यांडेक्स ने आरपीकेआई का परिचय दिया

हाय, मेरा नाम अलेक्जेंडर अजीमोव है। यैंडेक्स में, मैं विभिन्न निगरानी प्रणाली विकसित कर रहा हूं, साथ ही परिवहन नेटवर्क वास्तुकला भी। लेकिन आज हम बीजीपी के बारे में बात करेंगे।



एक हफ्ते पहले, यैंडेक्स ने सभी साथियों के साथ जंक्शनों पर आरओवी (रूट ओरिजिन वैलिडेशन) को शामिल किया, साथ ही साथ ट्रैफिक एक्सचेंज पॉइंट्स के साथ। यह क्यों किया गया और दूरसंचार ऑपरेटरों के साथ बातचीत को कैसे प्रभावित करेगा, इसके बारे में नीचे पढ़ें।

बीजीपी और इसमें क्या गलत है

आप शायद जानते हैं कि बीजीपी की कल्पना एक क्रॉस-डोमेन रूटिंग प्रोटोकॉल के रूप में की गई थी। हालांकि, यात्रा के दौरान, उपयोगकर्ता मामलों की संख्या बढ़ने में कामयाब रही: आज बीजीपी, कई एक्सटेंशन के लिए धन्यवाद, ऑपरेटर के वीपीएन से अब-फैशनेबल एसडी-वैन तक के कार्यों को कवर करने वाले एक संदेश बस में बदल गया है, और यहां तक ​​कि एसडीएन जैसे नियंत्रक के लिए परिवहन के रूप में उपयोग पाया जाता है, जो बदल जाता है दूरी वेक्टर BGP कुछ लिंक प्रोटोकॉल के समान है।

_{अंजीर। 1. बीजीपी SAFI}

बीजीपी को इतने सारे उपयोग क्यों (और प्राप्त करना जारी हैं) प्राप्त हुए हैं? इसके दो मुख्य कारण हैं:

• बीजीपी एकमात्र प्रोटोकॉल है जो स्वायत्त प्रणालियों (एएस) के बीच काम करता है;
• बीजीपी टीएलवी प्रारूप (प्रकार-लंबाई-मूल्य) में विशेषताओं का समर्थन करता है। हां, इसमें प्रोटोकॉल अकेला नहीं है, लेकिन चूंकि टेलीकॉम ऑपरेटरों के बीच जोड़ों में इसे बदलने के लिए कुछ भी नहीं है, इसलिए एक अतिरिक्त मार्ग प्रोटोकॉल का समर्थन करने के लिए एक से अधिक कार्यात्मक तत्व संलग्न करना हमेशा अधिक लाभदायक होता है।

उसका क्या कसूर है? संक्षेप में, प्रोटोकॉल में प्राप्त जानकारी की शुद्धता की पुष्टि के लिए अंतर्निहित तंत्र का अभाव है। यही है, बीजीपी एक प्राथमिक विश्वास का एक प्रोटोकॉल है: यदि आप दुनिया को बताना चाहते हैं कि अब आप रोस्टेलेकॉम, एमटीएस या यांडेक्स के नेटवर्क के मालिक हैं, तो कृपया!

IRRDB फ़िल्टर - सबसे खराब सबसे अच्छा

सवाल उठता है - ऐसी स्थिति में इंटरनेट अभी भी क्यों काम कर रहा है? हां, यह ज्यादातर समय काम करता है, लेकिन यह समय-समय पर विस्फोट करता है, जिससे पूरे राष्ट्रीय खंड दुर्गम हो जाते हैं। इस तथ्य के बावजूद कि बीजीपी में हैकिंग गतिविधि भी बढ़ रही है, अधिकांश विसंगतियां अभी भी त्रुटियों के कारण होती हैं। इस वर्ष का एक उदाहरण बेलारूस में एक छोटे ऑपरेटर की गलती है , जिसने आधे घंटे के लिए मेगाफ़ॉन उपयोगकर्ताओं के लिए दुर्गम इंटरनेट का एक महत्वपूर्ण हिस्सा बना दिया। एक और उदाहरण - क्रोधित बीजीपी आशावादी ने दुनिया के सबसे बड़े सीडीएन नेटवर्क में से एक को तोड़ दिया।

