ENOG 15: „Warum ist das Internet immer noch online?“

Hallo Habr! Dies ist sowohl eine Transkription als auch eine Teilübersetzung der stündlichen Sitzung mit dem Titel "Warum ist das Internet noch online?" vom fünfzehnten Treffen der „Eurasischen Gruppe von Netzbetreibern“.

Qrator Labs dankt allen Teilnehmern der Diskussion: Alexei Semenyaku, RIPE NCC; Ignas Bagdonas, Equinix; Martina J. Levy, Cloudflare; Alexander Azimov, Qrator Labs und Moderator Alexei Uchakin vom LinkmeUp- Podcast- Team für die Erlaubnis zur Veröffentlichung dieses Textes.

Netzwerkingenieure und -forscher nehmen an dieser Diskussion teil, daher geht es in der Diskussion hauptsächlich um domänenübergreifendes Routing. Video am Ende der Veröffentlichung. Gute Lektüre.

Alexei Uchakin : Hallo allerseits, mein Name ist Alexey, das LinkmeUp-Team ist der erste Podcast für Signalmänner. Tatsächlich hat ein Kollege von Qrator Labs viel darüber gesprochen, wie man sich gegen Spoofing verteidigt, aber ich möchte in der Tat allgemeiner sprechen. Da das Internet eine absolut dezentrale Sache ist und insbesondere geschaffen wurde, um nach einer nuklearen Explosion zu überleben, aber wie die Praxis zeigt, mit billiger Ausrüstung und ohne das Recht, BGP zu konfigurieren, können Sie alles sehr gut brechen. Deshalb wollte ich heute mit Experten diskutieren, wie ich mich davor schützen, wie ich es überwachen und was ich damit anfangen soll.

Heute teilnehmen: Alexander Azimov - Qrator Labs, Alex Semenyaka - RIPE NCC, Ignas Bagdonas - Equinix und Martin J. Levy - Cloudflare. Kollegen, das erste, mit dem ich beginnen möchte, ist die erste Frage: Inwieweit ist das Internet jetzt vor der Tatsache geschützt, dass ein relativ kleiner regionaler Betreiber plötzlich Präfixe von bedingtem Google, Yandex oder anderen Personen ankündigt. Gibt es eine Einschätzung, wie das jetzt ist?

Alexander Azimov : Nun, dann lassen Sie mich diese traurige Geschichte beginnen, weil sie wirklich traurig ist. Leider haben große Betreiber, einschließlich in Russland, Ausnahmen, d.h. Manchmal setzen sie Filter und manchmal nicht. Ich möchte nicht auf dem gesamten Markt für große Betreiber in Russland herumstochern, aber ein erheblicher Teil derjenigen, die wir als Tier-1-Betreiber betrachten, hat solche Ausnahmen. Infolgedessen haben diejenigen, für die diese Ausnahmen implementiert sind, die Möglichkeit, etwas anzukündigen, und dies ist bereits geschehen. Eigentlich haben wir gesehen, wie Corbin letztes Jahr geflossen ist, wie Vimpelcom geflossen ist. Es gibt diejenigen, denen der Donner noch nicht begegnet ist, aber es gibt Potenzial.

Alexei Uchakin : Jetzt ist also alles sehr schlecht, oder?

Alexei Semenyaka : Also, lassen Sie uns den Grad der Spannung nicht eskalieren - das ist wahrscheinlich ein wenig überflüssig. Nun, was bedeutet es schlecht? Ja, es gibt Löcher. Sasha hat zu Recht gesagt: Jemand filtert, jemand filtert nicht, d.h. alles ist auf diesem Niveau. Dennoch beginnen wir hier mit der Tatsache, dass das Internet auf den Prinzipien des gegenseitigen Verständnisses aufgebaut war und in ausreichendem Maße noch auf diesen Prinzipien existiert. Es wird davon ausgegangen, dass dies nicht nur ein technisches Design ist, sondern auch einige Unternehmen, die Mitarbeiter beschäftigen, die bewusst handeln. Wenn etwas Ähnliches im Internet erscheint, reagieren alle anderen irgendwie auf das Ganze, so etwas. Obwohl es tatsächlich regelmäßig zu Unfällen kommt. Eine wundervolle Geschichte über Vertrauen - als jeder Google vertraute und er Japan nahm und verließ ... kurz gesagt, nicht wirklich mit dem Internet. Die Geschichte ist wieder im letzten Jahr, aber dies ist ein großartiges Beispiel. Ich würde lieber über die technische Seite sprechen und nicht über den Wortlaut: Ist alles gut / alles ist schlecht. Nun, das heißt, es ist irgendwie zu unprofessionell.

Alexander Azimov : Okay, wenn ich diesen unprofessionellen Ansatz fortsetze, würde ich eine Frage stellen: Kann ein kollektives Vertrauensnetzwerk nicht zu einem Netzwerk kollektiver Probleme werden, wenn 55.000 Objekte vorhanden sind? einschließlich, aber nicht nur, das BGP-Sicherheitsthema bewegt sich aktiv. Es besteht die Hoffnung, dass sich die Situation gerade aus technischer Sicht verbessert, was einen erheblichen Teil der Lücken im BGP-Protokoll ausbessert und es sicherer macht, insbesondere für Anfänger. Damit sie weniger Gelegenheit haben, sich und andere umzubringen.

Alexei Uchakin : Müssen Sie noch BGP-Konfigurationsrechte ausstellen?

Alexei Semenyaka : Ich denke, Ignas hat etwas zu sagen.



Ignas Bagdonas : Ich würde sagen, dass es zwei verschiedene Teile des Problems oder zwei Gruppen von Problemen gibt.

Eines sind genau diese Gesichter und andere Dinge, die als Ergebnis eines Fehlers auftreten, eines unbeabsichtigten Fehlers. Fette, fette Finger - so etwas. Einerseits bewegen wir uns in Richtung Automatisierung, und wir können sagen, dass dies eine Lösung sein wird, aber alle Automatisierungssysteme arbeiten mit Daten. Wenn unsere Daten beschädigt oder falsch sind, sind sie gleich und nur viel effizienter.

