Hola Habr! Esta es una transcripción y una traducción parcial de la sesión por hora titulada "¿Por qué Internet sigue en línea?" de la decimoquinta reunión del "Grupo Euroasiático de Operadores de Redes".
Qrator Labs agradece a todos los participantes en la discusión: Alexei Semenyaku, RIPE NCC; Ignas Bagdonas, Equinix; Martina J. Levy, Cloudflare; Alexander Azimov, Qrator Labs y el moderador Alexei Uchakin del equipo de podcast LinkmeUp por permiso para publicar este texto.
Los ingenieros e investigadores de redes participan en esta discusión, por lo que la discusión es principalmente sobre el enrutamiento entre dominios. Video al final de la publicación. Que tengas una buena lectura.
Alexei Uchakin : Hola a todos, mi nombre es Alexey, el equipo de LinkmeUp es el primer podcast para señalistas. Para mí, de hecho, un colega de Qrator Labs habló mucho sobre cómo defenderse contra la suplantación de identidad, pero me gustaría hablar, de hecho, de manera más amplia. Debido a que Internet es algo absolutamente descentralizado y fue creado, en particular, para sobrevivir después de una explosión nuclear, pero, como lo demuestra la práctica, tener un equipo barato y no tener el derecho de configurar BGP, es muy posible que lo rompas todo. Por lo tanto, hoy quería discutir con expertos cómo protegerme de esto, cómo monitorearlo y qué hacer con todo esto.
Participando hoy: Alexander Azimov - Qrator Labs, Alex Semenyaka - RIPE NCC, Ignas Bagdonas - Equinix y Martin J. Levy - Cloudflare. En realidad, colegas, lo primero con lo que me gustaría comenzar es la primera pregunta: ¿cuánto está protegido Internet ahora del hecho de que un operador regional relativamente pequeño de repente comenzará a anunciar prefijos de Google, Yandex o cualquier otra persona condicional? ¿Hay alguna evaluación de cómo es esto ahora?
Alexander Azimov : Bueno, entonces déjame comenzar esta triste historia, porque es realmente triste. Desafortunadamente, los grandes operadores, incluso en Rusia, tienen excepciones, es decir, a veces establecen filtros y a veces no. No quiero tocar mi dedo en todo el gran mercado de operadores en Rusia, pero una parte importante de aquellos que consideramos operadores de Nivel 1 tienen tales excepciones. Como resultado, aquellos para quienes se implementan estas excepciones tienen la oportunidad de anunciar cualquier cosa, y esto ya sucedió. En realidad, vimos cómo fluía Corbin el año pasado, cómo fluía Vimpelcom. Hay aquellos a quienes el trueno aún no ha golpeado, pero hay potencial.
Alexei Uchakin : Entonces ahora todo está muy mal, ¿verdad?
Alexei Semenyaka : Entonces, no aumentemos el grado de suspenso, esto es probablemente un poco superfluo. Bueno, ¿qué significa malo? Sí, hay agujeros. Sasha dijo con razón: alguien está filtrando, alguien no está filtrando, es decir Todo está a ese nivel. Sin embargo, aquí comenzamos con el hecho de que Internet se construyó sobre los principios de, digamos, el entendimiento mutuo y, en la medida suficiente, todavía existe sobre estos principios. Se supone que este no es solo un diseño técnico, sino que también son algunas empresas las que emplean a algunas personas que realizan algunas acciones conscientes. Cuando algo similar aparece en Internet, todos los demás reaccionan de alguna manera a todo, algo así. Aunque, de hecho, los accidentes ocurren regularmente. Una historia maravillosa sobre la confianza: cuando todos confiaban en Google, y él tomó y salió de Japón ... bueno, en resumen, no realmente con Internet. La historia es nuevamente el año pasado, pero este es un gran ejemplo. Preferiría hablar sobre el aspecto técnico, y no sobre la redacción: es todo bueno / todo es malo. Bueno, es decir, es de alguna manera un enfoque demasiado poco profesional.
Alexander Azimov : Bueno, de acuerdo con este enfoque poco profesional, haría una pregunta: ¿puede una red de confianza colectiva no convertirse en una red de problemas colectivos cuando hay 55,000 objetos? Hablando de tecnología, ahora dentro del IETF con la posible participación de Qrator Labs, incluyendo incluido, pero no solo, el tema de seguridad BGP se está moviendo activamente. Existe la esperanza de que la situación mejorará precisamente desde un punto de vista técnico, lo que remendará una parte significativa de los agujeros en el protocolo BGP y lo hará más seguro, especialmente para los principiantes. Para que tengan menos oportunidades de suicidarse y matar a otros.
Alexei Uchakin :
¿ Todavía necesita emitir derechos de configuración BGP?
Alexei Semenyaka : Creo que Ignas tiene algo que decir.
Ignas Bagdonas : Yo diría que hay 2 partes diferentes del problema o 2 grupos de problemas.
Uno son esas caras y otras cosas que aparecen como resultado de un error, un error involuntario. Dedos gordos, gordos, algo así. Por un lado, nos estamos moviendo hacia la automatización, y es una especie de, podemos decir que será una solución, pero todos los sistemas de automatización funcionan con datos. Si nuestros datos están dañados o son incorrectos, serán los mismos, pero mucho más eficientes.
