ENOG 15: «Pourquoi Internet est-il toujours en ligne?»

Bonjour, Habr! Il s'agit à la fois d'une transcription et d'une traduction partielle de la session horaire intitulée "Pourquoi Internet est-il toujours en ligne?" de la quinzième réunion du «Groupe eurasien des opérateurs de réseaux».

Qrator Labs remercie tous les participants à la discussion: Alexei Semenyaku, RIPE NCC; Ignas Bagdonas, Equinix; Martina J. Levy, Cloudflare; Alexander Azimov, Qrator Labs et le modérateur Alexei Uchakin de l' équipe de podcast LinkmeUp pour l'autorisation de publier ce texte.

Les ingénieurs réseau et les chercheurs participent à cette discussion, de sorte que la discussion porte principalement sur le routage interdomaine. Vidéo à la fin de la publication. Bonne lecture.

Alexei Uchakin : Bonjour à tous, je m'appelle Alexey, l'équipe LinkmeUp est le premier podcast pour les signaleurs. Pour moi, en fait, un collègue de Qrator Labs a beaucoup parlé de la façon de se défendre contre l'usurpation d'identité, mais je voudrais en fait parler plus largement. Parce qu'Internet est une chose absolument décentralisée et a été créé, en particulier, pour survivre après une explosion nucléaire, mais, comme le montre la pratique, ayant un équipement bon marché et n'ayant pas le droit de configurer BGP, vous pouvez très bien tout casser. Par conséquent, aujourd'hui, je voulais discuter avec des experts de la façon de me protéger contre cela, comment le surveiller et quoi faire avec tout cela.

Participent aujourd'hui: Alexander Azimov - Qrator Labs, Alex Semenyaka - RIPE NCC, Ignas Bagdonas - Equinix et Martin J. Levy - Cloudflare. En fait, chers collègues, la première chose que je voudrais commencer est la première question: dans quelle mesure Internet est-il désormais protégé du fait qu'un opérateur régional relativement petit commencera soudainement à annoncer des préfixes de Google conditionnel, Yandex ou toute autre personne. Existe-t-il une évaluation de la situation actuelle?

Alexander Azimov : Eh bien, permettez-moi de commencer cette triste histoire, car elle est vraiment triste. Malheureusement, les grands opérateurs, y compris en Russie, ont des exceptions, à savoir ils définissent parfois des filtres et parfois non. Je ne veux pas toucher le monde entier des grands opérateurs en Russie, mais une partie importante de ceux que nous considérons comme des opérateurs de niveau 1 ont de telles exceptions. En conséquence, ceux pour lesquels ces exceptions sont mises en œuvre ont la possibilité d'annoncer quoi que ce soit, et cela s'est déjà produit. En fait, nous avons regardé comment Corbin a coulé l'année dernière, comment Vimpelcom a coulé. Il y a ceux à qui le tonnerre n'a pas encore frappé, mais il y a du potentiel.

Alexei Uchakin : Alors maintenant, tout va très mal, non?

Alexei Semenyaka : Alors, n'augmentons pas le degré de suspense - c'est probablement un peu superflu. Eh bien, qu'est-ce que cela signifie de mauvais? Oui, il y a des trous. Sasha a dit à juste titre: quelqu'un filtre, quelqu'un ne filtre pas, c'est-à-dire tout est à ce niveau. Néanmoins, nous commençons ici par le fait qu'Internet a été construit sur les principes de, disons, la compréhension mutuelle et, dans une mesure suffisante, il existe toujours sur ces principes. On suppose que ce n'est pas seulement une conception technique, mais aussi certaines entreprises qui emploient des personnes qui effectuent des actions conscientes. Quand une chose similaire apparaît sur Internet, tout le monde réagit en quelque sorte à la chose entière, quelque chose comme ça. Bien que, en effet, des accidents se produisent régulièrement. Une merveilleuse histoire de confiance - quand tout le monde a fait confiance à Google, et qu'il a pris et quitté le Japon ... enfin, pas vraiment avec Internet. L'histoire est à nouveau l'an dernier, mais c'est un excellent exemple. Je préférerais parler du côté technique, et non de la formulation: tout est-il bon / tout est-il mauvais. Eh bien, c'est, en quelque sorte, c'est une approche trop peu professionnelle.

Alexander Azimov : Eh bien, d'accord, poursuivant cette approche non professionnelle, je poserais une question - un réseau de confiance collective ne peut-il pas devenir un réseau de problèmes collectifs lorsqu'il y a 55 000 objets. Parlant de technologie, maintenant au sein de l'IETF avec la participation possible de Qrator Labs, y compris y compris, mais pas seulement, le thème de la sécurité BGP évolue activement. Il y a de l'espoir que la situation s'améliorera précisément d'un point de vue technique, ce qui corrigera une partie importante des trous dans le protocole BGP et le rendra plus sécurisé, en particulier pour les débutants. Pour qu'ils aient moins d'occasions de se suicider et de tuer d'autres personnes.

Alexei Uchakin : Avez- vous encore besoin d'émettre des droits de configuration BGP?

Alexei Semenyaka : Je pense qu'Ignas a quelque chose à dire.



Ignas Bagdonas : Je dirais, je dirais qu'il y a 2 parties différentes du problème ou 2 groupes de problèmes.

L'un est ces mêmes visages et d'autres choses qui apparaissent à la suite d'une erreur, une erreur non intentionnelle. Gros, gros doigts - quelque chose comme ça. D'une part, nous nous dirigeons vers l'automatisation, et c'est en quelque sorte, nous pouvons dire que ce sera une solution, mais tous les systèmes d'automatisation fonctionnent sur les données. Si nos données sont corrompues ou incorrectes, ce sera la même chose, mais beaucoup plus efficace.