Bei der anderen Gruppe handelt es sich um bestimmte absichtliche Angriffe, und aus meiner Sicht werden die meisten dieser Angriffe ausgeführt und sind erfolgreich, nur weil das gesamte Netzwerk ein ziemlich hohes Niveau aufweist, sagen wir direkt - ein Durcheinander. Dies ist Betriebshygiene, die nur dann zu einem Ergebnis führt, wenn alle Teilnehmer oder die meisten Teilnehmer daran teilnehmen und dies mehr oder weniger korrekt tun. Dies ist eine Frage der Bildung. Sie sind hier in diesem Raum, Sie wissen, was Filtern ist, Sie wissen, wie es funktioniert, aber Sie repräsentieren einen kleinen Teil der Personen, die sich mit technischer Arbeit und Support beschäftigen, und Sie können daraus nicht schließen, dass jeder das gleiche Verständnis hat . Natürlich gibt es Situationen, in denen jemand die Dokumentation eines Anbieters liest, die Sie in einem Team ausfüllen, und Sie werden glücklich sein. Sie tun dies und erhalten Glück, nur dabei richten sie anderen Schaden an, nicht absichtlich und ohne es zu merken. Ein Trainingsproblem - es ist in dieser Situation wirklich wichtig. Ich sehe, dass dies in eine gute Richtung geht, aber es ist kein schneller Prozess.

Alexei Semenyaka : Eine kleine Bemerkung zur Bildung - Bildung ist hier wirklich eine völlig kritische Sache und genau das gleiche wie in dem Teil der Probleme, die wir gerade nach Sashas Bericht besprochen haben. Es gibt ein so klares Beispiel, das unsere Organisation RIPE NCC betrifft. Wir pflegen, wie Sie verstehen und wissen, die RIPE DB-Datenbank. Wir haben dort Routing-Einrichtungen, ich erinnere mich noch gut an die Zeit vor 20 Jahren, als die Regel des guten Geschmacks darin bestand, Filter nach RIPE DB zu bauen. Dies ist kategorisch nicht so - es gibt Organisationen, die dies auf eigene Gefahr und Gefahr tun, aber einige beklagen sich darüber, dass Sie sich die Beine schießen lassen, wenn Sie nur glauben, was in RIPE DB geschrieben steht. Wir führen nur, wir sind die technischen Betreiber von RIPE DB, wir können Sie nicht zwingen, die Wahrheit zu schreiben, d. H. Ich habe keine Rechte, Sie haben uns solche Rechte nicht gegeben, Sie haben uns nicht gesagt: "Bitte stellen Sie sicher, dass dort etwas Richtiges geschrieben ist." Und Sie, liebe Teilnehmer, schreiben dort regelmäßig alle Arten von Müll. Ja, es ist ein Problem der Skalierung und ein Problem der Bildung, die sich überlagern. Nicht, weil Sie dumm sind oder nicht, weil Sie nicht genug über das BGP-Protokoll informiert sind. Nein, es ist wirklich nur ein Durcheinander. Sie bekommen das nicht in die Hände, Sie haben keine Zeit, es herauszufinden, Sie verstehen nicht, warum dies notwendig ist, und um eine sehr wachsende Anzahl von Teilnehmern zu bilden, ist dies wirklich eine sehr große Herausforderung, die meiner Meinung nach im Moment tatsächlich effektiv ist Blick ist nicht gelöst. Dies ist wirklich ein Bildungsproblem, aber nicht im Sinne eines Bildungsproblems, das jemand tun und nicht tun könnte. Es ist wirklich nicht klar, wie es im Kontext des wachsenden Internets, der wachsenden Zahl von Teilnehmern usw. zu tun ist. usw. Dies ist ein mehr oder weniger systemisches Problem. Martin?

Martin Levy : Sie haben mich ein wenig vom ursprünglichen Thema abgehalten - ich werde zuerst zurückgehen. Ich habe schon graue Haare. Das liegt daran, dass ich mich schon sehr lange mit Networking beschäftigt habe. Und als Grundlage für das gesamte Internet verfügen wir über Protokolle, die lange vor dem Erwerb der modernen Größe erstellt wurden. Wer unter den Anwesenden weiß, wer als erster eine Internetverbindung in Russland angeboten hat? Egal wer es war, es ist wichtig, wie viele Leute es wissen und es ist wichtig, dass Sie es wissen. Und wenn Sie zum Telefon greifen und irgendwo anrufen mussten, wussten Sie, wen Sie anrufen sollten. Und wer unter den Anwesenden betreibt ASN und kennt mich nicht oder kennt andere Leute nicht, die ihre Hände erhoben haben? Das Protokoll kann mit dieser Wachstumsrate einfach nicht mithalten. Und alles, worüber wir bei früheren ENOGs und vor 10 Minuten oder bei anderen Konferenzen gesprochen haben, ist über eine Sache. Wie man mit der Wachstumsrate Schritt hält. Denn eines der erstaunlichsten Dinge am Internet und an den Protokollen ist, dass sie nicht zu 100% aus dem Prozess heraus sind, sondern hauptsächlich innerhalb der IETF.

Es gibt einen Ausdruck wie „erlaubnislose Innovation“ - bestehende Protokolle haben Telekommunikationsbetreiber oder Internetanbieter „nicht um Erlaubnis gebeten“. Sie wurden von Menschen geschaffen, die heute hier sind - und diese Dinge funktionieren. Vieles von dem, was Sie hier gesagt haben, handelt davon, wie Sie mit dem Fortschritt Schritt halten können, was fehlt oder worauf wir uns alle einigen müssen. Die Dinge sind philosophisch, aber ich möchte weltlich bleiben. Und in diesem Moment muss ich sagen, dass Sie falsch liegen. Ich werde erklären: Die einzige Möglichkeit, wie das moderne Internet funktioniert, besteht darin, diese Routendatenbanken zu unterstützen, die wir faul sind. Ich werde es noch einmal wiederholen - träge verwenden wir, um zu verhindern, dass jemand die normale Konnektivität des anderen stört. Heute beim Mittagessen haben wir besprochen: Ich bin der Besitzer eines Netzwerks, das jemand vor nicht mehr als 5 Tagen zu manipulieren versucht hat. Und obwohl das Router-Gesicht nur 30 oder 40 Sekunden dauerte - auf Twitter und anderen sozialen Netzwerken - dauerte es mehrere Tage. Ich habe also ein echtes, engagiertes Interesse daran, Sie und alle anderen Anwesenden davon zu überzeugen, dass dies ein sehr wichtiges Thema ist. Lassen Sie mich erklären, wo Sie meiner Meinung nach falsch lagen und warum ich so reagiert habe. Jemand sollte irgendwann dafür verantwortlich sein, Eigentümer solcher Daten zu sein, die es ermöglichen würden, eine legitime oder illegitime Ankündigung zu beanspruchen. Denn speziell in dieser Umgebung funktioniert „ohne Erlaubnis“ nicht sehr gut. Und da Sie ein RIR-Teilnehmer an dieser Diskussion sind, rolle ich zu Ihnen zurück und frage: "Ist es für Sie schwierig, die IRR in einem sauberen und korrekten Zustand zu halten?" Es ist schwer für alle. Jemand sollte aufstehen und sagen: „Genug. Ich werde Wege finden, das Problem zu beheben und es besser zu machen. “ Der zweite Teil meiner Antwort ist, dass einige der Anwesenden diesen Prozess starten müssen, und jetzt werde ich Sie als RIR für diese Aufgabe auswählen. Mal sehen, wohin diese Diskussion weitergeht.