El otro grupo son ataques deliberados específicos, y desde mi punto de vista, la mayoría de estos ataques se llevan a cabo, y tienen éxito, solo porque hay un nivel bastante alto en toda la red, digamos directamente, un desastre. Esta es la higiene operativa, que da un resultado solo cuando todos los participantes, o la mayoría de los participantes participan en ella y lo hacen más o menos correctamente. Esto es una cuestión de educación. Usted está aquí en esta sala, sabe lo que es el filtrado, sabe cómo funciona, pero representa una pequeña parte de las personas que se dedican al trabajo técnico y al soporte, y de esto no puede concluir que todos tengan el mismo nivel de comprensión . Por supuesto, hay situaciones en las que alguien lee en la documentación de un proveedor que usted completará un equipo y estará contento. Hacen esto y reciben felicidad, solo en el proceso de esto, hacen daño a los demás, no a propósito y sin darse cuenta. Un problema de capacitación: es realmente importante en esta situación. Veo que esto se está moviendo en una buena dirección, pero no es un proceso rápido.
Alexei Semenyaka : Un pequeño comentario sobre la educación: la educación es realmente algo completamente crítico aquí y exactamente igual que en la parte de los problemas que discutimos después del informe de Sasha, justo ahora. Existe un ejemplo tan claro que concierne a nuestra organización RIPE NCC, mantenemos, como usted entiende y bien sabe, la base de datos RIPE DB. Tenemos instalaciones de enrutamiento allí, recuerdo bien el momento, fue recientemente, hace 20 años, cuando la regla del buen gusto era construir filtros de acuerdo con RIPE DB. Ahora, esto no es categóricamente así: hay organizaciones que hacen esto bajo su propio riesgo y riesgo, pero algunas se quejan de que si solo cree lo que está escrito en RIPE DB, se pone a ti mismo disparando. Solo lideramos, somos los operadores técnicos de RIPE DB, no podemos obligarlo a escribir la verdad, es decir No tengo derechos, no nos diste esos derechos, no nos dijiste: "por favor, asegúrate de que algo correcto esté escrito allí". Y ustedes, de hecho, queridos participantes, escriben todo tipo de basura allí regularmente. Sí, es un problema de escala y de educación, superpuestos entre sí. No porque seas estúpido o no porque no tienes suficiente educación sobre el protocolo BGP. No, es realmente un desastre. No tienes en tus manos esto, no tienes tiempo para resolverlo, no entiendes por qué esto es necesario y para formar un número cada vez mayor de participantes, este es realmente un gran desafío, que, de hecho, es efectivo en este momento, en mi opinión La mirada no está resuelta. Este es realmente un problema de educación, pero no en el sentido de un problema de educación que alguien podría hacer y no hacer, realmente no está claro cómo hacerlo en el contexto de la creciente Internet, el creciente número de participantes, etc. etc. Este es un problema más o menos sistémico. Martin?
Martin Levy : Me sacaste un poco del tema original. Volveré primero. Ya tengo canas, ¿ves? Esto se debe a que he estado involucrado en redes durante mucho tiempo. Y como base de todo Internet, tenemos protocolos que se crearon mucho antes de que adquiriera su escala moderna. ¿Quién de los presentes sabe quién fue el primero en ofrecer una conexión a Internet en Rusia? No importa quién fue, es importante cuántas personas lo saben y es importante que usted lo sepa. Y si necesita levantar el teléfono y llamar a algún lugar, ya sabía a quién llamar. ¿Y quién de los presentes dirige ASN y no me conoce o no conoce a otras personas que levantaron la mano? El protocolo simplemente no puede mantenerse al día con esta tasa de crecimiento. Y todo lo que hablamos en ENOG anteriores y hace 10 minutos o en otras conferencias es sobre una cosa. Sobre cómo ponerse al día con la tasa de crecimiento. Debido a que una de las cosas más sorprendentes sobre Internet y los protocolos es que no están 100% fuera del proceso, sino principalmente dentro del IETF.
Existe una frase como "innovación sin permiso": los protocolos existentes "no solicitaron permiso" de los operadores de telecomunicaciones o proveedores de Internet. Fueron creados por el tipo de personas que están aquí hoy, y estas cosas funcionan. Gran parte de lo que dijo aquí es sobre cómo ponerse al día con el progreso, o lo que falta, o sobre lo que todos debemos acordar. Las cosas son filosóficas, pero me gustaría seguir siendo mundano. Y en este momento tengo que decir que estás equivocado. Explicaré: la única forma en que funciona Internet moderno es admitir estas bases de datos de rutas, que somos perezosos, repetiré de nuevo, perezosamente usamos para evitar que alguien interfiera con la conectividad normal de los demás. Hoy en el almuerzo, discutimos: soy el propietario de una red que alguien trató de manipular hace no más de 5 días. Y aunque la cara de la derrota duró solo 30 o 40 segundos, en Twitter y otras redes sociales, duró varios días. Así que tengo un interés real y comprometido en convencerlo a usted ya todos los presentes de que este es un tema muy importante. Así que déjame explicarte dónde, en mi opinión, te equivocaste y por qué reaccioné así. En algún momento, alguien debería ser responsable de ser el propietario de dichos datos que permitirían reclamar un anuncio legítimo o ilegítimo. Porque específicamente en este entorno "sin permiso" no funciona muy bien. Y dado que usted es un participante de RIR en esta discusión, vuelvo a usted y le pregunto: "¿Le resulta difícil mantener la TIR en un estado limpio y correcto?" Es difícil para todos. Alguien debería levantarse y decir: “Suficiente. Encontraré maneras de arreglarlo y hacerlo mejor ". La segunda parte de mi respuesta es que algunos de los presentes tendrán que comenzar este proceso y ahora los elegiré como RIR para esta tarea. Veamos a dónde va más esta discusión.