L'autre groupe est celui des attaques intentionnelles spécifiques, et de mon point de vue, la plupart de ces attaques sont menées, et elles réussissent, uniquement parce qu'il y a un niveau assez élevé dans l'ensemble du réseau, disons directement - un gâchis. Il s'agit d'hygiène opérationnelle, qui ne donne de résultat que lorsque tous les participants, ou la plupart des participants y participent et le font plus ou moins correctement. C'est une question d'éducation. Vous êtes ici dans cette salle, vous savez ce qu'est le filtrage, vous savez comment cela fonctionne, mais vous représentez une petite partie de ces personnes qui sont engagées dans le travail technique et le support, et vous ne pouvez pas en conclure que tout le monde a le même niveau de compréhension . Bien sûr, il y a des situations où quelqu'un a lu la documentation d'un fournisseur que vous remplirez une équipe et vous serez heureux. Ils font cela et reçoivent le bonheur, seulement en faisant cela, ils font du mal aux autres, pas exprès et sans s'en rendre compte. Un problème de formation - il est vraiment important dans cette situation. Je vois que cela va dans le bon sens, mais ce n'est pas un processus rapide.

Alexei Semenyaka : Une petite remarque sur l'éducation - l'éducation est vraiment une chose complètement critique ici et exactement la même que dans la partie des problèmes dont nous avons discuté après le rapport de Sasha, tout à l'heure. Il y a un exemple clair qui concerne notre organisation RIPE NCC, nous maintenons, comme vous le comprenez et le savez bien, la base de données RIPE DB. Nous avons des installations de routage là-bas, je me souviens bien de l'époque, c'était récemment - il y a 20 ans - quand la règle du bon goût était de construire des filtres selon RIPE DB. Maintenant, ce n'est absolument pas le cas - il y a des organisations qui le font à leurs risques et périls, mais beaucoup se plaignent que si vous croyez simplement ce qui est écrit dans RIPE DB, vous vous tirez les jambes. Nous ne faisons que diriger, nous sommes les opérateurs techniques de RIPE DB, nous ne pouvons pas vous forcer à écrire la vérité, c'est-à-dire Je n'ai pas de droits, vous ne nous avez pas donné de tels droits, vous ne nous avez pas dit: "s'il vous plaît, assurez-vous que quelque chose de correct y est écrit." Et vous, en fait, chers participants, y écrivez régulièrement toutes sortes de déchets. Oui, c'est un problème d'échelle et un problème d'éducation, superposés les uns aux autres. Pas parce que vous êtes stupide ou pas parce que vous n'avez pas assez d'éducation concernant le protocole BGP. Non, c'est juste, vraiment, un gâchis. Vous ne mettez pas la main dessus, vous n'avez pas le temps de le comprendre, vous ne comprenez pas pourquoi cela est nécessaire, et pour former un nombre très croissant de participants, c'est vraiment un très grand défi, qui, en fait, est efficace pour le moment, à mon avis le regard n'est pas résolu. C'est vraiment un problème d'éducation, mais pas dans le sens d'un problème d'éducation que quelqu'un pourrait faire et ne pas faire, on ne sait vraiment pas comment le faire dans le contexte de la croissance d'Internet, du nombre croissant de participants, etc. etc. Il s'agit d'un problème plus ou moins systémique. Martin?

Martin Levy : Vous m'avez un peu ramené du sujet d'origine - je vais revenir en premier. J'ai déjà les cheveux gris, tu vois? C'est parce que je suis impliqué dans le réseautage depuis très longtemps. Et comme base de tout Internet, nous avons des protocoles qui ont été créés bien avant qu'il n'atteigne son échelle moderne. Qui parmi les personnes présentes sait qui a été le premier à proposer une connexion Internet en Russie? Peu importe qui c'était, il est important de savoir combien de personnes le savent et il est important que vous le sachiez. Et si vous aviez besoin de décrocher le téléphone et d'appeler quelque part - vous saviez qui appeler. Et qui parmi les personnes présentes dirige l'ASN et ne me connaît pas ou ne connaît pas d'autres personnes qui ont levé la main? Le protocole ne peut tout simplement pas suivre ce taux de croissance. Et tout ce dont nous avons parlé lors des précédents ENOG et il y a 10 minutes ou lors d'autres conférences, c'est une chose. Comment rattraper le taux de croissance. Parce que l'une des choses les plus étonnantes sur Internet et les protocoles est qu'ils ne sont pas à 100% hors du processus, mais surtout à l'intérieur de l'IETF.