Alexei Semenyaka : Erstens kann ich der Meinungsverschiedenheit nicht zustimmen, da dies in keiner Weise dem widerspricht, was ich gesagt habe. Ich habe nicht gesagt, dass unsere Daten absoluter Unsinn sind, ich habe darüber gesprochen, dass es ziemlich viele Fälle gibt, in denen Unsinn dort geschrieben wird. Zum Glück nicht immer. Der Routing-Teil der Datenbank ist ein ziemlich wichtiger Teil, aber irgendwie funktioniert er. Besonders dort, wo es eine Durchsetzung gibt - die Aufrechterhaltung der Relevanz dieser Daten funktioniert besonders gut, insbesondere wenn es um einen verantwortlichen Betreiber geht, der mit seinen Downlinks arbeitet. Oder es funktioniert fast immer - diese Datensätze sind für Verkehrsaustauschpunkte relevant, da Verkehrsaustauschpunkte sehr sorgfältig überwachen, was in ihrer Datenbank geschrieben ist. Sagen wir einfach zum größten Teil. Das Chaos ist da - das Chaos ist leider kein Punkt, es ist mehr oder weniger verteilt, aber zum Glück ist dies ein Problem, keine Katastrophe. Martin, es tut mir leid, sagen wir einfach, dies ist eine gestohlene Fortsetzung des Gesprächs. Ich stimme absolut zu, dass wir uns mit dieser Angelegenheit befassen sollten. Sasha will nur das Mikrofon von mir nehmen und sagen, dass er die Person ist, die das tun wird, verstehe ich richtig? Aber ich stimme trotzdem zu. Eine andere Sasha aus dem Publikum schlägt vor, dass es noch jemanden gibt. Das ist richtig, aber in der Internet-Community funktioniert der Druck des RIR, wie wir verstehen, nicht. Wenn das RIR gerade erst anfängt, Druck auf die Teilnehmer auszuüben und sagt: „Also, alle haben sich schnell aufgebaut und sind in Formation gegangen“ - nichts wird passieren. Die Diskussion funktioniert, die Kristallisation des Problems funktioniert, die Schaffung von Bewusstsein funktioniert tatsächlich. Dies ist in gewissem Sinne derselbe Teil der Bildung, und wenn sie abgeschlossen ist, erscheinen dieselben Leute, mit denen wir zusammenarbeiten können und mit denen wir als RIR unser Bestes tun werden, um sie zu fördern. Wir haben wirklich ein System, mit dem wir überwachen können, was passiert - und wir sind bereit, dieses Problem voranzutreiben, aber wir können die Community nicht ersetzen. Wir können mit der Gemeinschaft zusammenarbeiten - wir können, wir werden bereit sein, aber wir können die Gemeinschaft nicht ersetzen - wir können nicht diejenigen schaffen, die es tun werden.

Alexander Azimov : Gehen wir ein wenig zurück - wir müssen noch die Wurzel des Bösen finden und versuchen zu beweisen, dass es RIR ist. Wenn Sie Ihrem SET eine autonome Systemnummer hinzufügen, tun Sie dies normalerweise zu welchem ​​Zweck, wenn Sie unterwegs sind? Um sie zu bedienen. Nicht um sie morgen zu schützen oder damit alles für sie gut funktioniert, sondern damit ihre Vorgesetzten SET ihr Präfix hinzufügen und damit alles weiter funktioniert. Und wie oft löschen Sie aus Ihrem SET, was dort zuvor hinzugefügt wurde? Bitte heben Sie Ihre Hand diejenigen, die dies nicht oder nur selten tun. (hebt die Hand) Ich bin hier ehrlich. (Frage des Publikums: „Sehr selten?“) Ja, von Fall zu Fall. Tatsächlich haben wir alle, indem wir Gesichtern Schutz zuweisen und AS-SETs entführen, alles durcheinander gebracht. Dieser Mechanismus wurde für einen anderen Zweck entwickelt. Sie sind verbunden, aber der Benutzerfall ist anders. In diesem Fall findet tatsächlich eine Sicherheitsdelegation statt, da Ihre Nummer im Allgemeinen von jedem anderen Spielern hinzugefügt werden kann. Eine strukturelle Korrektur des BGP-Protokolls ist nur möglich, wenn Ihre Sicherheit nur von Ihren Handlungen abhängt. Und mehr von niemandem. Meiner Meinung nach sollten sich das Protokoll und seine Änderung in diese Richtung entwickeln.

Martin Levy : Protokoll - es hängt nur von den Daten ab. Wenn der Müll drinnen ist, ist der Müll draußen. Müll rein, Müll raus, das ist alles.



Alexander Azimov : Ich bin verwirrt. Das Problem ist, dass Müll immer erstellt werden kann, aber ich möchte in einer Situation leben, in der nur ich selbst Müll für meine Netzwerke erstellen kann. Ich werde für die Erstellung des Mülls verantwortlich sein. Die Situation, in der andere Spieler Müll für mein Netzwerk erstellen, ist ein Deadlock. Und umgekehrt möchte ich für die Sicherheit meines Netzwerks verantwortlich sein.

