इंटरनेट अभी भी ऑनलाइन क्यों है?

लगता है कि इंटरनेट एक मजबूत, स्वतंत्र और अविनाशी संरचना है। सिद्धांत रूप में, नेटवर्क की ताकत परमाणु विस्फोट से बचने के लिए पर्याप्त है। वास्तव में, इंटरनेट एक छोटे राउटर को गिरा सकता है। सभी इस तथ्य के कारण कि इंटरनेट बिल्लियों के बारे में विरोधाभासों, कमजोरियों, त्रुटियों और वीडियो का एक ढेर है। इंटरनेट का आधार - बीजीपी - में समस्याओं का एक समूह होता है। यह आश्चर्यजनक है कि वह अभी भी सांस ले रहा है। इंटरनेट पर त्रुटियों के अलावा, बाकी सभी लोग इसे तोड़ रहे हैं: बड़े इंटरनेट प्रदाता, निगम, राज्य और DDoS हमले। इसके साथ क्या करना है और इसके साथ कैसे रहना है?



IQ Option में नेटवर्क इंजीनियरिंग टीम के नेता एलेक्सी उचिन ( नाइट_स्नेक ) को इसका जवाब पता है। इसका मुख्य कार्य उपयोगकर्ताओं के लिए मंच की पहुंच है। सेंट हाईलाड ++ 2019 में एलेक्सी की रिपोर्ट को खारिज करने में, हम बीजीपी, डीडीओएस हमलों, इंटरनेट डिस्कनेक्ट, प्रदाता त्रुटियों, विकेंद्रीकरण और उन मामलों के बारे में बात करेंगे जहां एक छोटे से रूटर ने इंटरनेट को सोने के लिए भेजा था। अंत में - यह सब कैसे जीवित रहने के लिए सुझावों की एक जोड़ी।

जिस दिन इंटरनेट टूट गया

इंटरनेट पर कनेक्टिविटी टूटने पर मैं केवल कुछ घटनाएं बताऊंगा। यह पूरी तस्वीर के लिए पर्याप्त होगा।

"AS7007 के साथ हादसा । " पहली बार अप्रैल 1997 में इंटरनेट टूट गया। ऑटोनॉमस सिस्टम 7007 से एक राउटर के सॉफ्टवेयर में एक त्रुटि थी। कुछ बिंदु पर, रूटर ने पड़ोसियों को अपनी आंतरिक रूटिंग तालिका की घोषणा की और आधे नेटवर्क को ब्लैक होल में भेज दिया।

पाकिस्तान बनाम यूट्यूब । 2008 में, पाकिस्तान के बहादुर लोगों ने YouTube को ब्लॉक करने का फैसला किया। उन्होंने इसे इतनी अच्छी तरह से किया कि आधी दुनिया बिना सील के रह गई।

रोस्टेलकॉम द्वारा "वीज़ा, मास्टरकार्ड और सिमेंटेक उपसर्गों पर कब्जा । " 2017 में, रोस्टेलकॉम ने गलती से उपसर्ग VISA, मास्टरकार्ड और सिमेंटेक की घोषणा की। परिणामस्वरूप, वित्तीय ट्रैफ़िक चैनलों के माध्यम से चला गया जो प्रदाता नियंत्रित करता है। रिसाव लंबे समय तक नहीं रहा, लेकिन वित्तीय कंपनियां अप्रिय थीं।

Google v। जापान । अगस्त 2017 में, Google ने बड़े जापानी प्रदाताओं NTT और KDDI के उपसर्गों को उनके उत्थान के हिस्से के रूप में घोषित करना शुरू किया। ट्रैफ़िक पारगमन के रूप में Google पर गया, सबसे अधिक संभावना गलती से। चूंकि Google एक प्रदाता नहीं है और पारगमन यातायात की अनुमति नहीं देता है, जापान का एक महत्वपूर्ण हिस्सा इंटरनेट के बिना छोड़ दिया जाता है।

"डीवी लिंक ने Google, Apple, Facebook, Microsoft के उपसर्गों पर कब्जा कर लिया है । " उसी 2017 में, रूसी प्रदाता DV लिंक ने किसी कारण से Google, Apple, Facebook, Microsoft और कुछ अन्य प्रमुख खिलाड़ियों के नेटवर्क की घोषणा करना शुरू कर दिया।