Il existe une expression comme «innovation sans permission» - les protocoles existants «n'ont pas demandé la permission» aux opérateurs de télécommunications ou aux fournisseurs Internet. Ils ont été créés par le type de personnes qui sont ici aujourd'hui - et ces choses fonctionnent. Une grande partie de ce que vous avez dit ici concerne la manière de rattraper le retard, ce qui manque ou ce sur quoi nous devons tous nous mettre d'accord. Les choses sont philosophiques, mais je voudrais rester banal. Et en ce moment, je dois dire que vous vous trompez. Je vais expliquer: la seule façon dont Internet moderne fonctionne est de prendre en charge ces bases de données de routes, que nous sommes paresseux, je le répéterai - paresseusement, nous utilisons pour empêcher quelqu'un d'interférer avec la connectivité normale de l'autre. Aujourd'hui à midi, nous avons discuté: Je suis propriétaire d'un réseau que quelqu'un a essayé de manipuler il y a moins de 5 jours. Et bien que le visage de la déroute n'ait duré que 30 ou 40 secondes - sur Twitter et d'autres réseaux sociaux, il a duré plusieurs jours. J'ai donc un intérêt réel et déterminé à vous convaincre, vous et tous les autres, de vous convaincre qu'il s'agit d'un sujet très important. Alors laissez-moi vous expliquer où, à mon avis, vous vous êtes trompé et pourquoi j'ai réagi ainsi. Quelqu'un à un moment donné devrait être responsable d'être le propriétaire de ces données qui permettraient de réclamer une annonce légitime ou illégitime. Parce que spécifiquement dans cet environnement «sans autorisation» ne fonctionne pas très bien. Et puisque vous êtes un participant du RIR dans cette discussion, je reviens vers vous et vous demande: "Est-ce difficile pour vous de maintenir l'IRR dans un état propre et correct?" C'est difficile pour tout le monde. Quelqu'un devrait se lever et dire: «Assez. Je trouverai des moyens de le réparer et de faire mieux. » La deuxième partie de ma réponse est que certaines des personnes présentes devront commencer ce processus et maintenant je vais vous choisir comme RIR pour cette tâche. Voyons où cette discussion va plus loin.



Alexei Semenyaka : Premièrement, je ne peux pas être d'accord avec le désaccord car cela ne contredit en rien ce que j'ai dit. Je n'ai pas dit que nos données sont des absurdités absolues; j'ai parlé du fait qu'il y a beaucoup de cas où des absurdités y sont écrites. Heureusement, pas toujours. La partie routage de la base de données est une partie assez importante, mais en quelque sorte cela fonctionne. Surtout là où il y a application - le maintien de la pertinence de ces données fonctionne particulièrement bien, en particulier lorsqu'il s'agit d'un opérateur responsable qui travaille avec ses liaisons descendantes. Ou presque toujours, cela fonctionne - ces enregistrements sont pertinents pour les points d'échange de trafic, car les points d'échange de trafic surveillent très attentivement ce qui est écrit dans leur base de données. Disons simplement pour la plupart. Le désordre est là - le désordre, malheureusement, n'est pas un point, il est plus ou moins distribué, mais, heureusement, c'est un problème, pas une catastrophe. Martin, je suis désolé, disons simplement que c'est une suite volée de la conversation. Je suis tout à fait d'accord pour que nous traitions de cette question. Sasha veut juste me prendre le microphone et dire que c'est lui qui va faire ça, je comprends bien? Mais je suis toujours d'accord. Un autre Sasha du public suggère qu'il y a encore quelqu'un. C'est vrai, mais dans la communauté Internet, comme nous le comprenons, la pression du RIR ne fonctionne pas. Si le RIR commence à peine à faire pression sur les participants et à dire: «Alors, tout le monde s'est rapidement formé et est parti en formation» - il ne se passera rien. La discussion fonctionne, la cristallisation du problème fonctionne, la création, en fait, de travaux de sensibilisation. C'est la même partie de l'éducation, dans un sens, et quand elle est terminée, les mêmes personnes apparaissent avec qui nous pouvons travailler et avec qui, en tant que RIR, nous ferons de notre mieux pour promouvoir. Nous avons vraiment un système qui nous permet de surveiller comment ce qui se passe - et nous sommes prêts à faire avancer ce problème, mais nous ne pouvons pas remplacer la communauté. Nous pouvons travailler avec la communauté - nous pouvons, nous serons prêts, mais nous ne pouvons pas remplacer la communauté - nous ne pouvons pas créer ceux qui le feront.

Alexander Azimov : Revenons un peu en arrière - nous devons encore trouver la racine du mal et essayer de prouver qu'il s'agit du RIR. Habituellement, lorsque vous ajoutez un numéro de système autonome à votre SET, si vous êtes en transit, faites-vous cela dans quel but? Afin de leur fournir un service. Pas pour les protéger demain ou pour que tout fonctionne bien pour eux, mais pour que leurs supérieurs ajoutent leur préfixe à SET, et pour que tout marche plus loin. Et à quelle fréquence supprimez-vous de votre SET ce qui a été ajouté précédemment? Veuillez lever la main ceux qui ne le font pas ou le font rarement? (lève la main) Je vais être honnête ici. (question du public: «Assez rarement?») Oui, au cas par cas. En fait, en attribuant une protection aux visages, des détournements aux AS-SET, nous nous sommes tous mélangés, en fait. Ce mécanisme a été développé dans un autre but. Ils sont connectés, mais le cas d'utilisation est différent. Dans ce cas, en fait, la délégation de sécurité a lieu, car votre numéro peut généralement être ajouté par n'importe qui à d'autres joueurs. Et corriger structurellement le protocole BGP n'est possible que si, répondant à ce que Martin a dit, ce n'est que si votre sécurité ne dépendra que de vos actions. Et plus de personne. En fait, à mon avis, le protocole et son changement devraient évoluer dans ce sens.

Martin Levy : Protocole - cela ne dépend que des données. Si les ordures sont à l'intérieur, les ordures sont à l'extérieur. Les ordures, les ordures, c'est tout.



Alexander Azimov : Je suis confus. Le problème est que les ordures peuvent toujours être créées, mais je veux vivre dans une situation où seul moi-même peut créer des ordures pour mes réseaux. Je serai responsable de la création des ordures. La situation lorsque d'autres joueurs créent des ordures pour mon réseau est une impasse. Et, inversement, je veux être responsable de la sécurité de mon réseau.