Martin Levy : Ich stimme dem zu, ich verstehe, gut. Lassen Sie uns dann etwas Neues ausprobieren und uns andererseits diesem Problem nähern. Wohin kann ich eine Rechnung oder eine Vorauszahlungsanforderung senden, wenn etwas in meinem Netzwerk eintrifft? Und es kommt dorthin - etwas, nach dem ich nicht gefragt habe, etwas, das viele Spieler durchlaufen hat und für mich keinen Wert hat. Ich kann viele Zahlungsanfragen selbst senden. Wie werde ich mit all diesem Volumen umgehen? Dies ist bis zu einem gewissen Grad eine rhetorische Frage, weil wir wissen, dass sie nicht existieren kann. Gleichzeitig ist dies ein hervorragendes Argument dagegen. Aufgrund der begrenzten Anzahl und Qualität der Filter sitzen wir gerade alle im selben Boot. Und dies ist eine ziemlich große Menge an Verkehr, die möglicherweise nicht vorhanden ist. Wir können dies auch nicht unter dem Gesichtspunkt der Daten diskutieren, sondern unter dem Gesichtspunkt der Kontrolle (dh Datenebene / Steuerebene) oder unter dem Gesichtspunkt der Qualität des BGP-Routings und über eine übermäßige Deaggregation sprechen - aber dies ist eine andere Sache.

Alexei Uchakin : Nun, das ist eine andere Frage. Aber wir haben eine RIPE-Datenbank, wir haben eine Datenbank mit anderen LIRs und wir geben einem ehrlichen Pionier, dass wir uns verhalten und die richtigen Daten dort schreiben. Und wie Sie sich vor Spoofing schützen können - vor der Tatsache, dass wir die autonome Nummer eines anderen mit denselben Adressen bekannt geben können, die für diese Autonomie gültig sind, aber für einige unserer Zwecke. Kann uns BGPSec c RPKI irgendwie helfen oder so?

Alexander Azimov : BGPSec kann uns leider nicht helfen.

Alexey Uchakin : Das heißt, wie bei DNSSec wird die Idee gut sein, aber niemand bewirbt sich?

Alexey Semenyaka : Ich denke, dass wir über BGPSec den Vertreter der Zukunft fragen sollten, das heißt Ignas. Das ist, wer für die Zukunft verantwortlich ist, wir sprechen über die Gegenwart. BGPSec hat keine Pläne, einen Anbieter zu unterstützen. Ich spreche nicht von Hardware - bisher hat kein Anbieter eine Roadmap hinzugefügt. Wir Menschen, die für BGPSec mehr oder weniger relevant sind, werden es wahrscheinlich schwierig finden, darüber zu diskutieren. Stellen Sie sich in einer idealen Welt vor, wir haben RPKI, es gibt eine absolut genaue Datenbank, und jeder validiert alles - jeder überprüft das RPKI und jeder prüft, ob es um das geht, was er in der Datenbank sieht. Dann wird alles funktionieren. Ich bezweifle, dass es eine Frage war - aber ich stimme zu, dass in einer idealen Welt alles funktionieren wird.

Alexei Uchakin : Und wenn nicht perfekt?

Alexei Semenyaka : Und wenn in Wirklichkeit, dann wird es nicht.

Alexey Uchakin : Warum dann generell RPKI?

Ignas Bagdonas : Ich werde als einer, der in die Zukunft schaut, kurz antworten: "Die Zukunft wird hell sein." Aber bis dieser Moment kommt, wird es viel Dunkelheit, ein Durcheinander und andere Dinge geben. BGPSec und andere verwandte Geschäfte? An der akademischen Gemeinschaft ist nichts auszusetzen. BGPSec ist größtenteils ein akademisches Experiment. Ja, es sieht so aus, als wäre es voll, theoretisch kann es funktionieren und theoretisch kann es die Probleme lösen, die ihm auferlegt wurden, aber wenn wir von der praktischen Seite schauen, dann sieht alles ein bisschen anders aus. Ein sehr einfacher Aspekt: ​​Wenn zum Beispiel Leistungstests durchgeführt wurden, einfache Leistung, wie schnell die Validierung funktioniert. Wenn ich 50 Präfixaktualisierungen pro Sekunde validieren kann, erhalte ich den vollständigen Feed. Ich werde viel länger brauchen, um den Vorgang abzuschließen, und in dieser Zeit wird sich die Hälfte von allem bereits mehrmals ändern. Ja, dies ist ein nahezu perfekter Allauflösungsmechanismus. Brauchen wir ihn Wahrscheinlich.Auf der anderen Seite, wenn wir einen Mechanismus hätten, der mindestens 80% von allem lösen würde, also 85%, gut, mindestens 85,5% der Probleme, die wir praktisch haben, aber in einigen schwierigen und außergewöhnlichen Fällen nicht funktionierten . Ich denke, dass ein solcher Mechanismus und Ansatz viel praktischer wäre und die Anbieter alles implementieren und nutzen würden. Die Antwort der Anbieter ist sehr einfach: "Sind Sie bereit, so viel zu zahlen, wie es kosten wird, wenn wir es als Produkt tun?" Und die Antwort von denselben Betreibern ist sehr offensichtlich. Ich hörte jemanden in der Halle „Ja“ sagen, aber viele sagten „natürlich nicht“. „Denken Sie nicht einmal darüber nach - das ist Ihr Problem, Sie werden es erkennen, wir werden Ihre Plattform kaufen und was es tut - warum sollten wir etwas bezahlen? Wir denken nur, dass das alles sein sollte. “Es stellt sich ein Teufelskreis heraus. Ja, wir haben alle Protokolle, alle Mechaniken und andere Dinge. Wir haben Datenbanken - sie sind Müll. Wenn wir das alles zusammenfügen, ist die Lösung sozusagen, aber es kann nicht rein technisch funktionieren, wenn alle Komponenten miteinander verbunden sind. Und selbst wenn es mit den Daten im System funktionieren kann, wird es wiederum kein positives Ergebnis geben. Dies ist ein solcher Zyklus und es ist nicht sehr offensichtlich, wie man daraus herauskommt. Ja, die IETF und andere Organisationen arbeiten seit mehr als einem Jahrzehnt an BGPSec, und es stellt sich heraus, dass viele Menschen viel Zeit und Mühe aufgewendet haben, und es stellte sich heraus, dass es sich um eine Art Halbzeug handelt, wenn ich so sagen darf, das zu funktionieren scheint, aber nicht verwendet werden kann. Was ist jetzt zu tun? Der Versuch, BGPSec in den Sinn zu bringen, einen praktischen Verstand, oder einfach nur zu sagen, dass es ein Fehler / Sieg war, hängt von Ihrer Sichtweise ab.Wirf alles weg und mach es noch einmal.