"US eNet ने AWS रूट 53 और MyEtherwallet उपसर्गों को पकड़ लिया है । " 2018 में, एक ओहायो प्रदाता या उसके ग्राहकों में से एक ने अमेज़ॅन रूट 53 नेटवर्क और मायएयरवेटलेट क्रिप्टो वॉलेट की घोषणा की। हमला सफल रहा: स्व-हस्ताक्षरित प्रमाण पत्र के बावजूद, जिसके बारे में एक चेतावनी उपयोगकर्ता को दिखाई दी, जब उन्होंने MyEtherwallet वेबसाइट में प्रवेश किया, कई वॉलेट्स ने अपहरण कर लिया और क्रिप्टोक्यूरेंसी का हिस्सा चुरा लिया।

अकेले 2017 में ऐसी 14,000 से अधिक घटनाएं हुईं! नेटवर्क अभी भी विकेंद्रीकृत है, इसलिए सभी नहीं और सभी टूट नहीं गए हैं। लेकिन घटनाएं हजारों में होती हैं, और वे सभी बीजीपी प्रोटोकॉल से जुड़े होते हैं, जिस पर इंटरनेट काम करता है।

बीजीपी और इसकी समस्याएं

BGP प्रोटोकॉल - बॉर्डर गेटवे प्रोटोकॉल , 1989 में आईबीएम और सिस्को सिस्टम्स के दो इंजीनियरों द्वारा तीन "नैपकिन" - A4 शीट पर वर्णित किया गया था। ये "नैपकिन" अभी भी सैन फ्रांसिस्को में सिस्को सिस्टम्स मुख्यालय में नेटवर्किंग की दुनिया के अवशेष के रूप में स्थित हैं।

प्रोटोकॉल स्वायत्त प्रणालियों - स्वायत्त प्रणालियों या संक्षिप्त रूप में - एएस के इंटरैक्शन पर आधारित है । एक स्वायत्त प्रणाली केवल कुछ आईडी है जिसे आईपी नेटवर्क को सार्वजनिक रजिस्ट्री में सौंपा गया है। इस आईडी वाला एक राउटर इन नेटवर्कों की घोषणा दुनिया को कर सकता है। तदनुसार, इंटरनेट पर किसी भी मार्ग को एक वेक्टर के रूप में दर्शाया जा सकता है जिसे एएस पथ कहा जाता है। एक वेक्टर में स्वायत्त सिस्टम नंबर होते हैं जिन्हें गंतव्य नेटवर्क तक पहुंचने के लिए पूरा किया जाना चाहिए।

उदाहरण के लिए, कई स्वायत्त प्रणालियों का एक नेटवर्क है। आपको AS65003 प्रणाली से AS65001 सिस्टम से प्राप्त करने की आवश्यकता है। आरेख में एक पथ से पथ का प्रतिनिधित्व AS पथ द्वारा किया जाता है। इसमें दो स्वायत्तताएँ शामिल हैं: 65002 और 65003. प्रत्येक गंतव्य पते के लिए एक AS पथ सदिश है, जिसमें स्वायत्त प्रणालियों की संख्या होती है, जिनसे हमें गुजरना पड़ता है।



तो बीजीपी के साथ क्या समस्याएं हैं?

बीजीपी एक ट्रस्ट प्रोटोकॉल है

बीजीपी प्रोटोकॉल - विश्वास आधारित। इसका मतलब है कि डिफ़ॉल्ट रूप से हम अपने पड़ोसी पर भरोसा करते हैं। यह कई प्रोटोकॉल की एक विशेषता है जो इंटरनेट की भोर में विकसित किए गए थे। आइए जानें कि "विश्वास" का क्या अर्थ है।

कोई पड़ोसी प्रमाणीकरण नहीं । औपचारिक रूप से, एमडी 5 है, लेकिन 2019 में एमडी 5 - ठीक है, यह ...

कोई फ़िल्टरिंग नहीं । बीजीपी में फिल्टर होते हैं और उनका वर्णन किया जाता है, लेकिन उनका उपयोग नहीं किया जाता है, या गलत तरीके से उपयोग किया जाता है। बाद में क्यों समझाऊंगा।

पड़ोस स्थापित करना बहुत सरल है । लगभग किसी भी राउटर पर बीजीपी प्रोटोकॉल में आस-पड़ोस की सेटिंग्स - विन्यास की एक जोड़ी।

बीजीपी प्रबंधन अधिकारों की आवश्यकता नहीं है । अपनी योग्यता की पुष्टि करने के लिए परीक्षा देने की आवश्यकता नहीं है। नशे में होने पर बीजीपी को कॉन्फ़िगर करने के अधिकारों को कोई नहीं छीन लेगा।