Martin Levy : Je suis d'accord avec ça, je comprends bien. Essayons alors quelque chose de nouveau et, d'autre part, abordons ce problème. Où puis-je envoyer une facture ou une demande de prépaiement lorsque quelque chose arrive sur mon réseau? Et ça vient là - quelque chose que je n'ai pas demandé, quelque chose qui a traversé de nombreux joueurs et qui n'a aucune valeur pour moi. Je peux envoyer moi-même beaucoup de demandes de paiement, comment vais-je gérer tout ce volume? C'est une question rhétorique dans une certaine mesure, car nous savons qu'elle ne peut pas exister. Mais en même temps, c'est un excellent argument contre cela. Nous sommes tous dans le même bateau en ce moment en raison du nombre limité et de la qualité des filtres. Et il s'agit d'un trafic assez important qui pourrait ne pas exister. Nous pouvons également en discuter non pas du point de vue des données, mais du point de vue du contrôle (c'est-à-dire du plan de données / plan de contrôle) ou du point de vue de la qualité du routage BGP et parler de désagrégation excessive - mais c'est une autre affaire.

Alexei Uchakin : Eh bien, c'est une autre question. Mais nous avons une base de données RIPE, nous avons une base de données d'autres LIR, et nous donnons à un honnête pionnier que nous nous comportons nous-mêmes et y écrivons les données correctes. Et comment vous protéger de l'usurpation d'identité - du fait que nous pouvons annoncer le numéro autonome de quelqu'un d'autre et avec les mêmes adresses valides pour cette autonomie, mais pour certaines de nos fins. BGPSec c RPKI peut-il nous aider d'une manière ou d'une autre?

Alexander Azimov : BGPSec ne peut pas nous aider, désolé.

Alexey Uchakin : Autrement dit, ce sera, comme avec DNSSec, que l'idée est bonne, mais personne ne postule?

Alexey Semenyaka : Je pense qu'en ce qui concerne BGPSec, nous devrions demander au représentant de l'avenir, c'est-à-dire Ignas. C'est qui est responsable de l'avenir, nous parlons du présent. BGPSec n'a pas l'intention de prendre en charge un fournisseur. Je ne parle pas de matériel - jusqu'à présent, aucun fournisseur n'a ajouté de feuille de route. Nous, les gens qui sont plus ou moins pertinents pour BGPSec, aurons probablement du mal à en discuter. Dans un monde idéal, imaginez que nous avons RPKI, il y a une base de données absolument précise, et tout le monde valide tout - tout le monde vérifie le RPKI, et tout le monde vérifie s'il s'agit de ce qu'il voit dans la base de données. Ensuite, tout fonctionnera. Je doute que c'était une question - mais je conviens que dans un monde idéal, tout fonctionnera.

Alexei Uchakin : Et sinon parfait?

Alexei Semenyaka : Et si en réalité, ce ne sera pas le cas.

Alexey Uchakin : Pourquoi alors en général RPKI?

Ignas Bagdonas : Moi qui regarde vers l'avenir, je répondrai brièvement: "L'avenir sera brillant." Mais jusqu'à ce que ce moment arrive, il y aura beaucoup d'obscurité, un gâchis et d'autres choses. BGPSec et autres activités connexes? Rien de mal à la communauté universitaire, BGPSec, pour la plupart, est une expérience académique. Oui, il semble qu'il soit plein, théoriquement, cela peut fonctionner et théoriquement, il peut résoudre les problèmes qui lui ont été imposés, mais si nous regardons du côté pratique, alors tout semble un peu différent. Un aspect très simple: si, par exemple, des tests de performances ont été effectués, des performances simples, la rapidité de la validation. Si je peux valider 50 mises à jour de préfixe par seconde, j'obtiens un flux complet. Il me faudra beaucoup plus de temps pour terminer le processus, et pendant ce temps, la moitié de tout changera déjà plusieurs fois. Oui, c'est un mécanisme de résolution presque parfait. Avons-nous besoin de lui? Probablement.D'un autre côté, si nous avions un mécanisme qui résoudrait au moins 80% de tout, eh bien, 85%, eh bien, au moins 85,5% des problèmes que nous avons en pratique, mais qui ne fonctionnaient pas dans certains cas difficiles et exceptionnels . Je pense qu'un tel mécanisme et une telle approche seraient beaucoup plus pratiques, et les fournisseurs les implémenteraient tous et les utiliseraient tous. S'exprimant de la part des vendeurs, leur réponse est très simple: "Êtes-vous prêt à payer autant que cela coûtera quand nous le ferons, en tant que produit?" Et la réponse des mêmes opérateurs n'est pas évidente. J'ai entendu quelqu'un dire «oui» dans le couloir, mais beaucoup disent «bien sûr que non». «N'y pensez même pas - c'est votre problème, vous vous en rendrez compte, nous achèterons votre plateforme, et ce qu'elle fait - pourquoi devrions-nous payer quelque chose? Nous pensons simplement que cela devrait être tout. "Il en résulte un cercle vicieux. Oui, nous avons tous les protocoles, toutes les mécaniques et autres choses. Nous avons des bases de données - ce sont des ordures. Si nous mettons tout cela ensemble, la solution est pour ainsi dire, mais cela ne peut pas fonctionner purement technique lorsque tous les composants sont connectés ensemble. Et même si cela peut fonctionner, avec les données qui sont dans le système, là encore, il n'y aura pas de résultat positif. C'est un tel cycle et il n'est pas très évident de savoir comment s'en sortir. Oui, l'IETF et d'autres organisations travaillent sur BGPSec depuis plus d'une décennie, et il s'avère que beaucoup de gens ont donné beaucoup de temps et d'efforts, et il s'est avéré qu'il s'agissait d'une sorte de produit semi-fini, si je peux dire, qui semble fonctionner, mais il ne peut pas être utilisé. Que faire maintenant? Essayer d'apporter BGPSec à l'esprit, un esprit pratique, ou tout simplement de dire que oui, c'était une erreur / victoire, dépend de votre point de vue,jetez tout et recommencez.