Martin Levy : Wenn Sie die von Ihnen genannten 50 Sekunden berücksichtigen, haben Sie ungefähr 4 bis 5 Stunden Zeit, um die vollständige Tabelle zu validieren. Dies ist einfach nicht akzeptabel, wenn Sie ein Operator sind.

Ignas Bagdonas : Ja, ja. Dies sind die Daten, die bei den IETF-BGPSec-Leistungstests erhalten wurden, die dort an modernen Geräten durchgeführt wurden.

Alexey Semenyaka: Moderne Ausstattung! Es gab eine Frage, die keine Antwort erhielt. Ich werde kurz sagen. Ich stimme absolut mit dem überein, was Ignas über die Tatsache gesagt hat, dass dies sehr nützlich ist, wenn Sie eine große Anzahl einfacher Fälle herausfiltern können. Das Finden einer Silberkugel ist in der Branche keine Methode, funktioniert aber nicht so. Praktische Ansätze funktionieren. Die Geschichte über RPKI ist genau diese Geschichte. Dies ist eine Geschichte, um Fälle herauszufiltern, die durch das Dickfingersyndrom verursacht werden. Natürlich kostet es einen Angreifer nicht, den RPKI-Schutz zu umgehen, ungefähr nichts. Aber in den allermeisten Fällen sitzen links und rechts Leute, die es messen, die die Zahlen kennen. Ich werde jetzt das Mikrofon an Sasha Azimov übergeben, Martin, denke ich, wird dies ebenfalls kommentieren. Die Anzahl der Vorfälle, die wir im BGP-Protokoll sehen und die durch das Syndrom der "dicken Finger" verursacht werden, ist enorm.Wenn es möglich ist, es zu reduzieren, sollte dies getan werden. Tatsächlich war es genau dieser Ansatz, der RPKI untermauerte - es war keine Silberkugel und kein Versuch, die Integrität vor einem Angreifer zu schützen, d. H. eine Person, die versucht, absichtlich etwas zu tun. Aber auf jeden Fall ist der zweite Fall viel einfacher, wenn Sie einen ganzen Müllcontainer oder eine kleine Kiste aussortieren müssen, um nach Beweisen zu suchen. Dies kann insbesondere dazu beitragen, Fälle zu identifizieren, in denen absichtlich etwas unternommen wird, wenn jedoch die Anzahl der unbeabsichtigten Fälle in unserem Land abnimmt, da sie auf dem aktuellen Haufen sehr schwer zu erkennen sind. Die Zuweisung einiger Routing-Angriffe hat vor kurzem begonnen. Ich bin mir sicher, dass sie vorher waren, aber einige nachgewiesene Fälle von Zuschreibung sind ziemlich neu. Als klar war, dass es sich um einen Routing-Angriff handelte,was wirklich von Übeltätern durchgeführt wurde und sie so und so bekamen. In den letzten Jahren gab es bereits n-te Fälle, und davor war es größtenteils nur auf der Ebene des Verdachts.

: Ich werde weitermachen, was Alexey und Martin gesagt haben. Vor kurzem wurde mir vorgeworfen, ich habe einen sehr deprimierenden Blick auf BGP. Dies ist wahrscheinlich teilweise wahr. In diesem Jahr gab es jedoch eine Veranstaltung, die meiner Meinung nach für die Branche sehr, sehr bedeutsam sein wird. Seit vielen Jahren gibt es Versuche, die ROA-Validierung, die wir RPKI nennen, massiv zu starten. Warum ist das wichtig? Da es das Problem der Gesichter nicht lösen kann, kann es das Problem der böswilligen Aktivitäten nicht lösen - es löst nur das Problem der versehentlichen Entführungen. Dies löst das Problem des gleichen statischen Lecks, das ständig auftritt. Was vor nicht allzu langer Zeit in Russland passiert ist, was Cloudflare jetzt mit ihrem DNS-Dienst verknüpft ist, zum Glück nicht mehr lange. Und das ist ein Weg zu kämpfen. Und die gute Nachricht ist nicht, dass RPKI selbst schon seit einiger Zeit veröffentlicht wird. Das Problem ist nicht nurdass eine Anomalie auftritt, sich aber ausbreitet. Wenn sich die Anomalie nicht ausbreitet, nimmt das Ausmaß der Katastrophe dramatisch ab. Und schließlich ist die gute Nachricht in der Tat, dass große europäische IXs wie MSK-IX, einschließlich DEC-IX, einschließlich AMS-IX, laut ROA in naher Zukunft ungültige Routen fallen lassen werden. Was bedeutet das?Dies bedeutet, dass Sie, wenn Sie Ihren Adressraum signieren, dh an Ihre eigene Sicherheit denken, die Wahrscheinlichkeit erhöhen, dass beim nächsten Auftreten einer Anomalie nicht der gesamte oder ein erheblicher Prozentsatz Ihres Datenverkehrs entfernt wird, dieser jedoch möglicherweise lokalisiert ist. Daher empfehle ich dringend, dass Sie Ihren Adressraum unterschreiben - es ist nicht schwierig. Heute mit Alexei Semenyaka nach diesem Abschnitt werden wir eine Werkstatt machen und versuchen, denen zu helfen, die technische Fragen dazu haben. Ja, wir werden hier exklusiv für die RIPE-Region arbeiten. Tatsächlich hat RIPE großartige Arbeit geleistet und es ist sehr, sehr einfach zu machen. Ich habe 10 Minuten gebraucht. Ich denke, dass Sie schneller fertig werden.

Alexey Semenyaka: In jedem Fall ist der Workshop für diejenigen gedacht, die das LIR-Portal besuchen können. Wenn Sie keinen Zugriff auf Ihr LIR-Portal haben, tut es mir leid. Sie können auch kommen, müssen dann aber leider nur von hinten zuschauen. Für diejenigen, die Zugang zum LIR-Portal haben - dies ist eine Gelegenheit, dies heute, jetzt, hier zu tun.