Alexei Semenyaka : En primer lugar, no puedo estar de acuerdo con el desacuerdo porque esto de ninguna manera contradice lo que dije. No dije que nuestros datos son una tontería absoluta; hablé sobre el hecho de que hay muchos casos en que las tonterías se escriben allí. Afortunadamente, no siempre. La parte de enrutamiento de la base de datos es una parte bastante importante, pero de alguna manera funciona. Especialmente donde hay cumplimiento: mantener la relevancia de estos datos funciona especialmente bien, especialmente cuando se trata de un operador responsable que trabaja con sus enlaces descendentes. O casi siempre funciona: estos registros son relevantes para los puntos de intercambio de tráfico, porque los puntos de intercambio de tráfico supervisan muy cuidadosamente lo que está escrito en su base de datos. Digamos en su mayor parte. El desorden está ahí; desafortunadamente, el desorden no es un punto, está más o menos distribuido, pero, afortunadamente, este es un problema, no una catástrofe. Martin, lo siento, digamos que esta es una continuación robada de la conversación. Estoy totalmente de acuerdo en que debemos tratar este asunto. Sasha solo quiere quitarme el micrófono y decir que él es la persona que hará esto, ¿entiendo correctamente? Pero todavía estoy de acuerdo. Otra Sasha de la audiencia sugiere que todavía hay alguien. Así es, pero en la comunidad de Internet, como entendemos, la presión del RIR no funciona. Si el RIR simplemente comienza a presionar a los participantes y dice: “Entonces, bueno, todos se formaron rápidamente y se pusieron en formación”, no pasará nada. La discusión funciona, la cristalización del problema funciona, la creación de, de hecho, la conciencia funciona. Esta es la misma parte de la educación, en cierto sentido, y cuando se completa, aparecen las mismas personas con las que podemos trabajar y con quienes, como RIR, haremos nuestro mejor esfuerzo para promover. Realmente tenemos un sistema que nos permite monitorear cómo está sucediendo, y estamos listos para avanzar en este problema, pero no podemos reemplazar a la comunidad. Podemos trabajar con la comunidad, podemos, estaremos listos, pero no podemos reemplazar a la comunidad, no podemos crear a los que lo harán.
Alexander Azimov : Volvamos un poco, todavía tenemos que encontrar la raíz del mal e intentar demostrar que es RIR. Por lo general, cuando agrega un número de sistema autónomo a su SET, si está en tránsito, ¿lo hace para qué? Para brindarles servicio. No para protegerlos mañana o para que todo funcione bien para ellos, sino para que sus superiores agreguen su prefijo a SET, y para que todo funcione aún más. ¿Y con qué frecuencia elimina de su SET lo que se agregó allí anteriormente? ¿Levanta la mano aquellos que no lo hacen, o rara vez lo hacen? (levanta la mano) Seré honesto aquí. (pregunta de la audiencia: "¿Muy raramente?") Sí, de un caso a otro. De hecho, al asignar protección a rostros, secuestros a AS-SET, de hecho, todos nos confundimos. Este mecanismo fue desarrollado para otro propósito. Están conectados, pero el caso del usuario es diferente. En este caso, de hecho, se lleva a cabo una delegación de seguridad, ya que cualquier persona puede agregar su número a otros jugadores. Y la corrección estructural del protocolo BGP solo es posible si, respondiendo a lo que dijo Martin, es solo si su seguridad dependerá solo de sus acciones. Y más de nadie. En realidad, en mi opinión, el protocolo y su cambio deberían desarrollarse en esta dirección.
Martin Levy : Protocolo: depende solo de los datos. Si la basura está adentro, entonces la basura está afuera. Basura adentro, basura afuera, eso es todo.
Alexander Azimov : Estoy confundido. El problema es que siempre se puede crear basura, pero quiero vivir en una situación en la que solo yo pueda crear basura para mis redes. Seré responsable de crear la basura. La situación cuando otros jugadores crean basura para mi red es un punto muerto. Y, por el contrario, quiero ser responsable de la seguridad de mi red.