Martin Levy : Si vous tenez compte des 50 secondes que vous avez nommées, vous disposez d'environ 4 à 5 heures pour valider le tableau complet, ce qui est tout simplement inacceptable si vous êtes un opérateur.

Ignas Bagdonas : Oui, oui. Ce sont les données qui ont été obtenues lors des tests de performance IETF - BGPSec qui y ont été conduits sur des équipements modernes.

Alexey Semenyaka: Un équipement moderne! Il y avait une question qui n'a pas reçu de réponse. Je vais dire brièvement. Je suis absolument d'accord avec ce qu'Ignas a dit sur le fait que si vous pouvez filtrer un grand nombre de cas simples, c'est très utile à faire. Trouver une solution miracle n'est pas une méthode dans l'industrie, cela ne fonctionne pas de cette façon. Les approches pratiques fonctionnent. L'histoire de RPKI est exactement cette histoire. C'est une histoire pour filtrer les cas causés par le syndrome du doigt épais. Bien sûr, un attaquant ne coûte rien pour contourner la protection RPKI, environ, rien. Mais dans la grande majorité des cas, les gens qui le mesurent, qui connaissent les chiffres, sont assis à ma gauche et à ma droite. Je vais maintenant passer le micro à Sasha Azimov, Martin, je pense, commentera également cela. Le nombre d'incidents que nous voyons dans le protocole BGP et qui est causé par le syndrome des "doigts épais" est énorme.S'il est possible de le réduire, cela doit être fait. En fait, c'est précisément cette approche qui a soutenu RPKI - ce n'était pas une solution miracle et non une tentative de protéger l'intégrité d'un attaquant, c'est-à-dire une personne qui essaie de faire quelque chose exprès. Mais, dans tous les cas, si vous devez trier un conteneur à ordures entier ou une petite boîte pour rechercher quelque chose, des preuves, le deuxième cas est beaucoup plus simple. Cela, en particulier, peut aider à identifier les cas où quelque chose est fait intentionnellement, si, néanmoins, le nombre de cas non intentionnels dans notre pays diminue, car dans le tas actuel, ils sont très difficiles à voir. L'attribution de certaines attaques de routage a commencé récemment. Je suis sûr qu'ils l'étaient avant, mais certains cas d'attribution prouvés, ils sont tout à fait nouveaux. Quand il était clair que oui, c'était une attaque de routage,qui a vraiment été réalisée par des malfaiteurs et ils ont obtenu telle ou telle chose. Au cours des dernières années, il y a déjà n-ème cas, et avant cela, c'était seulement au niveau des soupçons, pour la plupart.

: Je vais continuer ce que Alexey et Martin ont dit. Récemment, ils ont commencé à m'accuser d'avoir un regard très déprimant sur BGP. C'est probablement en partie vrai. Cependant, cette année, il y a eu un événement qui, à mon avis, sera très, très important pour l'industrie. Depuis de nombreuses années, il y a eu des tentatives pour lancer massivement la validation ROA, ce que nous appelons RPKI. Pourquoi est-ce important? Parce qu'il ne peut pas résoudre le problème des visages, il ne peut pas résoudre le problème de l'activité malveillante - il ne résout que le problème des détournements accidentels. Cela résout le problème de la même fuite statique qui se produit tout le temps. Ce qui s'est passé en Russie il n'y a pas si longtemps, ce que Cloudflare est maintenant accroché à son service DNS, heureusement, pas pour longtemps. Et c'est une façon de se battre. Et la bonne nouvelle n'est pas que le RPKI lui-même soit sorti depuis un certain temps. Le problème n'est pas seulementqu'une anomalie se produit, mais qu'elle se propage. Si l'anomalie ne se propage pas, le niveau de catastrophe diminuera considérablement. Et, en fait, enfin, la bonne nouvelle est que les principaux IX européens, tels que MSK-IX, y compris DEC-IX, y compris AMS-IX, vont commencer à supprimer des routes invalides dans un avenir proche, selon le ROA. Qu'est-ce que cela signifie?Cela signifie que si vous signez votre espace d'adressage, c'est-à-dire que vous pensez à votre propre sécurité, vous augmenterez les chances que la prochaine fois qu'une anomalie se produise quelque part, cela ne supprimera pas tout ou un pourcentage important de votre trafic, mais il peut être localisé. Par conséquent, je vous recommande fortement de signer votre espace d'adressage - ce n'est pas difficile. Aujourd'hui avec Alexei Semenyaka après cette section, nous allons faire un atelier et essayer d'aider ceux qui ont des questions techniques à le faire. Oui, nous travaillerons ici exclusivement pour la région RIPE. En fait, RIPE a fait un excellent travail et c'est très, très facile à faire, cela m'a pris 10 minutes. Je pense que vous vous en sortirez plus vite.

Alexey Semenyaka: Dans tous les cas, l'atelier est destiné à ceux qui peuvent accéder au portail LIR. Si vous n'avez pas accès à votre portail LIR, je suis désolé. Vous pouvez aussi venir, mais alors vous n'aurez qu'à regarder par derrière, malheureusement. Pour ceux qui ont accès au portail LIR - c'est l'occasion de le faire dès aujourd'hui, maintenant, ici.



Martin Levy : Je n'ai pas d'autre choix que de soutenir - c'est la bonne direction. Mise à jour pour vous - AMS-IX filtre désormais à 100% les annonces selon RPKI, comme deux semaines. Tous les opérateurs IX, ceux qui maintiennent la base de données de routes dans leur IX, devraient également en savoir plus. Vous pouvez le faire par l'exemple de AMS-IX - tout d'abord, collectez et analysez le logiciel en douceur, puis implémentez le filtrage dans le matériel sur les données RPKI et RIR.

