BGP-ruttläckage ledde till massiva connectivity-problem på internet

Cloudflare publicerade rapport om gårdagens händelse, som ledde till tre timmar från 13:34 till 16:26 (MSK) uppstod problem med åtkomst till många resurser på det globala nätverket, inklusive infrastrukturen Cloudflare, Facebook, Akamai, Apple, Linode och Amazon AWS. Problem i Cloudflare-infrastrukturen, som tillhandahåller CDN för 16 miljoner webbplatser, observerades från 14:02 till 16:02 (MSK). Enligt Cloudflare uppskattades det att det under avbrottet förlorades cirka 15% av den globala trafiken.

Problemet var orsakas en läcka av rutter genom BGP, där omkring 20 000 prefix för 2400 nätverk felaktigt dirigerades om. Källan till läckan var DQE Communications, som använde programvaran BGP Optimizer för att optimera routing. BGP Optimizer delar IP-prefixen i mindre delar, till exempel delas 104.20.0.0/20 upp i 104.20.0.0/21 och 104.20.8.0/21, och konsekvent höll DQE Communications ett stort antal specifika rutter på sin sida, som omdefinierade mer allmänna rutter (dvs. istället för att generella rutter till Cloudflare använde man mer detaljerade rutter till specifika underm nätverk av Cloudflare).

Dessa specifika rutter annonserades till en av kunderna (Allegheny Technologies, AS396531), som också hade anslutning via en annan leverantör. Allegheny Technologies vidarebefordrade de mottagna rutterna till en annan transitleverantör (Verizon, AS701). På grund av bristande filtrering av BGP-annonser och begränsning på antalet prefix, tog Verizon upp denna annons och vidarebefordrade de 20 000 prefixen till resten av internet. Felaktiga prefix, på grund av sin granularitet, uppfattades som mer prioriterade då en specifik rutt har högre prioritet än en allmän.

Som resultat började trafiken för många stora nätverk att dirigera genom Verizon till den lilla leverantören DQE Communications, som inte var kapabel att hantera den plötsliga strömmen, vilket ledde till en kollaps (effekten kan liknas vid att en del av en överbelastad motorväg ersätts med en grusväg).

För att förhindra liknande händelser i framtiden
rekommenderas:

• Använd verifiering av annonser baserat på RPKI (BGP Origin Validation, tillåter mottagande av annonser endast från nätverksägare);
• Begränsa det maximala antalet prefix som tas emot för alla EBGP-sessioner (inställningen maximum-prefix skulle omedelbart ha avvisat överföringen av 20 000 prefix inom en session);
• Tillämpa filtrering baserat på IRR-registret (Internet Routing Registry, som definierar AS genom vilka rutten ska tillåtas för angivna prefix);
• Använd rekommenderade inställningar i RFC 8212 på router för att blockera som standard ('default deny');
• Avsluta oövervägt användande av BGP-optimerare.

Källa: opennet.ru