Martin Levy : Estoy de acuerdo con esto, entiendo, bueno. Entonces intentemos algo nuevo y, por otro lado, abordemos este problema. ¿Dónde puedo enviar una factura o una solicitud de prepago cuando algo llega a mi red? Y llega allí, algo que no pedí, algo que pasó por muchos jugadores y que no tiene valor para mí. Puedo enviar muchas solicitudes de pago yo mismo, ¿cómo manejaré todo este volumen? Esta es una pregunta retórica hasta cierto punto, porque sabemos que no puede existir. Pero al mismo tiempo, este es un excelente argumento en contra de esto. Todos estamos en el mismo bote en este momento debido a la cantidad limitada y la calidad de los filtros. Y esta es una cantidad bastante grande de tráfico que podría no existir. También podemos discutir esto no desde el punto de vista de los datos, sino también desde el punto de vista del control (es decir, plano de datos / plano de control) o desde el punto de vista de la calidad del enrutamiento BGP y hablar sobre la desagregación excesiva, pero este es un asunto diferente.
Alexei Uchakin : Bueno, esa es otra pregunta. Pero tenemos una base de datos RIPE, tenemos una base de datos de otros LIR y damos un pionero honesto de que nos comportaremos y escribiremos los datos correctos allí. Y cómo protegerse de la suplantación de identidad: del hecho de que podemos anunciar el número de autonomía de otra persona y con las mismas direcciones válidas para esta autonomía, pero para algunos de nuestros propósitos. ¿Puede BGPSec c RPKI ayudarnos de alguna manera o algo así?
Alexander Azimov : BGPSec no puede ayudarnos, lo siento.
Alexey Uchakin : Es decir, será, como con DNSSec, que la idea es buena, pero ¿nadie está aplicando?
Alexey Semenyaka : Creo que sobre BGPSec deberíamos preguntarle al representante del futuro, es decir, Ignas. Es el responsable del futuro, estamos hablando del presente. BGPSec no tiene planes de apoyar a ningún proveedor. No estoy hablando de hardware: hasta ahora ningún proveedor ha agregado una hoja de ruta. A las personas que son más o menos relevantes para BGPSec probablemente les resulte difícil debatir. En un mundo ideal, imagine que tenemos RPKI, hay una base de datos absolutamente precisa y todos validan todo: todos verifican el RPKI y todos verifican si se trata de lo que ven en la base de datos. Entonces todo funcionará. Dudo que fuera una pregunta, pero estoy de acuerdo en que en un mundo ideal todo funcionará.
Alexei Uchakin : ¿Y si no es perfecto?
Alexei Semenyaka : Y si en realidad, entonces no lo hará.
Alexey Uchakin : ¿Por qué entonces en general RPKI?
Ignas Bagdonas : Yo, como quien mira al futuro, responderé brevemente: "El futuro será brillante". Pero hasta que llegue este momento habrá mucha oscuridad, un desastre y otras cosas. BGPSec y otros negocios relacionados? Nada malo con la comunidad académica, BGPSec, en su mayor parte, es un experimento académico. Sí, parece que está lleno, teóricamente puede funcionar y, en teoría, puede resolver los problemas que se le impusieron, pero si miramos desde el punto de vista práctico, entonces todo se ve un poco diferente. Un aspecto muy simple: si, por ejemplo, se realizaron pruebas de rendimiento, rendimiento simple, qué tan rápido funciona la validación. Si puedo validar 50 actualizaciones de prefijos por segundo, obtengo el feed completo. Me llevará mucho más tiempo completar el proceso, y durante este tiempo la mitad de todo cambiará varias veces. Sí, este es un mecanismo casi perfecto de resolución total. ¿Lo necesitamos a él? Probablemente
Por otro lado, si tuviéramos un mecanismo que resolvería al menos el 80% del total, bueno, 85%, bueno, al menos 85.5% de los problemas que tenemos prácticos, pero que no funcionaron en algunos casos difíciles y excepcionales . Creo que dicho mecanismo y enfoque sería mucho más práctico, y los proveedores lo implementarían todo y lo usarían todo. Hablando por parte de los vendedores, su respuesta es muy simple: "¿Estás listo para pagar todo lo que costará cuando lo hacemos, como producto?" Y la respuesta de los mismos operadores es muy obvia. Escuché que alguien dijo "sí" en el pasillo, pero muchos dicen "por supuesto que no". “Ni siquiera pienses en eso, este es tu problema, te darás cuenta, compraremos tu plataforma y lo que hace es, ¿por qué deberíamos pagar algo? Simplemente pensamos que esto debería ser todo ".Resulta un círculo vicioso. Sí, tenemos todos los protocolos, todas las mecánicas y otras cosas. Tenemos bases de datos, son basura. Si juntamos todo esto, entonces la solución es como era, pero no puede funcionar puramente técnicamente cuando todos los componentes están conectados entre sí. E incluso si puede funcionar, con los datos que están en el sistema, nuevamente no habrá resultados positivos. Este es un ciclo así y no es muy obvio cómo salir de esto. Sí, el IETF y otras organizaciones han estado trabajando en BGPSec durante más de una década, y resulta que mucha gente dedicó mucho tiempo y esfuerzo, y resultó en algún tipo de producto semiacabado, si puedo decirlo, que parece funcionar, pero no se puede usar. Que hacer ahora Intentar traer BGPSec a la mente, una mente práctica, o simplemente decir que sí, fue un error / victoria, depende de su punto de vista,tíralo todo y hazlo de nuevo.