Alexander Azimov: Ce sont juste d'excellentes nouvelles! C'est une chose de dire qu'ils ne le seront que, et une autre quand cela a déjà commencé. Il y a encore un point important qui, avec le début de l'utilisation active, est une expérience dans l'utilisation opérationnelle de la validation du ROA. En conséquence, après les IX, après les premières erreurs, le transit commencera à se rattraper - je veux vraiment y croire.

Martin Levy: Et c'est un point clé. Vous avez invité des gens à étudier et dit que c'était facile. Permettez-moi de vous montrer l'autre côté. Pour chaque réseau de cette région qui utilise des fournisseurs de transport en commun qui ont en quelque sorte du peering dans d'autres villes d'Europe, comme Amsterdam, Francfort ou Londres ... Je vais parler d'Amsterdam maintenant, car je crois que tout grand réseau se connecte à Amsterdam à un moment donné. Si un tel réseau n'a pas d'enregistrement IRR valide ou, plus important encore, un enregistrement RPKI, alors l'itinéraire ne passera pas par le serveur d'itinéraire. C'est pourquoi vous n'obtiendrez pas le chemin de trafic optimal. Aujourd'hui, vous pouvez passer par Francfort, mais cela va bientôt changer. Quelqu'un ici dans le public pourrait probablement dire «quand». Peut-être que le trafic passera par Londres, Varsovie - c'est déjà une tendance.Même si nous n'avons qu'un seul point supplémentaire, nous pouvons déjà dire que c'est une tendance. Et, ainsi, obtenir des données précises sur les itinéraires dans l'intérêt d'un tel réseau est beaucoup plus maintenant qu'il y a 2 semaines. J'espère que cela continuera à l'avenir, mais la motivation pour dire: "Hé, c'est simple, venez et nous allons montrer" - c'est une chose. À mon avis, il serait préférable que vous disiez: "Si vous ne venez pas en master class, votre réseau ne fonctionnera pas assez efficacement."votre réseau ne fonctionnera pas assez efficacement. "votre réseau ne fonctionnera pas assez efficacement. "

Alexander Azimov : Et en général, c'est toujours bon quand on a de la motivation. J'ai bien peur que Martin ne comprenne pas cette blague, mais quand on a des carottes devant et derrière. Dans notre région, cela fonctionne particulièrement bien.

Alexei Uchakin : Eh bien, alors cette question: est-ce que je comprends bien que fondamentalement la même validation RPKI et ROA et tout le reste est déjà une chose si inévitable? Le protocole BGP, à l'origine, était basé sur la confiance et, au début, il s'est développé si rapidement, en fait, parce que le protocole est basé sur la confiance mutuelle, que les membres de la communauté se font confiance. Et maintenant, nous parlons de choses qui restreignent généralement la liberté, pour ainsi dire. Cela ne sera-t-il pas un frein au développement d'Internet en général, ou s'agit-il d'une nécessité directe, une nécessité qui a longtemps existé?

Alexey Semenyaka: Dites-moi, les serrures de porte empêchent-elles beaucoup les gens de se rendre visite?

Alexey Uchakin : Non, eh bien, je comprends.

Alexey Semenyaka: Eh bien, c'est exactement ce dont nous parlons. Sur les mécanismes qui n'interfèrent pas avec les personnes qui font une activité normale, pour construire des réseaux. Ce dont nous discutons, c'est d'une technologie assez bon marché. BGPSec et ce qu'Ignas a dit est dans le futur, mais pour le moment c'est une technologie trop lourde. Ce dont nous discutons maintenant, c'est d'une technologie bon marché qui ressemble à une serrure de porte. Oui, pour nous rendre visite, nous devons d'abord sortir d'ici, c'est-à-dire ouvrir le château, fermer le château, venez appeler le château - là, ils nous ouvriront, puis ils nous fermeront. C'est bon marché par rapport à tout l'historique du voyage, non? Quant à l'inévitabilité - je voudrais croire. Excusez-moi, Arno Dniper, est-il dans le public maintenant, ou est-il absent? Lui, en tant que représentant de DE-CIX aimerait savoir, a-t-il des plans? Non?Eh bien, MSK-IX, ils sont définitivement là. MSK-IX dites-moi, avez-vous des plans pour introduire la validation?



Alexander Ilyin, Directeur technique MSK-IX: Nous menons ces expériences depuis l’année dernière, c’est juste que notre tâche est de tout régler correctement, non seulement du point de vue de la validation, mais aussi de ce qu’il faut faire avec ceux qui ont signé incorrectement ou n’ont pas signé du tout. Nous voulons créer une boîte à outils qui effectuerait immédiatement un travail explicatif avec eux, comme nous le faisons maintenant pour toutes les erreurs que nous rencontrons dans les objets de route. S'il y a une divergence maintenant, une lettre sera automatiquement envoyée immédiatement avec une demande pour corriger ce problème. En particulier, l'autre jour, nous avons même trouvé une boucle dans la description AS-SET des participants, c'est-à-dire que ces choses sont assez importantes. À mon avis, cela n'est pas moins important que de valider - également mener un travail explicatif avec ceux qui ne le font pas ou qui font le mal.