Martin Levy : Ich habe keine andere Wahl, als zu unterstützen - das ist die richtige Richtung. Update für Sie - AMS-IX filtert jetzt 100% Ankündigungen nach RPKI, zwei Wochen wie. Alle IX-Betreiber, die die Routendatenbank in ihrem IX pflegen, sollten dies ebenfalls erfahren. Sie können dies am Beispiel von AMS-IX tun: Sammeln und analysieren Sie zuerst die Software sanft und implementieren Sie dann die Filterung in Hardware für die RPKI- und RIR-Daten.

Alexander Azimov: Das sind einfach tolle Neuigkeiten! Es ist eine Sache zu sagen, dass sie nur sein werden, und eine andere, wenn es bereits begonnen hat. Es gibt noch einen wichtigen Punkt, bei dem neben dem Beginn der aktiven Nutzung Erfahrungen mit der betrieblichen Nutzung der ROA-Validierung vorliegen. Dementsprechend wird der Transit nach den IXs, nachdem die ersten Fehler gemacht wurden, aufholen - ich möchte wirklich daran glauben.

Martin Levy: Und das ist ein wichtiger Punkt. Sie haben Leute zum Lernen eingeladen und gesagt, dass es einfach ist. Lass mich dir die andere Seite zeigen. Für jedes Netzwerk in dieser Region, das Transitanbieter verwendet, die in irgendeiner Weise in andere europäische Städte wie Amsterdam, Frankfurt oder London blicken ... Ich werde jetzt über Amsterdam sprechen, weil ich glaube, dass jedes große Netzwerk eine Verbindung zu hat Amsterdam irgendwann. Wenn ein solches Netzwerk keinen gültigen IRR-Datensatz oder, was noch wichtiger ist, einen RPKI-Datensatz hat, wird die Route nicht über den Routenserver geleitet. Deshalb erhalten Sie nicht den optimalen Verkehrspfad. Heute kann man durch Frankfurt fahren, aber das wird sich bald ändern. Jemand hier im Publikum könnte wahrscheinlich "wann" sagen. Vielleicht geht der Verkehr durch London, Warschau - das ist schon ein Trend.Auch wenn wir nur einen zusätzlichen Punkt haben, können wir bereits sagen, dass dies ein Trend ist. Und so ist es heute viel mehr als vor zwei Wochen, genaue Daten über Routen im Interesse eines solchen Netzwerks zu erhalten. Ich hoffe, dass dies auch in Zukunft so bleibt, aber die Motivation zu sagen: „Hey, es ist einfach, komm und wir werden es zeigen“ - das ist eine Sache. Meiner Meinung nach wäre es besser, wenn Sie sagen: "Wenn Sie nicht zur Meisterklasse kommen, wird Ihr Netzwerk nicht effizient genug funktionieren."Ihr Netzwerk wird nicht effizient genug arbeiten. "Ihr Netzwerk wird nicht effizient genug arbeiten. "

Alexander Azimov : Und im Allgemeinen ist es immer gut, wenn wir motiviert sind. Ich fürchte, Martin wird diesen Witz nicht verstehen, aber wenn wir vorne und hinten Karotten haben. In unserer Region funktioniert das besonders gut.

Alexei Uchakin : Nun, dann diese Frage: Verstehe ich richtig, dass im Grunde die gleiche RPKI- und ROA-Validierung und alles andere bereits so unvermeidlich ist? Das BGP-Protokoll war ursprünglich vertrauensbasiert und wuchs anfangs so schnell, dass die Community-Mitglieder sich gegenseitig vertrauen, da das Protokoll auf gegenseitigem Vertrauen basiert. Und jetzt sprechen wir über Dinge, die sozusagen die Freiheit generell einschränken. Wird dies nicht eine Bremse für die Entwicklung des Internets im Allgemeinen sein, oder ist es eine direkte Notwendigkeit, eine Notwendigkeit, die schon lange Zeit ist?

Alexey Semenyaka: Sagen Sie mir, hindern Türschlösser die Menschen stark daran, sich gegenseitig zu besuchen?

Alexey Uchakin : Nein, ich verstehe.

Alexey Semenyaka: Nun, genau darüber reden wir. Über die Mechanismen, die die Menschen, die normale Aktivitäten sind, nicht stören, um Netzwerke aufzubauen. Was wir diskutieren, ist ziemlich billige Technologie. BGPSec und was Ignas sagte, ist in der Zukunft, aber für die Gegenwart ist es zu schwere Technologie. Was wir jetzt diskutieren, ist billige Technologie, die einem Türschloss ähnelt. Ja, um uns zu besuchen, müssen wir erstens hier raus, das heißt die Burg öffnen, die Burg schließen, kommen, die Burg rufen - dort werden sie uns öffnen, dann werden sie uns schließen. Es ist billig im Vergleich zur gesamten Reisegeschichte, oder? Was die Unvermeidlichkeit betrifft, würde ich gerne glauben. Entschuldigung, Arno Dniper, ist er jetzt im Publikum oder fehlt er? Hat er als Vertreter von DE-CIX gerne Pläne? Nein?Nun, MSK-IX, sie sind definitiv hier. MSK-IX sagen Sie mir, haben Sie Pläne, eine Validierung einzuführen?



Alexander Ilyin, Technischer Direktor MSK-IX: Wir führen diese Experimente seit letztem Jahr durch. Wir haben nur die Aufgabe, all dies korrekt zu erarbeiten, nicht nur unter dem Gesichtspunkt der Validierung, sondern auch, was mit denen zu tun ist, die entweder falsch oder gar nicht unterschrieben haben. Wir möchten ein Toolkit erstellen, das sofort Erklärungsarbeiten mit ihnen ausführt, wie wir es jetzt für alle Fehler tun, die bei Routenobjekten auftreten. Wenn es jetzt Unstimmigkeiten gibt, wird automatisch sofort ein Brief mit der Aufforderung gesendet, diese Angelegenheit zu korrigieren. Insbesondere haben wir neulich sogar eine Schleife in der AS-SET-Beschreibung der Teilnehmer gefunden, das heißt, solche Dinge sind ziemlich wichtig. Dies ist meiner Meinung nach nicht weniger wichtig als die Validierung - auch die Durchführung von Erklärungsarbeiten mit denen, die dies nicht tun oder falsch machen.