दो मुख्य समस्याएं

उपसर्ग अपहरण - उपसर्ग अपहरण । उपसर्ग अपहरण एक नेटवर्क की घोषणा है जो आपके पास नहीं है, जैसा कि MyEtherwallet के साथ है। हमने कुछ उपसर्गों को लिया, प्रदाता के साथ सहमति व्यक्त की या इसे हैक किया, और इसके माध्यम से हम इन नेटवर्क की घोषणा करते हैं।

मार्ग लीक - मार्ग लीक । लीक्स थोड़ा पेचीदा है। लीक एएस पथ में एक बदलाव है । सबसे अच्छे मामले में, परिवर्तन अधिक विलंब का कारण बनेगा, क्योंकि आपको मार्ग को कम या अधिक क्षमता वाले लिंक पर जाने की आवश्यकता है। Google और जापान के साथ सबसे खराब स्थिति में।

Google स्वयं न तो ऑपरेटर है और न ही कोई ट्रांज़िट ऑटोनॉमस सिस्टम। लेकिन जब उन्होंने अपने प्रदाता को जापानी ऑपरेटरों के नेटवर्क की घोषणा की, तो एएस पथ के माध्यम से Google के माध्यम से यातायात को अधिक प्राथमिकता के रूप में देखा गया। ट्रैफ़िक वहां गया और सिर्फ इसलिए गिरा क्योंकि Google के अंदर रूटिंग सेटिंग्स बॉर्डर पर सिर्फ फिल्टर की तुलना में अधिक जटिल हैं।

फिल्टर काम क्यों नहीं करते?

किसी को परवाह नहीं है । यह मुख्य कारण है - हर कोई परवाह नहीं करता है बीजीपी के माध्यम से प्रदाता से जुड़े एक छोटे प्रदाता या कंपनी के प्रशासक ने मिक्रोटिक लिया, उस पर बीजीपी को कॉन्फ़िगर किया और यह भी नहीं पता है कि फिल्टर वहां कॉन्फ़िगर किए जा सकते हैं।

कॉन्फ़िगरेशन त्रुटियों । उन्होंने कुछ शुरू किया, मास्क में गलती की, गलत जाल लगाया - और अब, फिर से, एक गलती।

कोई तकनीकी संभावना नहीं है । उदाहरण के लिए, संचार प्रदाताओं के कई ग्राहक हैं। स्मार्ट तरीके से, आपको प्रत्येक क्लाइंट के लिए स्वचालित रूप से फ़िल्टर अपडेट करना चाहिए - सुनिश्चित करें कि उसके पास एक नया नेटवर्क है, कि उसने अपने नेटवर्क को किसी को पट्टे पर दिया है। इस पर नज़र रखना मुश्किल है, अपने हाथों से यह और भी मुश्किल है। इसलिए, वे केवल आराम से फिल्टर लगाते हैं या फिल्टर बिल्कुल नहीं लगाते हैं।

अपवाद। प्यारे और बड़े ग्राहकों के लिए अपवाद हैं। विशेष रूप से अंतर-संचालक जोड़ों के मामले में। उदाहरण के लिए, ट्रांसटेलकॉम और रोस्टेलकॉम के पास नेटवर्क का एक गुच्छा और उनके बीच एक जंक्शन है। यदि संयुक्त नीचे झुकता है, तो यह किसी के लिए भी अच्छा नहीं होगा, इसलिए फ़िल्टर पूरी तरह से आराम करते हैं या हटाते हैं।

आईआरआर में पुरानी या अप्रासंगिक सूचना । आईआरआर में दर्ज सूचनाओं के आधार पर फिल्टर बनाए जाते हैं - इंटरनेट रूटिंग रजिस्ट्री । ये क्षेत्रीय इंटरनेट रजिस्ट्रार की रजिस्ट्रियां हैं। अक्सर रजिस्ट्रियों में पुरानी या अप्रासंगिक जानकारी, या सभी एक साथ।

ये रजिस्ट्रार कौन हैं?