Alexey Semenyaka : Juste une question sur l'exactitude des informations dans RIPE DB. Merci beaucoup.Ici, nous assistons à une histoire quand il y a quelqu'un à contrôler, où il est contrôlé - la précision est en quelque sorte assurée. En raison notamment de ces mécanismes disponibles localement, ils contribuent grandement à la précision du routage des parties des bases de données RIR. Oui, l'approche ici, bien sûr, devrait être plus systématique, à mon avis. À mon avis, à propos de «comment c'est inévitable» - je pense que la pénétration augmentera, mais s'attendre à ce que dans les 1-3 prochaines années cette technologie atteigne une pénétration proche de 100%, c'est très naïf.

Martin Levy: Oui, près de 100% - peu probable, pas même besoin de viser. Je ne peux que dire de bonnes choses sur le MSK-IX. C'est un voyage difficile - vous savez, et je sais, mais si vous ne commencez pas, vous ne verrez jamais comment ce chemin se termine et où il mène. En réalité, en revenant aux toutes premières parties de la conversation qu'il était autrefois très facile pour un réseau de rejoindre une communauté mondiale, c'est devenu beaucoup plus difficile. Fin 1990 lorsque vous avez configuré BGP pour la première fois, c'était si facile et, dans la plupart des cas, cela vient d'annoncer et de fonctionner, et maintenant nous avons grandi et cet "enfant naïf" devrait grandir et commencer à construire des systèmes beaucoup plus complexes. Les échanges de trafic, en grande partie, sont des portails importants pour le réseau et en même temps un test. Si vous, par exemple, en tant que participant à IX, vous recevez une lettre où ils vous disent:"Votre routage ici n'est pas très correct, la base des chemins ou les paramètres RPKI." C'est très facile de le faire aujourd'hui. Vous voyez des erreurs ou vous voyez du succès. Dans ce cas, vous avez généralement de bonnes chances de communiquer efficacement avec le public. Dans les grands points d'échange de trafic, cela est aussi important que dans les petits - parfois petits, simplement en raison de l'échelle, où il est plus facile de contacter tous les participants à l'échange. Mais revenons un peu en arrière et parlons de technologie. Je n'ai pas encore eu l'occasion de dire ce que je pense de BGPSec, mais Ignace s'est exprimé assez complètement. C'est un excellent protocole académique, mais en tant qu'opérateur de réseau, je ne l'utiliserai jamais - il est trop complexe et n'est pas conçu pour de vrais opérateurs, mais comme un exercice académique. Alors maintenant, en tant que communauté, nous devons arriver à une compréhension de ce qui sera la prochaine chose,ce que nous ferons à l'IETF. Nous n'avons qu'un seul problème - le manque de temps. RPKI a déjà dix ans, à compter des premières ébauches - à la fin de cette année, il sera de 10. Maintenant, nous n'avons pas dix ans pour apporter des améliorations - nous devons en quelque sorte faire face aux problèmes en utilisant ce qui est disponible. Je l'ai déjà dit un peu plus tôt, peut-être sur un ton ironique, maintenant je vais le répéter sérieusement: "Cela vaut quelque chose pour nous tous", une telle approche. Il existe des méthodes standard de comptage pour le commerce électronique, disons que vous êtes une banque ou un opérateur de paiement, que vous allez en ligne et que vous n'êtes pas disponible pendant 5 minutes. Ce sont des pertes absolument réelles, dans n'importe quelle devise, n'importe où dans le monde - c'est de l'argent. C'est là que notre besoin grandit, en tant que communauté d'ingénieurs réseau, de réaliser qu'aujourd'hui Internet n'est plus ce terrain de jeu inoffensif,ce qu'elle avait 30 ans il y a quelques années. Maintenant, il contient presque toutes les personnes du monde, presque toutes les entreprises du monde. Nous ne pouvons plus nous comporter de manière ludique - nous devons devenir plus sérieux, expliquer aux consommateurs pourquoi quelque chose a été déconnecté pendant 5 minutes. Mais il s'avère que nous ne voulons pas faire cela.

: Concernant 100% et l'envie de 100%. Est-ce nécessaire et est-ce mal? Supposons que nous essayons de résoudre un problème avec BGPSec ou de créer un nouveau BGPSec qui résout 100% des problèmes qui lui sont imposés. Mais cela ne fonctionnera-t-il pas pour nous la même chose que nous avons déjà, fonctionnant également de la même manière? Pas du tout évident. S'il y avait un mécanisme qui résout le plus, eh bien, 80%, des problèmes fondamentaux, mais ce qui reste est résolu d'une manière ou d'une autre. Mais, si tel était le cas dans l'ensemble du réseau mondial, appelons-la la «masse critique» que la plupart des acteurs du réseau font la validation, le filtrage - en général, l'hygiène opérationnelle qui doit être observée - cela réduirait considérablement les risques de problèmes et ceux qui ne le font pas. Et les attaques, elles seraient plus localisées potentiellement avec moins de menace,avec moins de mal et d'autres actes. Un autre commentaire sur les changements dans les protocoles BGP, les architectures et d'autres sujets: l'Internet actuel, il est trop grand pour pouvoir changer quoi que ce soit sans tout casser. Oui, il y a 30 ans, vous pouviez remplacer BGP par quelque chose d'autre qui résout tous les problèmes. Premièrement, à cette époque, nous ne savions pas, ne prévoyions même pas tous ces problèmes. Deuxièmement, le remplacement de BGP par quelque chose d'autre en ce moment ne me semble pas faisable personnellement parce que nous comptons trop sur BGP.à cette époque, nous ne savions pas, ne prévoyions même pas tous ces problèmes. Deuxièmement, le remplacement de BGP par quelque chose d'autre en ce moment ne me semble pas faisable personnellement parce que nous comptons trop sur BGP.à cette époque, nous ne savions pas, ne prévoyions même pas tous ces problèmes. Deuxièmement, le remplacement de BGP par quelque chose d'autre en ce moment ne me semble pas faisable personnellement parce que nous comptons trop sur BGP.