Martin Levy : si tiene en cuenta los 50 segundos que nombró, obtendrá de 4 a 5 horas para validar la tabla completa, lo cual es simplemente inaceptable si es un operador.Ignas Bagdonas : Sí, sí. Estos son los datos que se obtuvieron en las pruebas de rendimiento IETF - BGPSec que se realizaron allí en equipos modernos.Alexey Semenyaka: Equipamiento moderno! Hubo una pregunta que no recibió respuesta. Diré brevemente Estoy totalmente de acuerdo con lo que dijo Ignas sobre el hecho de que si puede filtrar una gran cantidad de algunos casos simples, esto es muy útil. Encontrar una bala de plata no es un método en la industria, no funciona de esa manera. Los enfoques prácticos funcionan. La historia sobre RPKI es exactamente esta historia. Esta es una historia para filtrar los casos causados por el síndrome del dedo grueso. Por supuesto, un atacante no cuesta eludir la protección RPKI, aproximadamente, nada. Pero en la gran mayoría de los casos, las personas que lo miden, que conocen los números, están sentados a mi izquierda y derecha. Ahora le entregaré el micrófono a Sasha Azimov, creo que Martin también comentará sobre esto. La cantidad de incidentes que vemos en el protocolo BGP y que es causada por el síndrome de "dedos gruesos" es enorme.Si es posible reducirlo, entonces esto debería hacerse. De hecho, fue precisamente este enfoque el que sostuvo RPKI: no fue una bala de plata y no un intento de proteger la integridad de un atacante, es decir. Una persona que está tratando de hacer algo a propósito. Pero, en cualquier caso, si necesita clasificar un contenedor de basura completo o una pequeña caja para buscar algo, alguna evidencia, entonces el segundo caso es mucho más simple. Esto, en particular, puede ayudar a identificar esos casos cuando algo se hace intencionalmente, si, sin embargo, el número de casos no intencionales en nuestro país disminuirá, porque en el montón actual son muy difíciles de ver. La atribución de algunos ataques de enrutamiento ha comenzado recientemente. Estoy seguro de que lo fueron antes, pero algunos casos comprobados de atribución son bastante nuevos. Cuando quedó claro que sí, fue un ataque de enrutamiento,que realmente fue realizado por malhechores y obtuvieron tal y tal. En los últimos años, ya hay casos n-ésimo, y antes de eso solo estaba en el nivel de sospecha, en su mayor parte.: Continuaré lo que dijeron Alexey y Martin. Recientemente, comenzaron a acusarme de que tengo una mirada muy deprimente en BGP. Esto es probablemente en parte cierto. Sin embargo, este año hubo un evento que, en mi opinión, será muy, muy significativo para la industria. Durante muchos años, ha habido intentos de lanzar la validación de ROA, lo que llamamos RPKI, de forma masiva. ¿Por qué es esto importante? Como no puede resolver el problema de los rostros, no puede resolver el problema de la actividad maliciosa; solo resuelve el problema de los secuestros accidentales. Esto resuelve el problema de la misma fuga estática que ocurre todo el tiempo. Lo que sucedió en Rusia no hace mucho tiempo, lo que Cloudflare ahora está conectado con su servicio de DNS, afortunadamente, no por mucho tiempo. Y esta es una forma de pelear. Y la buena noticia no es que RPKI haya sido lanzado por bastante tiempo. El problema no es soloque ocurre una anomalía, pero que se propaga. Si la anomalía no se propaga, el nivel de desastre disminuirá dramáticamente. Y, finalmente, la buena noticia, de hecho, es que los IXs europeos más importantes, como MSK-IX, incluido DEC-IX, incluido AMS-IX, comenzarán a eliminar rutas inválidas en el futuro cercano, según el ROA. ¿Qué significa esto?
Esto significa que si firma su espacio de direcciones, es decir, piensa en su propia seguridad, aumentará las posibilidades de que la próxima vez que ocurra una anomalía en algún lugar, no le quite todo o un porcentaje significativo de su tráfico, pero puede estar localizado. Por lo tanto, le recomiendo que firme su espacio de direcciones, no es difícil. Hoy con Alexei Semenyaka, después de esta sección, haremos un taller y trataremos de ayudar a aquellos que tengan preguntas técnicas sobre cómo hacerlo. Sí, trabajaremos aquí exclusivamente para la región RIPE. De hecho, RIPE hizo un gran trabajo y es muy, muy fácil de hacer, me llevó 10 minutos. Creo que lo harás más rápido.Alexey Semenyaka: En cualquier caso, el taller es para aquellos que pueden ir al portal LIR. Si no tiene acceso a su portal LIR, lo siento. Tú también puedes venir, pero desafortunadamente solo tendrás que mirar desde atrás. Para aquellos que tienen acceso al portal LIR, esta es una oportunidad para hacerlo hoy, ahora, aquí.