सभी इंटरनेट पते IANA के स्वामित्व में हैं - इंटरनेट असाइन किए गए नंबर प्राधिकरण । जब आप किसी से एक आईपी नेटवर्क खरीदते हैं, तो आप पते नहीं खरीदते हैं, लेकिन उनका उपयोग करने का अधिकार है। पते एक अमूर्त संसाधन हैं, और आम समझौते से ये सभी आईएएनए एजेंसी के हैं।

सिस्टम इस तरह काम करता है। आईएएनए पांच क्षेत्रीय रजिस्ट्रार को आईपी पते और स्वायत्त प्रणाली संख्या के प्रबंधन को सौंपता है। LIR - स्थानीय इंटरनेट रजिस्ट्रार को स्वायत्त प्रणाली जारी करने वाले। अगला, LIRs उपयोगकर्ताओं को समाप्त करने के लिए आईपी पते आवंटित करते हैं।

सिस्टम का नुकसान यह है कि प्रत्येक क्षेत्रीय रजिस्ट्रार अपने तरीके से अपनी रजिस्ट्रियां करते हैं। रजिस्ट्रियों में कौन सी जानकारी होनी चाहिए, इस पर सभी का अपना विचार है, किसे इसकी जांच करनी चाहिए या नहीं। परिणाम एक गड़बड़ है, जो अब है।

आप इन समस्याओं से कैसे निपट सकते हैं?

आईआरआर औसत दर्जे की गुणवत्ता है । आईआरआर के साथ यह स्पष्ट है - वहां सब कुछ खराब है।

बीजीपी-समुदाय । यह कुछ विशेषता है जो प्रोटोकॉल में वर्णित है। उदाहरण के लिए, हम अपनी घोषणा में एक विशेष समुदाय संलग्न कर सकते हैं ताकि एक पड़ोसी अपने पड़ोसियों को अपने नेटवर्क न भेजें। जब हमारे पास पी 2 पी लिंक होता है, तो हम केवल अपने नेटवर्क का आदान-प्रदान करते हैं। ताकि मार्ग गलती से अन्य नेटवर्क पर न जाए, हम समुदाय को लटकाते हैं।

समुदाय सकर्मक नहीं है । यह हमेशा दो के लिए एक अनुबंध है, और यह उनकी खामी है। हम किसी एक समुदाय को नहीं छोड़ सकते, सिवाय एक के, जिसे सभी ने डिफ़ॉल्ट रूप से स्वीकार कर लिया है। हम यह सुनिश्चित नहीं कर सकते हैं कि इस समुदाय को सभी द्वारा स्वीकार किया जाएगा और सही ढंग से व्याख्या की जाएगी। इसलिए, सबसे अच्छे मामले में, यदि आप अपने अपलिंक से सहमत हैं, तो वह समझ जाएगा कि आप उससे क्या चाहते हैं। लेकिन उसका पड़ोसी समझ नहीं सकता है, या ऑपरेटर बस आपके निशान को रीसेट कर देगा, और आपको वह हासिल नहीं होगा जो आप चाहते थे।

RPKI + ROA समस्याओं का केवल एक छोटा हिस्सा हल करता है । RPKI एक संसाधन सार्वजनिक कुंजी अवसंरचना है - रूटिंग सूचना पर हस्ताक्षर करने के लिए एक विशेष रूपरेखा। अप-टू-डेट एड्रेस स्पेस डेटाबेस को बनाए रखने के लिए LIR और उनके ग्राहकों को प्राप्त करना एक अच्छा विचार है। लेकिन उसके साथ एक समस्या है।

RPKI एक पदानुक्रमित सार्वजनिक कुंजी प्रणाली भी है। क्या IANA में एक कुंजी है जिससे RIR कुंजी उत्पन्न होती हैं, और उनमें से LIR कुंजी? जिसके साथ वे ROAs - रूट ओरिजिन ऑथोराइज़ेशन का उपयोग करके अपना पता स्थान साइन करते हैं:

"मैं आपको विश्वास दिलाता हूं कि इस स्वायत्तता की ओर से इस उपसर्ग की घोषणा की जाएगी।"

आरओए के अलावा, अन्य ऑब्जेक्ट भी हैं, लेकिन उनके बारे में किसी तरह बाद में। ऐसा लगता है कि बात अच्छी और उपयोगी है। लेकिन यह हमें "पूरी तरह से" शब्द से लीक से बचाता नहीं है और उपसर्गों के अपहरण के साथ सभी समस्याओं का समाधान नहीं करता है। इसलिए, खिलाड़ी इसे लागू करने की जल्दी में नहीं हैं। यद्यपि पहले से ही एटी एंड टी और बड़े IXs जैसे बड़े खिलाड़ियों के आश्वासन हैं कि एक अमान्य ROA रिकॉर्ड के साथ उपसर्ग छोड़ देंगे।

शायद वे ऐसा करेंगे, लेकिन अभी तक हमारे पास बड़ी संख्या में उपसर्ग हैं जो बिल्कुल भी हस्ताक्षरित नहीं हैं। एक ओर, यह स्पष्ट नहीं है कि क्या उन्हें वैध रूप से घोषित किया गया है। दूसरी ओर, हम उन्हें डिफ़ॉल्ट रूप से नहीं छोड़ सकते, क्योंकि हमें यकीन नहीं है कि यह सही है या नहीं।

और क्या है?

