Du kan testa pÄ olika sÀtt: ping, traceroute, kolla certifikat. TÀckningen Àr ganska stor, mÄnga noder. Men det finns nyanser.
Kreditssystemet tillÄter inte att bygga produktionslösningar. Krediterna rÀcker inte för kontinuerlig forskning eller kommersiell övervakning. Krediterna rÀcker för korta undersökningar eller engÄngskontroller. Dagskvoten frÄn en enda testning anvÀndes upp med 1-2 kontroller.
TĂ€ckningen Ă€r ojĂ€mn. Eftersom programmet Ă€r gratis pĂ„ bĂ„da sidor, Ă€r tĂ€ckningen bra i Europa, i den europeiska delen av Ryssland och i vissa regioner. Men om du behöver Indonesien eller Nya Zeeland, sĂ„ Ă€r det mycket sĂ€mre â 50 tester per land kanske inte ens rĂ€cker.
Det Àr inte möjligt att kontrollera http med en testning. Detta beror pÄ tekniska nyanser. De lovar att fixa detta i en ny version, men just nu gÄr det inte att kontrollera http. Endast certifikatet kan kontrolleras. NÄgon slags http-kontroll kan göras endast till en speciell enhet RIPE Atlas, som kallas Anchor.
Den andra metoden Àr kommersiell övervakning. Med den Àr allt okej, du betalar ju för det? De lovar ett par dussin eller hundratals övervakningspunkter över hela vÀrlden och ritar fina dashboards "out of the box". Men Äterigen, det finns problem.
Det kostar pengar, ibland ganska mycket. Ăvervakning med ping, kontroller frĂ„n hela vĂ€rlden och mĂ„nga http-kontroller kan kosta flera tusen dollar per Ă„r. Om ekonomin tillĂ„ter och du gillar denna lösning â varsĂ„god.
TÀckningen kan vara otillrÀcklig i det intresserade omrÄdet. Med ping kan de precisera högst abstrakt del av vÀrlden - Asien, Europa, Nordamerika. SÀllsynta övervakningssystem kan specificera testningen ner till ett konkret land eller omrÄde.
Svag support för anpassade tester. Om du behöver nÄgot anpassat, och inte bara ett "kurlyk" pÄ url:en, sÄ har du ocksÄ problem med detta.
Det tredje sÀttet - egen övervakning. Detta Àr klassikern: "LÄt oss skriva vÄr egen!"
Egen övervakning förvandlas till utveckling av programvaruprodukt, dessutom distribuerad. Du letar efter en infrastrukturleverantör, ser hur det ska distribueras och övervakas - övervakningen mÄste ju övervakas, eller hur? Dessutom behövs support. TÀnk igenom noga innan du ger dig in pÄ detta. Kanske Àr det enklare att betala nÄgon som gör det Ät dig.
Ăvervakning av BGP-anomalier och DDoS-attacker
HÀr Àr det Ànnu enklare vad gÀller tillgÀngliga resurser. BGP-anomalier upptÀckts med hjÀlp av specialiserade tjÀnster som QRadar, BGPmon. De tar emot full view-tabeller frÄn mÄnga operatörer. UtifrÄn vad de ser frÄn olika operatörer kan de upptÀcka anomalier, leta efter amplifikatorer och liknande. Vanligtvis Àr registreringen gratis - du fyller i numret pÄ din autonomi, prenumererar pÄ e-postaviseringar, och tjÀnsten meddelar dig om dina problem.
Ăvervakningen av DDoS-attacker Ă€r ocksĂ„ enkelt. Som regel Ă€r detta NetFlow-baserad och loggar. Det finns specialiserade system som FastNetMon, moduler för Splunk. I vĂ€rsta fall finns din DDoS-skyddsleverantör. Du kan ocksĂ„ skicka NetFlow till dem och baserat pĂ„ det kommer de att varna dig om attacker riktade mot dig.
Slutsatser
Har inga illusioner - internet kommer definitivt att krascha. Allt kommer inte att krascha och inte för alla, men 14 000 incidenter under 2017 antyder att incidenter kommer att intrÀffa.
Din uppgift Àr att upptÀcka problem sÄ tidigt som möjligt. à tminstone inte senare Àn din anvÀndare. Utöver att upptÀcka problem, ha alltid en "plan B" i beredskap. Planen - det Àr strategin för vad du ska göra nÀr allt kraschar: reservoperatörer, datacenter, CDN. Planen Àr en separat checklista som du kontrollerar arbetet av allt. Planen bör fungera utan att involvera nÀtverksingenjörer, eftersom de vanligtvis Àr fÄ, och de vill sova.
Det Àr allt för nu. Jag önskar er hög tillgÀnglighet och grön övervakning.
NÀsta vecka förvÀntas solen, hög belastning och hög koncentration av utvecklare i Novosibirsk pÄ . En Sibirien förutspÄs en presentation om övervakning, tillgÀnglighet och testning, sÀkerhet och förvaltning. Nedbörd i form av nedskrivna anteckningar, nÀtverkande, fotografier och inlÀgg pÄ sociala medier vÀntas. Vi rekommenderar att skjuta upp allt den 24 och 25 juni och . Vi ser fram emot att trÀffa er i Sibirien!
KĂ€lla: habr.com