_{अंजीर। 2. Cloudflare यातायात अवरोधन}

लेकिन फिर भी, हर छह महीने में ऐसी विसंगतियाँ क्यों होती हैं, और हर दिन नहीं होती हैं? क्योंकि टेलीकॉम ऑपरेटर बाहरी रूटिंग सूचना डेटाबेस का उपयोग यह सत्यापित करने के लिए करते हैं कि उनके पड़ोसी बीजीपी से क्या प्राप्त करते हैं। ऐसे कई डेटाबेस हैं, उनमें से कुछ रजिस्ट्रार (RIPE, APNIC, ARIN, AFRINIC) द्वारा प्रबंधित किए जाते हैं, कुछ स्वतंत्र खिलाड़ी (सबसे प्रसिद्ध - RADB) हैं, और बड़ी कंपनियों (Level3, NTT, आदि) के स्वामित्व वाले रजिस्ट्रार का एक पूरा सेट भी है। इन डेटाबेस के लिए धन्यवाद, क्रॉस-डोमेन रूटिंग अपने काम की सापेक्ष स्थिरता बनाए रखता है।

हालांकि, बारीकियां हैं। मार्ग की जानकारी ROUTE-OBJECTS और AS-SET ऑब्जेक्ट्स के आधार पर सत्यापित की जाती है। और यदि आईआरआरडीबी भाग पर पूर्व में स्पष्ट रूप से प्राधिकरण है, तो प्राधिकरण दूसरे वर्ग के लिए एक वर्ग के रूप में अनुपस्थित है। यही है, कोई भी किसी को भी अपने सेट में जोड़ सकता है और इस तरह उच्च आपूर्तिकर्ताओं के फिल्टर को बायपास कर सकता है। इसके अलावा, विभिन्न आईआरआर ठिकानों के बीच एएस-एसईटी नामकरण की विशिष्टता की गारंटी नहीं है, जो कि टेलिकॉम ऑपरेटर में कनेक्टिविटी के अचानक नुकसान के साथ आश्चर्यजनक प्रभाव पैदा कर सकता है, जिसके कारण इसके हिस्से में कुछ भी बदलाव नहीं हुआ।

एक अतिरिक्त समस्या AS-SET उपयोग मॉडल है। दो बिंदु हैं:

• जब एक ऑपरेटर के पास एक नया ग्राहक होता है, तो वह इसे अपने AS-SET में जोड़ता है, लेकिन लगभग इसे कभी नहीं हटाता है;
• ग्राहकों के साथ जंक्शनों पर ही फिल्टर कॉन्फ़िगर किए जाते हैं।

परिणामस्वरूप, बीजीपी फिल्टर का आधुनिक प्रारूप धीरे-धीरे ग्राहकों के साथ इंटरफेस में फिल्टर को नीचा दिखा रहा है और पीयर-टू-पीयर पार्टनर्स और आईपी ट्रांजिट प्रदाताओं से एक प्राथमिक विश्वास है।

AS-SET के आधार पर उपसर्ग फिल्टर की जगह क्या है? सबसे दिलचस्प बात यह है कि अल्पावधि में - कुछ भी नहीं। लेकिन अतिरिक्त तंत्र हैं जो आईआरआरडीबी पर आधारित फिल्टर के संचालन को पूरक करते हैं, और सबसे पहले, यह, आरपीकेआई।

RPKI

सरलीकृत, आप एक वितरित डेटाबेस के रूप में RPKI वास्तुकला की कल्पना कर सकते हैं जिनके रिकॉर्ड को क्रिप्टोग्राफिक रूप से सत्यापित किया जा सकता है। आरओए (रूट ऑब्जेक्ट ऑथराइजेशन) के मामले में, पता स्थान का मालिक हस्ताक्षरकर्ता है, और रिकॉर्ड स्वयं एक ट्रिपल (उपसर्ग, asn, max_length) है। वास्तव में, यह प्रविष्टि निम्नलिखित को पोस्ट करती है - पता स्थान $ उपसर्ग के मालिक ने $ $ asn के साथ AS को $ max_length से अधिक नहीं की लंबाई के साथ उपसर्ग की घोषणा करने की अनुमति दी। और आरपीकेआई कैश का उपयोग करने वाले राउटर, जाने पर उपसर्ग-प्रथम वक्ताओं की एक जोड़ी के अनुपालन की जांच करने में सक्षम हैं ।

_{चित्रा 3. आरपीकेआई वास्तुकला}

आरओए-ऑब्जेक्ट्स को लंबे समय तक मानकीकृत किया गया है, लेकिन हाल तक, वास्तव में, केवल आईईटीएफ-जर्नल के कागज पर बने रहे। मेरी राय में, इसका कारण डरावना है - खराब मार्केटिंग। मानकीकरण पूरा होने के बाद, यह एक प्रोत्साहन के रूप में तर्क दिया गया था कि ROAs बीजीपी अपहरण से रक्षा करते हैं - और यह सच नहीं था। हमलावर आसानी से रास्ते की शुरुआत में सही स्पीकर नंबर डालकर आरओए फिल्टर को बायपास कर सकते हैं। और जैसे ही यह जागरूकता आई, अगला तार्किक कदम आरओए के उपयोग की अस्वीकृति था। और वास्तव में, हमें तकनीक की आवश्यकता क्यों है अगर यह काम नहीं करता है?