बीजीपीएससी । यह एक अच्छी बात है कि शिक्षाविदों गुलाबी टट्टू नेटवर्क के लिए आया था। उन्होंने कहा:

- हमारे पास RPKI + ROA है - एड्रेस स्पेस सिग्नेचर के प्रमाणन के लिए एक तंत्र। चलो एक अलग बीजीपी विशेषता प्राप्त करते हैं और इसे बीजीपीएससी पथ कहते हैं। प्रत्येक राउटर अपने हस्ताक्षर के साथ उन घोषणाओं पर हस्ताक्षर करेगा जो वह अपने पड़ोसियों को देने की घोषणा करता है। इसलिए हमें हस्ताक्षरित घोषणाओं की श्रृंखला से विश्वसनीय रास्ता मिलता है और इसे सत्यापित कर सकते हैं।

सिद्धांत रूप में, यह अच्छा है, लेकिन व्यवहार में कई समस्याएं हैं। बीजीपीएससी राउटर पर सीधे अगले-हॉप और इनबाउंड / आउटबाउंड ट्रैफिक का प्रबंधन करके कई मौजूदा बीजीपी यांत्रिकी को तोड़ता है। बीजीपीएससी तब तक काम नहीं करता जब तक कि पूरे बाजार के 95% प्रतिभागी इसे पेश नहीं करते, जो अपने आप में एक यूटोपिया है।

BGPSec में बहुत अधिक प्रदर्शन के मुद्दे हैं। वर्तमान हार्डवेयर पर, घोषणाओं की जाँच करने की गति लगभग 50 उपसर्ग प्रति सेकंड है। तुलना के लिए: 700,000 उपसर्गों की वर्तमान इंटरनेट तालिका 5 घंटों के लिए भरी जाएगी, जिसके लिए यह 10 बार बदल जाएगा।

बीजीपी ओपन पॉलिसी (भूमिका आधारित बीजीपी) । गौ रेक्सफ़ोर्ड मॉडल पर आधारित ताज़ा पेशकश। ये दो वैज्ञानिक हैं जो बीजीपी अनुसंधान में शामिल हैं।

गाओ रेक्सफ़ोर्ड मॉडल इस प्रकार है। सरल करने के लिए, बीजीपी के मामले में बातचीत के प्रकार बहुत कम हैं:

• प्रदाता ग्राहक;
  
• पी 2 पी;
  
• आंतरिक बातचीत, उदाहरण के लिए, iBGP।
  

राउटर की भूमिका के आधार पर, डिफ़ॉल्ट रूप से कुछ आयात / निर्यात नीतियों को सेट करना पहले से संभव है। व्यवस्थापक को उपसर्ग सूचियों को कॉन्फ़िगर करने की आवश्यकता नहीं है। उस भूमिका के आधार पर, जिस पर राउटर सहमत होते हैं और जिसे सेट किया जा सकता है, हमें पहले से ही कुछ डिफ़ॉल्ट फ़िल्टर मिलते हैं। अब यह एक मसौदा है जिस पर IETF में चर्चा की जा रही है। मुझे उम्मीद है कि जल्द ही हम इसे RFC और हार्डवेयर पर कार्यान्वयन के रूप में देखेंगे।

बड़े इंटरनेट सेवा प्रदाता

एक सेंचुरीलिंक प्रदाता के उदाहरण पर विचार करें। यह तीसरा सबसे बड़ा अमेरिकी प्रदाता है, जो 37 राज्यों में कार्य करता है और इसके 15 डेटा केंद्र हैं।

दिसंबर 2018 में, सेंचुरीलिंक 50 घंटे के लिए अमेरिकी बाजार में था। घटना के दौरान, दो राज्यों में एटीएम के संचालन में समस्याएं थीं, 911 ने पांच राज्यों में कई घंटों तक काम नहीं किया। इडाहो लॉटरी को टुकड़ों में फाड़ दिया गया था। अमेरिकी दूरसंचार आयोग फिलहाल इस घटना की जांच कर रहा है।

त्रासदी का कारण एक डेटा सेंटर में एक नेटवर्क कार्ड में है। कार्ड विफल हो गया, गलत पैकेट भेजे गए, और सभी 15 प्रदाता डेटा केंद्र नीचे चले गए।