Alexey Semenyaka : Nur eine Frage zur Richtigkeit von Informationen in RIPE DB. Vielen Dank.Hier erleben wir eine Geschichte, in der jemand kontrolliert werden muss, wo sie kontrolliert wird - dort ist die Genauigkeit irgendwie gewährleistet. Insbesondere aufgrund dieser lokal verfügbaren Mechanismen tragen sie wesentlich zur Genauigkeit des Routings von Teilen von RIR-Datenbanken bei. Ja, der Ansatz hier sollte meiner Meinung nach natürlich systematischer sein. Meiner Meinung nach über das „wie unvermeidlich es ist“ - ich denke, dass die Penetration zunehmen wird, aber zu erwarten, dass diese Technologie in den nächsten 1-3 Jahren eine Penetration von nahezu 100% erreichen wird, ist sehr naiv.

Martin Levy: Ja, fast 100% - unwahrscheinlich, nicht einmal zielen müssen. Ich kann nur Gutes über die MSK-IX sagen. Dies ist eine schwierige Reise - Sie wissen, und ich weiß, aber wenn Sie nicht beginnen, werden Sie nie sehen, wie dieser Weg endet und wohin er führt. In Wirklichkeit ist es jetzt viel schwieriger geworden, zu den sehr frühen Teilen des Gesprächs zurückzukehren, dass es für ein Netzwerk früher sehr einfach war, einer globalen Gemeinschaft beizutreten. Ende 1990 Als Sie BGP zum ersten Mal eingerichtet haben, war es so einfach und in den meisten Fällen wurde es nur angekündigt und funktioniert, aber jetzt sind wir erwachsen geworden und dieses „naive Kind“ sollte erwachsen werden und anfangen, viel komplexere Systeme aufzubauen. Der Austausch von Verkehrsaustausch ist in großen Teilen ein wichtiger Portal zum Netzwerk und gleichzeitig ein Test. Wenn Sie beispielsweise als Teilnehmer an IX teilnehmen, erhalten Sie einen Brief, in dem Ihnen Folgendes mitgeteilt wird:"Ihr Routing hier ist nicht sehr korrekt, die Basis der Pfade oder RPKI-Einstellungen." Das ist heute sehr einfach. Sie sehen Fehler oder Sie sehen Erfolg. In diesem Fall haben Sie im Allgemeinen gute Chancen für eine effektive Kommunikation mit dem Publikum. Bei großen Verkehrsknotenpunkten ist dies genauso wichtig wie bei kleinen - manchmal kleinen - einfach aufgrund der Größe, in der es einfacher ist, alle Teilnehmer an der Vermittlungsstelle zu kontaktieren. Aber lassen Sie uns ein wenig zurückrollen und über Technologie sprechen. Ich hatte noch keine Gelegenheit zu sagen, was ich über BGPSec denke, aber Ignace drückte sich ziemlich voll aus. Dies ist ein ausgezeichnetes akademisches Protokoll, aber als Netzbetreiber werde ich es niemals verwenden - es ist zu komplex und nicht für echte Betreiber gedacht, sondern als akademische Übung. Jetzt müssen wir als Gemeinschaft verstehen, was als nächstes kommt.was wir bei der IETF tun werden. Wir haben nur ein Problem - Zeitmangel. RPKI ist bereits zehn Jahre alt, wenn Sie von den ersten Entwürfen an zählen - Ende dieses Jahres werden es 10 sein. Jetzt haben wir keine zehn Jahre Zeit, um Verbesserungen vorzunehmen - wir müssen uns irgendwie mit den Problemen befassen, die verfügbar sind. Ich habe das schon etwas früher gesagt, vielleicht in einem ironischen Ton, jetzt werde ich es ernsthaft wiederholen: "Das ist uns allen etwas wert", ein solcher Ansatz. Es gibt Standardmethoden zum Zählen für E-Commerce. Nehmen wir an, Sie sind eine Bank oder ein Zahlungsanbieter, Sie gehen online und sind 5 Minuten lang nicht verfügbar. Dies sind absolut reale Verluste, in jeder Währung, überall auf der Welt - das ist Geld. Hier wächst unser Bedürfnis als Gemeinschaft von Netzwerktechnikern zu erkennen, dass das Internet heute nicht mehr so ​​harmlos ist.mit was sie vor ein paar Jahren 30 war. Jetzt enthält es fast alle Menschen auf der ganzen Welt, fast alle Unternehmen auf der Welt. Wir können uns darin nicht mehr spielerisch verhalten - wir müssen ernsthafter werden und den Verbrauchern erklären, warum etwas für 5 Minuten getrennt wurde. Aber wir wollen das nicht.

: In Bezug auf 100% und den Wunsch nach 100%. Ist es notwendig und ist es böse? Angenommen, wir versuchen, ein Problem mit BGPSec zu lösen oder ein neues BGPSec zu erstellen, das 100% der damit verbundenen Probleme löst. Aber wird es für uns nicht dasselbe funktionieren, was wir bereits haben und auch ähnlich funktionieren? Überhaupt nicht offensichtlich. Wenn es einen Mechanismus gäbe, der die meisten, also zu 80% grundlegenden Probleme löst, aber was bleibt, ist irgendwie gelöst. Wenn dies jedoch im gesamten globalen Netzwerk der Fall wäre, nennen wir es die „kritische Masse“, die die meisten Akteure im Netzwerk validieren und filtern - im Allgemeinen die zu beachtende Betriebshygiene -, würde dies die Wahrscheinlichkeit von Problemen erheblich verringern und diejenigen, die dies nicht tun. Und Angriffe, sie wären potenziell lokaler mit weniger Bedrohung,mit weniger Schaden und anderen Taten. Ein weiterer Kommentar zu den Änderungen an BGP-Protokollen, Architekturen und anderen Themen: Das aktuelle Internet ist zu groß, um etwas ändern zu können, ohne alles andere zu beschädigen. Ja, vor 30 Jahren konnten Sie BGP durch etwas anderes ersetzen, das alle Probleme löst. Erstens wussten wir damals nicht einmal, sahen nicht einmal all diese Probleme voraus. Zweitens erscheint es mir persönlich nicht machbar, BGP jetzt durch etwas anderes zu ersetzen, da wir uns zu sehr auf BGP verlassen.Zu dieser Zeit wussten wir nicht, sahen nicht einmal all diese Probleme voraus. Zweitens erscheint es mir persönlich nicht machbar, BGP jetzt durch etwas anderes zu ersetzen, da wir uns zu sehr auf BGP verlassen.Zu dieser Zeit wussten wir nicht, sahen nicht einmal all diese Probleme voraus. Zweitens erscheint es mir persönlich nicht machbar, BGP jetzt durch etwas anderes zu ersetzen, da wir uns zu sehr auf BGP verlassen.