Alexei Uchakin : Que faire avec ceux qui n'ont pas d'objets dans RIPE? Ma liaison montante fonctionne en Europe, mais elle n'a aucun objet dans RIPE DB - elle ne l'utilise pas comme base de données alternative. Que faire avec ceux qui, pour diverses raisons, n'utilisent pas RIPE DB?

Martin Levy : Comment est le nom et la honte en russe? "Nom et honte." Parce que c'est la réponse la plus simple à cela. Nous devons utiliser la communauté, convaincre la communauté de la nécessité d'une amélioration. Il s'agit d'un Internet collectif - montrez du doigt quelqu'un qui a honte. C'est peut-être la seule façon correcte d'avancer - pour dire qui est mauvais et qui est bon, et comment s'y conformer.

Alexander Azimov : Une contre-question: votre opérateur supérieur est-il de la région européenne?

Alexey Uchakin: Eh bien, formellement, oui, mais cela fonctionne à la fois en Europe et en Amérique.

Alexander Azimov : Non, il n'a aucun objet? Ou n'a-t-il aucun objet dans RIPE DB?

Alexei Uchakin : Il a un objet dans AS, mais aucun objet route dans RIPE DB.

Alexander Azimov : At -il des objets dans d'autres bases?

Alexey Uchakin : Au RADB.

Alexander Azimov : Eh bien, ce n'est en fait pas une situation aussi dramatique qu'il y paraissait à première vue.

Alexei Uchakin : Non, il n'utilise simplement pas RIPE DB.

Alexander Azimov: RIPE DB est remarquable pour avoir une autorisation. Il n'a d'autorisation que pour les membres. Il n'y a aucune autorisation pour les réseaux externes. Il se trouve, en fait, la même inscription sur la clôture - créer des objets de toute nature, n'importe qui, etc. Et cette discussion se poursuit lors des réunions du RIPE dans le cadre des groupes de bases de données: «Que devons-nous faire avec les objets étrangers?», Continue maintenant. Nous avons convenu de les étiqueter au moins séparément, de sorte qu'il était immédiatement clair que ces objets ne devaient pas faire autant confiance que les autres. Et RADB ... dans une situation où différents bureaux d'enregistrement dans différentes régions ont des règles différentes de ce qui est et de ce qui ne l'est pas, mais il y a une région aussi grande et à croissance rapide comme LACNIC, où il n'y a aucun objet route du tout, RADB est une bénédiction. Et la présence d'objets là-bas, eh bien, qu'il y ait des objets là-bas. Certainement mieux que rien.

Alexei Semenyaka : La question était d'abord pour moi, puis je suis très heureux de voir exactement ce qui est un exemple idéal de l'interaction de la communauté et du RIR. Au début, la communauté a arraché le microphone et a dit: "Qu'est-ce que vous êtes, vous dupe du tout?" Et puis moi, comme RIR, je peux prendre un microphone et dire: "Oui, je suis totalement d'accord." En général, il serait bien de poser une question, pour quelle raison ces objets qui appartiennent à la région RIPE - pourquoi ils ne sont pas dans RIPE DB. Est-ce une raison religieuse ou pourquoi?

Alexei Uchakin : C'est juste d'après leur expérience que beaucoup de déchets sont écrits dans RIPE DB, et ils ne lui font tout simplement pas confiance.

Alexey Semenyaka : Attendez, c'est-à-dire ils ne se font pas confiance?

Alexei Uchakin : Non, ils ne font pas confiance à RIPE DB.

Alexey Semenyaka: Regardez, la position "Je n'écris rien sur mon objet, parce que je ne fais pas confiance à RIPE DB" - ça sonne schizophrène, honnêtement.

Alexei Uchakin : Je ne veux pas parler pour un autre maintenant, mais tel quel.

Alexei Semenyaka : reportons cette discussion maintenant, mais ce serait bien de nous asseoir, peut-être de nous appeler et de discuter ensemble de la façon dont cela se passe. C'est un sujet de discussion, mais pas pour l'ensemble du public.

Alexei Uchakin : Un autre deuxième point: le RIR devrait-il surveiller les interceptions et la bonne utilisation des objets dans sa région, ou cela devrait-il donner une note à BGPMon, Qrator.Radar, à quelqu'un d'autre?

Alexey Semenyaka: Eh bien, regardez. Exactement ce que j'ai dit, nous devons faire ce que nos membres nous ont en fait confié. En gros, ce que nous faisons vaut une sorte d'argent, cet argent est en quelque sorte pris en compte par les membres - nous avons une certaine responsabilité. En tant que RIR, nous constatons que ce problème est brûlant et nous sommes prêts à étendre nos activités dans ce sens. Cela demande, disons, de réchauffer la communauté et une sorte de réaction de nos groupes de travail, de nos membres, qui diront: «Oui les gars, c'est une question importante - laissez-nous travailler plus ici. Nous - vos membres - convenons que vous dépenserez de l'argent pour cela. Nous, le groupe de travail, sommes prêts à créer des politiques appropriées à cet effet. » Et nous sommes prêts. Mais ici ça ne peut pas être la voix de quelqu'un qui pleure dans le désert, ça ne peut pas être l'organisation RIR, l'organisation de 150 personnes, RIPE NCC,qui est enregistré dans la loi néerlandaise, qui commence soudainement à tout faire et il s'avère. Cela ne fonctionnera pas.

Alexei Uchakin : D'accord, alors, en général, mes sujets sont terminés, peut-être que quelqu'un du public a des questions?


Langue russe


Langue anglaise