इस प्रदाता के लिए, "गिरने के लिए बहुत बड़ा" का विचार काम नहीं करता था। यह विचार बिल्कुल काम नहीं करता है। आप किसी भी प्रमुख खिलाड़ी को ले सकते हैं और कुछ ट्रिफ़ल डाल सकते हैं। अमेरिका में, सब कुछ अभी भी कनेक्टिविटी के साथ अच्छा है। सेंचुरीलिंक जिन ग्राहकों के पास था, वे उसी में चले गए। फिर वैकल्पिक ऑपरेटरों ने अपने लिंक के अधिभार के बारे में शिकायत की।

यदि सशर्त कज़ाटेलेकॉम झूठ बोलता है, तो पूरे देश को इंटरनेट के बिना छोड़ दिया जाएगा।

निगम

Google, अमेज़ॅन, फेसबुक और अन्य निगमों पर संभवतः इंटरनेट से जुड़ा है? नहीं, वे इसे भी तोड़ते हैं।

ENOG13 सम्मेलन में सेंट पीटर्सबर्ग में 2017 में, APNIC के जेफ ह्यूस्टन ने "ट्रांसिट की मौत" रिपोर्ट पेश की। यह कहता है कि हम इस तथ्य के अभ्यस्त हैं कि बातचीत, नकदी प्रवाह और इंटरनेट ट्रैफ़िक लंबवत हैं। हमारे पास छोटे प्रदाता हैं जो बड़े लोगों के लिए कनेक्टिविटी का भुगतान करते हैं, और जो पहले से ही वैश्विक पारगमन के लिए कनेक्टिविटी के लिए भुगतान करते हैं।



अब हमारे पास एक ऐसी खड़ी संरचना है। सबकुछ ठीक हो जाएगा, लेकिन दुनिया बदल रही है - बड़े खिलाड़ी अपनी खुद की रीढ़ बनाने के लिए ट्रांसोसेनिक केबल का निर्माण कर रहे हैं।


सीडीएन केबल के बारे में समाचार।

2018 में, टेलीग्राफी ने एक अध्ययन जारी किया कि इंटरनेट पर आधे से अधिक यातायात अब इंटरनेट नहीं है, लेकिन प्रमुख खिलाड़ियों की रीढ़ है। यह ट्रैफ़िक है जो इंटरनेट से संबंधित है, लेकिन यह वही नेटवर्क नहीं है जिसके बारे में हमने बात की थी।

इंटरनेट शिथिल युग्मित नेटवर्क की एक विस्तृत श्रृंखला में टूट रहा है।

Microsoft का अपना नेटवर्क है, Google का अपना स्वयं का नेटवर्क है, और वे एक दूसरे के साथ कमज़ोर हैं। संयुक्त राज्य अमेरिका में कहीं भी उत्पन्न होने वाला ट्रैफ़िक Microsoft चैनलों के माध्यम से समंदर के पार यूरोप में CDN के माध्यम से कहीं जाता है, फिर अपने प्रदाता को CDN या IX के माध्यम से जोड़ता है और आपके राउटर तक पहुँच जाता है।

विकेंद्रीकरण गायब हो जाता है।

इंटरनेट की यह ताकत, जो उसे परमाणु विस्फोट से बचने में मदद करेगी, खो गई है। उपयोगकर्ताओं और यातायात की एकाग्रता के स्थान हैं। यदि सशर्त Google क्लाउड झूठ है, तो एक ही बार में कई पीड़ित होंगे। भाग में, हमें यह महसूस हुआ जब रोस्कोम्नाडज़ोर ने एडब्ल्यूएस को अवरुद्ध कर दिया। और सेंचुरीलिंक के उदाहरण के साथ, यह स्पष्ट है कि इसके लिए पर्याप्त विवरण है।

पहले, सभी नहीं और सभी नहीं टूटे। भविष्य में, हम इस निष्कर्ष पर पहुंच सकते हैं कि एक प्रमुख खिलाड़ी को प्रभावित करके, आप बहुत सी चीजों को तोड़ सकते हैं, कई जहां और कई जिनके साथ।

राज्य

लाइन में अगले राज्य, और आमतौर पर उनके लिए होता है।



यहाँ, हमारा रोसकोमनादज़ोर कभी अग्रणी भी नहीं है। इंटरनेट बंद का एक समान अभ्यास ईरान, भारत, पाकिस्तान में है। इंग्लैंड में इंटरनेट को डिस्कनेक्ट करने की संभावना पर एक बिल है।