Martin Levy : No tengo más remedio que apoyar, esta es la dirección correcta. Actualización para usted: AMS-IX ahora filtra los anuncios al 100% según RPKI, como dos semanas. Todos los operadores IX, aquellos que mantienen la base de datos de rutas en su IX, también deben aprender sobre esto. Puede hacerlo con el ejemplo de AMS-IX: primero, recopile y analice el software suavemente, y luego implemente el filtrado en hardware en los datos RPKI y RIR.Alexander Azimov: ¡Estas son solo buenas noticias! Una cosa es decir que solo lo serán, y otra cuando ya ha comenzado. Todavía hay un punto importante que, junto con el comienzo del uso activo, existe experiencia en el uso operativo de la validación de ROA. En consecuencia, después de los IX, después de que se cometen los primeros errores, el tránsito comenzará a ponerse al día; realmente quiero creer en ello.Martin Levy: Y este es un punto clave. Invitaste a la gente a estudiar y dijiste que es fácil. Déjame mostrarte el otro lado. Para cada red en esta región que use proveedores de transporte público que de alguna manera se hayan conectado en otras ciudades de Europa, como Amsterdam, Frankfurt o Londres ... Hablaré de Amsterdam ahora, porque creo que cualquier red grande se conecta a Amsterdam en algún momento. Si dicha red no tiene un registro IRR válido o, lo que es más importante, un registro RPKI, la ruta no pasará por el servidor de ruta. Es por eso que no obtendrá la ruta de tráfico óptima. Hoy puedes pasar por Frankfurt, pero eso cambiará pronto. Alguien aquí en la audiencia probablemente podría decir "cuándo". Tal vez el tráfico pasará por Londres, Varsovia, esto ya es una tendencia.Incluso si solo tenemos un punto adicional, ya podemos decir que esta es una tendencia. Y, por lo tanto, obtener datos precisos sobre rutas en interés de dicha red es mucho más ahora que hace 2 semanas. Espero que esto continúe en el futuro, pero la motivación para decir: "Oye, es simple, ven y te lo mostraremos": esta es una cosa. En mi opinión, sería mejor si dijeras: "Si no vienes a la clase magistral, tu red no funcionará de manera suficientemente eficiente".su red no funcionará de manera suficientemente eficiente ".su red no funcionará de manera suficientemente eficiente ".Alexander Azimov : Y en general, siempre es bueno cuando tenemos motivación. Me temo que Martin no entenderá esta broma, pero cuando tenemos zanahorias delante y detrás. En nuestra región, esto funciona especialmente bien.Alexei Uchakin : Bueno, entonces la pregunta es: ¿entiendo correctamente que básicamente la misma validación de RPKI y ROA y todo lo demás ya es algo tan inevitable? El protocolo BGP, originalmente se basaba en la confianza e, inicialmente, creció tan rápido, de hecho, porque el protocolo se basa en confiar entre sí, que los miembros de la comunidad confían entre sí. Y ahora estamos hablando de cosas que generalmente restringen la libertad, por así decirlo. ¿No será esto un freno para el desarrollo de Internet en general, o es una necesidad directa, una necesidad que ha pasado mucho tiempo?Alexey Semenyaka: Dime, ¿las cerraduras de las puertas impiden en gran medida que las personas se visiten?Alexey Uchakin : No, bueno, entiendo.Alexey Semenyaka: Bueno, esto es exactamente de lo que estamos hablando. Sobre los mecanismos que no interfieren con las personas que son actividad normal, para construir redes. Lo que estamos discutiendo es una tecnología bastante barata. BGPSec y lo que dijo Ignas es en el futuro, pero por el momento es una tecnología demasiado pesada. Lo que estamos discutiendo ahora es una tecnología barata que es similar a una cerradura de puerta. Sí, para visitarnos, primero necesitamos salir, es decir, abrir el castillo, cerrar el castillo, venir, llamar al castillo, allí nos abrirán y luego nos cerrarán. Es barato en comparación con todo el historial de viajes, ¿verdad? En cuanto a la inevitabilidad, me gustaría creer. Disculpe, Arno Dniper, ¿está ahora en la audiencia o está ausente? Él, como representante de DE-CIX, quisiera saber, ¿tiene algún plan? No? Bueno, MSK-IX, definitivamente están aquí. MSK-IX dice¿Tienes planes para introducir la validación?