अपने मन को बदलने का समय क्यों है? क्योंकि यह पूरी सच्चाई नहीं है। आरओए बीजीपी में हैकिंग गतिविधि के खिलाफ सुरक्षा नहीं करता है, लेकिन यातायात के आकस्मिक अपहरण से बचाता है , उदाहरण के लिए, बीजीपी में स्थैतिक लीक से, जो अधिक आम हो रहा है। इसके अलावा, आईआरआर पर आधारित फिल्टर के विपरीत, आरओवी का उपयोग न केवल ग्राहकों के साथ इंटरफेस में किया जा सकता है, बल्कि साथियों और उच्चतर आपूर्तिकर्ताओं के साथ इंटरफेस में भी किया जा सकता है। अर्थात्, RPKI की शुरुआत के साथ, BGP धीरे-धीरे एक प्राथमिक आत्मविश्वास छोड़ देता है।

अब ROA- आधारित रूट चेकिंग धीरे-धीरे प्रमुख खिलाड़ियों द्वारा शुरू की जा रही है: सबसे बड़ा यूरोपीय IX पहले से ही गलत मार्गों को छोड़ रहा है, टियर -1 ऑपरेटरों के बीच एटी एंड टी को उजागर करने लायक है, जो अपने साथियों के साथ जंक्शनों पर फिल्टर चालू करता है। इसके अलावा, सबसे बड़ी सामग्री प्रदाता शेल के लिए उपयुक्त हैं। और दर्जनों मध्यम आकार के ट्रांजिट ऑपरेटरों ने पहले ही चुपचाप इसे लागू कर दिया है, बिना किसी को बताए। ये सभी ऑपरेटर आरपीकेआई को क्यों लागू कर रहे हैं? इसका उत्तर सरल है: अपने आउटगोइंग ट्रैफ़िक को अन्य लोगों की गलतियों से बचाने के लिए। यही कारण है कि यैंडेक्स अपने नेटवर्क की सीमा पर आरओवी को शामिल करने के लिए रूसी संघ में सबसे पहले में से एक है।

आगे क्या होगा?

अब हमने ट्रैफ़िक एक्सचेंज पॉइंट्स और प्राइवेट पीयर-टू-पीयर के साथ जंक्शनों पर राउटिंग जानकारी की जाँच करना शामिल किया है। निकट भविष्य में, अपस्ट्रीम ट्रैफिक प्रदाताओं के साथ सत्यापन को भी शामिल किया जाएगा।



यह आपके लिए क्या बदलता है? यदि आप अपने नेटवर्क और यैंडेक्स के बीच ट्रैफ़िक रूटिंग की सुरक्षा बढ़ाना चाहते हैं, तो हम अनुशंसा करते हैं:

• RIPE पोर्टल में अपने पते की जगह पर हस्ताक्षर करना आसान है, औसतन इसमें 5-10 मिनट लगते हैं। यदि कोई अनजाने में आपके पते के स्थान को हाईजैक कर लेता है (और यह जल्दी या बाद में होगा) तो यह हमारी कनेक्टिविटी की रक्षा करेगा;
• आरपीकेआई कैश ( पका-सत्यापनकर्ता , राउटरेटर ) को खोलने के लिए और नेटवर्क सीमा पर रूट चेकिंग को सक्षम करने में अधिक समय लगेगा, लेकिन यह फिर से तकनीकी कठिनाइयों का कारण नहीं होगा।

यांडेक्स नई आरपीकेआई ऑब्जेक्ट - एएसपीए (ऑटोनॉमस सिस्टम प्रोवाइडर ऑथराइजेशन) के आधार पर एक फिल्टरिंग सिस्टम के विकास का समर्थन करता है। ASPA और ROA ऑब्जेक्ट्स पर आधारित फ़िल्टर न केवल "टपकी" AS-SETs को बदल सकते हैं, बल्कि BGT का उपयोग करके MiTM हमलों को भी बंद कर सकते हैं।

मैं नेक्सट हॉप सम्मेलन में एक महीने में एएसपीए के बारे में विस्तार से बात करूंगा। नेटफ्लिक्स, फेसबुक, ड्रॉपबॉक्स, जुनिपर, मेलानॉक्स और यैंडेक्स के सहकर्मी भी होंगे। यदि आप भविष्य में नेटवर्क स्टैक और उसके विकास में रुचि रखते हैं - तो पंजीकरण खुला है ।