कोई भी बड़ा राज्य इंटरनेट बंद करने के लिए एक स्विच प्राप्त करना चाहता है, या तो पूर्ण या भागों में: ट्विटर, टेलीग्राम, फेसबुक। वे यह नहीं समझते कि वे कभी सफल नहीं होंगे, लेकिन वे वास्तव में यही चाहते हैं। एक चाकू स्विच का उपयोग, एक नियम के रूप में, राजनीतिक उद्देश्यों के लिए किया जाता है - राजनीतिक प्रतियोगियों को खत्म करने के लिए, या नाक पर चुनाव, या रूसी हैकर्स ने फिर से कुछ तोड़ दिया।

DDoS पर हमला

मैं क्रेटर लैब्स के साथियों से रोटी नहीं लूंगा, वे मुझसे बहुत बेहतर करते हैं। इंटरनेट स्थिरता पर उनकी वार्षिक रिपोर्ट है। और यहां उन्होंने 2018 के लिए रिपोर्ट में लिखा है।

DDoS हमलों की औसत अवधि 2.5 घंटे तक गिरती है । हमलावर भी पैसे गिनना शुरू करते हैं, और अगर संसाधन तुरंत नीचे नहीं गया, तो यह जल्दी से अकेला छोड़ दिया जाता है।

हमलों की तीव्रता बढ़ रही है । 2018 में, हमने अकामाई नेटवर्क पर 1.7 टीबी / एस देखा, और यह सीमा नहीं है।

नए हमले वैक्टर दिखाई देते हैं और पुराने बढ़ जाते हैं । नए प्रोटोकॉल दिखाई देते हैं जो प्रवर्धन के अधीन हैं, नए हमले मौजूदा प्रोटोकॉल पर दिखाई देते हैं, विशेष रूप से टीएलएस और इस तरह।

ज्यादातर ट्रैफिक मोबाइल डिवाइस है । उसी समय, इंटरनेट ट्रैफ़िक मोबाइल क्लाइंट को स्थानांतरित कर दिया जाता है। इसके साथ आपको उन लोगों के लिए काम करने में सक्षम होना चाहिए जो हमला करते हैं और जो खुद का बचाव करते हैं।

अजेय - नहीं । यह मुख्य विचार है - कोई सार्वभौमिक सुरक्षा नहीं है जो किसी भी DDoS के खिलाफ सुरक्षा नहीं करती है।

सिस्टम को केवल तभी नहीं रखा जा सकता है जब वह इंटरनेट से जुड़ा नहीं हो।

मुझे उम्मीद है कि मैंने आपको काफी डरा दिया। आइए अब सोचें कि इसके साथ क्या करना है।

क्या करना है?!

यदि आपके पास अंग्रेजी का खाली समय, इच्छा और ज्ञान है - कार्य समूहों में भाग लें: IETF, RIPE WG। ये ओपन मेलिंग लिस्ट हैं, न्यूज़लेटर्स की सदस्यता लेते हैं, चर्चाओं में भाग लेते हैं, सम्मेलनों में आते हैं। यदि आपके पास LIR की स्थिति है, तो आप उदाहरण के लिए RIPE में विभिन्न पहलों के लिए मतदान कर सकते हैं।

महज नश्वरता के लिए, यह निगरानी कर रहा है । यह जानने के लिए कि क्या टूटा है।

निगरानी: क्या जाँच करें?

सामान्य पिंग , और न केवल एक बाइनरी चेक - यह काम करता है या नहीं। बाद में विसंगतियों को देखने के लिए इतिहास को RTT लिखें।

ट्रेसरआउट । यह टीसीपी / आईपी नेटवर्क में डेटा पथ निर्धारित करने के लिए एक उपयोगिता कार्यक्रम है। असामान्यताओं और रुकावटों का पता लगाने में मदद करता है।

HTTP चेक-चेक कस्टम यूआरएल और टीएलएस प्रमाणपत्र एक हमले के लिए अवरुद्ध या डीएनएस स्पूफिंग का पता लगाने में मदद करेगा, जो लगभग एक ही है। DNS को खराब करने और एक स्टब पृष्ठ पर ट्रैफ़िक को लपेटकर अक्सर ताले लगाए जाते हैं।

यदि संभव हो, तो अपने ग्राहकों के साथ अलग-अलग स्थानों से अपने मूल के समाधान की जांच करें, यदि आपके पास एक आवेदन है। तो आपको डीएनएस इंटरसेप्शन विसंगतियां मिलेंगी, जो प्रदाता कभी-कभी पाप करते हैं।

निगरानी: कहां जांचना है?