Alexander Ilyin , Director Técnico de MSK-IX: Hemos estado realizando estos experimentos desde el año pasado, es solo que nuestra tarea es resolver todo esto correctamente, no solo desde el punto de vista de la validación, sino también qué hacer con aquellos que firmaron incorrectamente o no firmaron en absoluto. Queremos hacer un juego de herramientas que lleve a cabo inmediatamente un trabajo explicativo con ellos, como lo estamos haciendo ahora por cualquier error que encontremos en los objetos de ruta. Si hay alguna discrepancia ahora, se enviará automáticamente una carta de inmediato con una solicitud para corregir este asunto. En particular, el otro día incluso encontramos un bucle en la descripción AS-SET de los participantes, es decir, tales cosas son bastante importantes. Esto, en mi opinión, no es menos importante que validar, también llevar a cabo un trabajo explicativo con aquellos que no lo hacen o lo hacen mal.Alexey Semenyaka : Solo una pregunta sobre la precisión de la información en RIPE DB. Muchas gracias
Aquí estamos presenciando una historia cuando hay alguien a quien controlar, donde se controla, de alguna manera se garantiza la precisión. Debido, en particular, a estos mecanismos que están disponibles localmente, ayudan en gran medida a la precisión del enrutamiento de partes de las bases de datos RIR. Sí, el enfoque aquí, por supuesto, debería ser más sistemático, en mi opinión. En mi opinión, con respecto a "cuán inevitable es esto": creo que la penetración aumentará, pero esperar que en los próximos 1-3 años esta tecnología tenga una penetración cercana al 100%, esto es muy ingenuo.Martin Levy: Sí, cerca del 100%, poco probable, ni siquiera es necesario apuntar. Solo puedo decir cosas buenas sobre el MSK-IX. Este es un viaje difícil, ya sabes, y lo sé, pero si no comienzas, nunca verás cómo termina este camino y hacia dónde conduce. En realidad, volviendo a las primeras partes de la conversación que una vez fue muy fácil para una red unirse a una comunidad global, ahora se ha vuelto mucho más difícil. A finales de 1990 cuando configuraste BGP por primera vez, fue muy fácil y, en la mayoría de los casos, simplemente se anunció y funciona, pero ahora hemos crecido y este "niño ingenuo" debería crecer y comenzar a construir sistemas mucho más complejos. Los intercambios de intercambio de tráfico, en grandes porciones, son portales importantes para la red y al mismo tiempo una prueba. Si, por ejemplo, como participante en IX, recibe una carta donde le dicen:"Su ruta aquí no es muy correcta, la base de las rutas o la configuración de RPKI". Es muy fácil hacer eso hoy. Ves errores o ves éxito. En este caso, generalmente tiene buenas posibilidades de comunicación efectiva con la audiencia. En los puntos de intercambio de tráfico grandes, esto es tan importante como en los pequeños, a veces pequeños, simplemente debido a la escala, donde es más fácil contactar a todos los participantes en el intercambio. Pero retrocedamos un poco y hablemos de tecnología. Todavía no he tenido la oportunidad de decir lo que pienso sobre BGPSec, pero Ignace se expresó completamente. Este es un excelente protocolo académico, pero como operador de red, nunca lo usaré; es demasiado complejo y no está diseñado para operadores reales, sino como un ejercicio académico. Así que ahora, como comunidad, debemos llegar a comprender lo que será lo próximo,que haremos en el IETF. Solo tenemos un problema: falta de tiempo. RPKI ya tiene diez años, si cuenta desde los primeros borradores, a fines de este año serán 10. Ahora no tenemos diez años para realizar mejoras, de alguna manera debemos tratar los problemas usando lo que está disponible. Ya dije esto un poco antes, quizás en un tono irónico, ahora lo repetiré seriamente: "Esto vale algo para todos nosotros", tal enfoque. Existen métodos estándar de cálculo para el comercio electrónico, digamos que usted es un banco o un operador de pagos, se conecta y no está disponible durante 5 minutos. Estas son pérdidas absolutamente reales, en cualquier moneda, en cualquier parte del mundo: esto es dinero. Aquí es donde crece nuestra necesidad, como comunidad de ingenieros de redes, de darnos cuenta de que hoy Internet ya no es ese campo de juego inofensivo,con lo que tenía 30 años hace unos años. Ahora contiene a casi todas las personas en todo el mundo, casi todas las empresas del mundo. Ya no podemos comportarnos de manera juguetona; debemos ser más serios y explicar a los consumidores por qué algo se desconectó durante 5 minutos. Pero resulta que no queremos hacer esto.: Con respecto al 100% y el deseo del 100%. ¿Es necesario y es malo? Supongamos que estamos tratando de resolver un problema con BGPSec o crear un nuevo BGPSec que resuelva el 100% de los problemas que se le imponen. Pero, ¿no nos resultará lo mismo que ya tenemos y funcionará de manera similar? Para nada obvio. Si hubiera un mecanismo que resuelva la mayoría, bueno, 80%, problemas fundamentales, pero lo que queda se resuelve de alguna manera. Pero, si este fuera el caso en toda la red global, llamémosle la "masa crítica" que la mayoría de los jugadores en la red validan, filtran, en general, hacen la higiene operativa que debe observarse, esto reduciría en gran medida la posibilidad de problemas y los que no hacen esto. Y los ataques, estarían más localizados potencialmente con menos amenaza,con menos daño y otras obras. Otro comentario sobre los cambios en los protocolos BGP, arquitecturas y otros asuntos: la Internet actual, es demasiado grande para poder cambiar algo sin romper todo lo demás. Sí, hace 30 años, podría reemplazar BGP con algo más que resuelva todos los problemas. En primer lugar, en ese momento no sabíamos, ni siquiera preveíamos todos estos problemas. En segundo lugar, ahora reemplazar personalmente BGP por otra cosa no me parece factible personalmente debido al hecho de que dependemos demasiado de BGP.en ese momento no lo sabíamos, ni siquiera preveíamos todos estos problemas. En segundo lugar, ahora reemplazar personalmente BGP por otra cosa no me parece factible personalmente debido al hecho de que dependemos demasiado de BGP.en ese momento no lo sabíamos, ni siquiera preveíamos todos estos problemas. En segundo lugar, ahora reemplazar personalmente BGP por otra cosa no me parece factible personalmente debido al hecho de que dependemos demasiado de BGP.