Alexei Uchakin : Was tun mit denen, die keine Objekte in RIPE haben? Mein Uplink funktioniert in Europa, hat jedoch keine Objekte in der RIPE-Datenbank - er verwendet ihn nicht als alternative Datenbank. Was tun mit denen, die aus verschiedenen Gründen RIPE DB nicht verwenden?

Martin Levy : Wie ist der Name und die Schande auf Russisch? "Name und Schande." Weil dies die einfachste Antwort darauf ist. Wir müssen die Gemeinschaft nutzen, die Gemeinschaft von der Notwendigkeit einer Verbesserung überzeugen. Dies ist ein kollektives Internet - zeigen Sie mit dem Finger auf jemanden, der sich schämt. Vielleicht ist dies der einzig richtige Weg, um vorwärts zu kommen - um zu sagen, wer schlecht und wer gut ist und wie man sich daran hält.

Alexander Azimov : Eine Gegenfrage : Ist Ihr überlegener Betreiber aus der europäischen Region?

Alexey Uchakin: Nun, formal ja, aber es funktioniert sowohl in Europa als auch in Amerika.

Alexander Azimov : Nein, er hat überhaupt keine Gegenstände? Oder hat es keine Objekte in RIPE DB?

Alexei Uchakin : Er hat ein Objekt in AS, aber keine Routenobjekte in RIPE DB.

Alexander Azimov : Hat er Objekte in anderen Basen?

Alexey Uchakin : Bei RADB.

Alexander Azimov : Nun, das ist in der Tat keine so dramatische Situation, wie es auf den ersten Blick schien.

Alexei Uchakin : Nein, er verwendet RIPE DB einfach nicht.

Alexander Azimov: RIPE DB ist bemerkenswert für die Autorisierung. Es ist nur für Mitglieder autorisiert. Es gibt keine Autorisierung für externe Netzwerke. Es stellt sich tatsächlich die gleiche Inschrift auf dem Zaun heraus - erstellen Sie Objekte jeglicher Art, jedermann und so weiter. Und diese Diskussion findet bei RIPE-Meetings im Rahmen von Datenbankgruppen statt: „Was sollen wir mit Fremdkörpern tun?“, Fährt jetzt fort. Wir haben uns darauf geeinigt, sie zumindest separat zu kennzeichnen, damit sofort klar war, dass diesen Objekten nicht so sehr vertraut werden sollte wie den anderen. Und RADB ... in einer Situation, in der verschiedene Registrare in verschiedenen Regionen unterschiedliche Regeln haben, was ist und was nicht, aber es gibt eine so große und schnell wachsende Region wie LACNIC, in der es überhaupt keine Routenobjekte gibt, ist RADB ein Segen. Und die Anwesenheit von Objekten dort - nun, nun, lassen Sie dort Objekte sein. Auf jeden Fall besser als nichts.

Alexei Semenyaka : Die Frage war zuerst an mich gerichtet, dann bin ich sehr erfreut zu sehen, was genau ein ideales Beispiel für das Zusammenspiel von Community und RIR ist. Zuerst riss die Community das Mikrofon heraus und sagte: "Was bist du, du Narr überhaupt?" Und dann kann ich wie RIR ein Mikrofon nehmen und sagen: "Ja, ich stimme vollkommen zu." Im Allgemeinen wäre es schön, eine Frage zu stellen, aus welchem ​​Grund die Objekte, die zur RIPE-Region gehören - warum sie nicht in der RIPE-DB sind. Ist das ein religiöser Grund oder warum?

Alexei Uchakin : Dies ist nur aus ihrer Erfahrung heraus, dass viel Müll in RIPE DB geschrieben ist und sie ihm einfach nicht vertrauen.

Alexey Semenyaka : Warten Sie, d.h. sie vertrauen sich nicht?

Alexei Uchakin : Nein, sie vertrauen RIPE DB nicht.

Alexey Semenyaka: Schauen Sie, die Position "Ich schreibe nichts auf mein Objekt, weil ich RIPE DB nicht vertraue" - es klingt ehrlich gesagt schizophren.

Alexei Uchakin : Ich möchte jetzt nicht für einen anderen sprechen, aber so wie es ist.

Alexei Semenyaka : Verschieben wir diese Diskussion jetzt, aber es wäre schön, sich zu setzen, uns anzurufen und gemeinsam zu diskutieren, wie es passiert. Dies ist ein Diskussionsthema, aber nicht für das gesamte Publikum.

Alexei Uchakin : Ein weiterer zweiter Punkt: Sollte das RIR die Abschnitte und die ordnungsgemäße Verwendung von Objekten in seiner Region überwachen oder sollte dies BGPMon, Qrator.Radar, eine Notiz an andere Personen senden?

Alexey Semenyaka: Nun, schau. Genau das, was ich gesagt habe, müssen wir tun, was unsere Mitglieder uns tatsächlich anvertraut haben. Grob gesagt ist das, was wir tun, eine Art Geld wert, dieses Geld wird von der Mitgliedschaft irgendwie berücksichtigt - wir tragen eine gewisse Verantwortung. Wir als RIR sehen, dass dieses Problem heiß ist, und wir sind bereit, unsere Aktivitäten in diese Richtung auszuweiten. Es erfordert zum Beispiel das Aufwärmen der Community und eine Reaktion unserer Arbeitsgruppen, unserer Mitglieder, die sagen werden: "Ja Leute, das ist ein wichtiges Thema - lasst uns hier mehr arbeiten. Wir - Ihre Mitglieder - sind uns einig, dass Sie dafür Geld ausgeben werden. Wir, die Arbeitsgruppe, sind bereit, entsprechende Richtlinien dafür zu erstellen. “ Und wir sind bereit. Aber hier kann es nicht die Stimme eines Menschen sein, der in der Wüste weint, es kann nicht die RIR-Organisation sein, die Organisation von 150 Menschen, RIPE NCC,Das ist im niederländischen Recht eingetragen, das plötzlich anfängt, alles zu tun, und es stellt sich heraus. Dies wird nicht funktionieren.

Alexei Uchakin : Okay, dann sind meine Themen im Allgemeinen vorbei, vielleicht hat jemand aus dem Publikum Fragen?


Russisch


Englische Sprache