कोई सार्वभौमिक जवाब नहीं है। जाँच करें कि उपयोगकर्ता कहाँ से आता है। यदि उपयोगकर्ता रूस में हैं, तो रूस से जांचें, लेकिन खुद को इसके लिए सीमित न करें। यदि आपके उपयोगकर्ता विभिन्न क्षेत्रों में रहते हैं, तो इन क्षेत्रों से जांचें। लेकिन दुनिया भर से बेहतर है।

निगरानी: कैसे जांचें?

मैं तीन तरीकों से आया हूं। यदि आप अधिक जानते हैं - टिप्पणियों में लिखें।

• RIPE एटलस।
  
• वाणिज्यिक निगरानी।
  
• Virtualoks का अपना नेटवर्क।
  

आइए उनमें से प्रत्येक के बारे में बात करें।

RIPE Atlas एक ऐसा छोटा बॉक्स है। उन लोगों के लिए जो घरेलू "इंस्पेक्टर" जानते हैं - यह एक ही बॉक्स है, लेकिन एक अलग स्टिकर के साथ।



RIPE Atlas एक निःशुल्क कार्यक्रम है । आप रजिस्टर करते हैं, मेल द्वारा एक राउटर प्राप्त करते हैं और इसे नेटवर्क में प्लग करते हैं। इस तथ्य के लिए कि कोई और आपके टूटने का फायदा उठाता है, आपको कुछ ऋण दिए जाएंगे। इन ऋणों के लिए आप स्वयं कुछ शोध कर सकते हैं। आप विभिन्न तरीकों से परीक्षण कर सकते हैं: पिंग, ट्रेसरआउट, प्रमाणपत्रों की जांच करें। कवरेज काफी बड़ा है, कई नोड्स। लेकिन बारीकियां हैं।

क्रेडिट सिस्टम उत्पादन के समाधान की अनुमति नहीं देता है । चल रहे अनुसंधान या वाणिज्यिक निगरानी के लिए ऋण पर्याप्त नहीं हैं। क्रेडिट एक छोटे अध्ययन या एक बार की जांच के लिए पर्याप्त हैं। एक नमूने से दैनिक दर 1-2 चेक द्वारा खाया जाता है।

कवरेज असमान है । चूंकि कार्यक्रम दोनों दिशाओं में नि: शुल्क है, कवरेज यूरोप में, रूस के यूरोपीय भाग में और कुछ क्षेत्रों में अच्छा है। लेकिन अगर आपको इंडोनेशिया या न्यूजीलैंड की जरूरत है, तो सब कुछ बहुत खराब है - प्रति देश 50 नमूने एकत्र नहीं किए जा सकते हैं।

आप नमूने से http की जाँच नहीं कर सकते । यह तकनीकी बारीकियों के कारण है।वे नए संस्करण में इसे ठीक करने का वादा करते हैं, लेकिन अभी तक http की जाँच नहीं की जा सकती है। केवल एक प्रमाण पत्र का सत्यापन किया जा सकता है। कुछ प्रकार की http जांच केवल विशेष RIPE एटलस डिवाइस से पहले की जा सकती है जिसे एंकर कहा जाता है।

दूसरा तरीका वाणिज्यिक निगरानी है । वह ठीक है, क्या आप पैसे दे रहे हैं? वे आपको दुनिया भर के कई दसियों या सैकड़ों निगरानी बिंदुओं का वादा करते हैं, सुंदर डैशबोर्ड "बॉक्स से बाहर"। लेकिन, फिर से, समस्याएं हैं।

यह भुगतान किया जाता है, स्थानों में बहुत । पिंग मॉनिटरिंग, दुनिया भर से सत्यापन और कई http सत्यापन में कई हजार डॉलर प्रति वर्ष खर्च हो सकते हैं। यदि वित्त अनुमति देता है और आप इस समाधान को पसंद करते हैं - कृपया।

ब्याज के क्षेत्र में कवरेज की कमी हो सकती है . — , , . .

custom- . - , «» url, .

— . : « !»

, . , , — , ? . , . , -, .

BGP- DDoS-

. BGP- QRadar, BGPmon . full view- . , , , . — , , .

DDoS- . , NetFlow-based . FastNetMon , Splunk . DDoS-. NetFlow .

— . , 14 2017 , .

— . , , . , , « ». — , , : , , CDN. — -, . , , .

वह सब है। .

, HighLoad++ Siberia 2019 . , , . , , . 24 25 . !