Alexei Uchakin : ¿Qué hacer con aquellos que no tienen objetos en RIPE? Mi enlace ascendente funciona en Europa, pero no tiene ningún objeto en RIPE DB, no lo usa como una base de datos alternativa. ¿Qué hacer con aquellos que por diversas razones no usan RIPE DB?Martin Levy : ¿Cómo es el nombre y la vergüenza en ruso? "Nombre y vergüenza". Porque esta es la respuesta más fácil a esto. Debemos usar la comunidad, convencerla de la necesidad de mejorar. Esta es una Internet colectiva: señale con el dedo a alguien que está avergonzado. Quizás esta sea la única forma correcta de avanzar: expresar quién es malo y quién es bueno, y cómo cumplir.Alexander Azimov : Una contra-pregunta: ¿es su operador superior de la región europea?Alexey Uchakin: Bueno, formalmente, sí, pero funciona tanto en Europa como en América.Alexander Azimov : No, ¿no tiene ningún objeto? ¿O no tiene objetos en RIPE DB?Alexei Uchakin : Tiene un objeto en AS, pero no tiene objetos de ruta en RIPE DB.Alexander Azimov : ¿Tiene objetos en otras bases?Alexey Uchakin : En RADB.Alexander Azimov : Bueno, de hecho, esta no es una situación tan dramática como parecía a primera vista.Alexei Uchakin : No, simplemente no usa RIPE DB.Alexander Azimov: RIPE DB es notable por tener autorización. Tiene autorización solo para miembros. No hay autorización para ninguna red externa. Resulta, de hecho, la misma inscripción en la cerca: crear objetos de cualquier tipo, cualquier persona, etc. Y esta discusión continúa en las reuniones de RIPE en el marco de grupos de bases de datos: "¿Qué debemos hacer con los objetos extraños?", Continúa ahora. Acordamos etiquetarlos al menos por separado, para que quede claro de inmediato que no se debe confiar tanto en estos objetos como en el resto. Y RADB ... en una situación en la que diferentes registradores en diferentes regiones tienen diferentes reglas de lo que es y lo que no, pero hay una región tan grande y de rápido crecimiento como LACNIC, donde no hay objetos de ruta, RADB es una bendición. Y la presencia de objetos allí, bueno, bueno, que haya objetos allí. Definitivamente mejor que nada.Alexei Semenyaka : La pregunta fue primero para mí, luego estoy muy contento de ver exactamente cuál es un ejemplo ideal de la interacción de la comunidad y RIR. Al principio, la comunidad arrancó el micrófono y dijo: "¿Qué eres, tonto?" Y luego, como RIR, puedo tomar un micrófono y decir: "Sí, estoy totalmente de acuerdo". En general, sería bueno hacer una pregunta, por qué razón esos objetos que pertenecen a la región RIPE, por qué no están en RIPE DB. ¿Es esta una razón religiosa, o por qué?Alexei Uchakin : Esto es solo por su experiencia que mucha basura está escrita en RIPE DB, y simplemente no confían en él.Alexey Semenyaka : Espera, es decir. ¿No confían en sí mismos?Alexei Uchakin : No, no confían en RIPE DB.Alexey Semenyaka: Mira, la posición "No escribo nada en mi objeto, porque no confío en RIPE DB" - suena esquizofrénico, sinceramente.Alexei Uchakin : No quiero hablar por otro ahora, pero tal como está.Alexei Semenyaka : Pospongamos esta discusión ahora, pero sería bueno sentarnos, quizás nos llame y discutamos juntos cómo sucede. Este es un tema de discusión, pero no para toda la audiencia.Alexei Uchakin : Otro segundo punto: ¿debería el RIR monitorear las intercepciones y el uso adecuado de los objetos en su región, o esto debería establecer una nota para BGPMon, Qrator.Radar, para cualquier otra persona?Alexey Semenyaka: Pues mira. Exactamente lo que dije, debemos hacer lo que nuestros miembros, de hecho, nos confiaron. Hablando en términos generales, lo que hacemos vale algún tipo de dinero, este dinero es de alguna manera tomado en cuenta por la membresía, tenemos cierta responsabilidad. Nosotros, como RIR, vemos que este problema es candente y estamos listos para expandir nuestras actividades en esta dirección. Requiere, digamos, calentar a la comunidad y algún tipo de reacción de nuestros grupos de trabajo, de nuestra membresía, que dirá: "Sí, muchachos, este es un tema importante. Vamos a trabajar más aquí. Nosotros, sus miembros, aceptamos que gastará dinero en esto. Nosotros, el grupo de trabajo, estamos listos para crear políticas apropiadas para esto ”. Y estamos listos Pero aquí no puede ser la voz de alguien que llora en el desierto, no puede ser la organización RIR, la organización de 150 personas, RIPE NCC,que está registrado en la ley holandesa, que de repente comienza a hacer todo y resulta. Esto no va a funcionar.Alexei Uchakin : Bien, entonces, en general, mis temas han terminado, ¿tal vez alguien de la audiencia tiene preguntas?Idioma ruso
Idioma ingles