- Το χαρακτηριστικό ORIGIN ορίζει την προέλευση μιας διαδρομής BGP ακολουθώντας την ιεραρχία προτιμήσεων IGP > EGP > INCOMPLETE.
- Περίπου το 70% των παγκόσμιων διαδρομών χειραγωγείται σκόπιμα από τους προμηθευτές για να προσελκύσουν επισκεψιμότητα και να αυξήσουν τα κέρδη.
- Αυτές οι αλλαγές προκαλούν ασυνεπείς καθυστερήσεις και δυσχεραίνουν τη διάγνωση προβλημάτων συνδεσιμότητας σε κατανεμημένες υπηρεσίες.
- Ο μετριασμός απαιτεί τη χρήση RPKI, την παρακολούθηση ενεργών προθεμάτων και τη διαφοροποίηση των παρόχων μέσων μαζικής μεταφοράς.
Όταν μιλάμε για το πώς κινούνται οι πληροφορίες στο διαδίκτυο, συχνά πιστεύουμε ότι όλα ρέουν αυτόματα και διαφανώς. Ωστόσο, πίσω από αυτή την πρόσοψη κρύβεται ένα πρωτόκολλο που ονομάζεται BGP και λαμβάνει συνεχείς αποφάσεις βάσει ορισμένων κριτηρίων, και ένα από τα πιο περίεργα, αν και μερικές φορές παραβλέπονται, είναι το χαρακτηριστικό ORIGIN , το οποίο ουσιαστικά μας λέει από πού προέρχεται μια διαδρομή.
Αυτό που φαίνεται σαν μια ασήμαντη τεχνική λεπτομέρεια έχει γίνει ένας μεγάλος πονοκέφαλος για πολλούς, καθώς έχει ανακαλυφθεί ότι πολλοί πάροχοι τροποποιούν εν γνώσει τους αυτήν την τιμή για να χειραγωγήσουν την κίνηση προς όφελός τους. Αυτή η πρακτική, η οποία αντιβαίνει στους καθιερωμένους κανονισμούς, μπορεί να οδηγήσει σε μια λιγότερο αποτελεσματική σύνδεση ή να προκαλέσει εκτόξευση του κόστους δικτύου χωρίς να γνωρίζετε ακριβώς γιατί.
Κατανόηση του χαρακτηριστικού ORIGIN: Ο χάρτης προέλευσης
Για να ξεκινήσουμε, το χαρακτηριστικό ORIGIN είναι ένα υποχρεωτικό και γνωστό πεδίο στο πρότυπο BGP. Η λειτουργία του είναι απλή: να υποδεικνύει πώς το πρόθεμα IP εισήλθε στον πίνακα δρομολόγησης του δρομολογητή. Σύμφωνα με το RFC 4271, υπάρχουν τρεις πιθανές ετικέτες που ορίζουν αυτήν την προέλευση:
- IGP (Πρωτόκολλο Εσωτερικής Πύλης): Αυτή είναι η προτιμώμενη τιμή. Υποδεικνύει ότι η διαδρομή δημιουργήθηκε εντός του ίδιου του αυτόνομου συστήματος, συνήθως χρησιμοποιώντας την εντολή
network. - EGP (Πρωτόκολλο Εξωτερικής Πύλης): Μια πρακτικά ξεπερασμένη τιμή, καθώς το πρωτόκολλο EGP αντικαταστάθηκε από το ίδιο το BGP.
- ΑΤΕΛΗΣ: Αυτή η ετικέτα εμφανίζεται όταν η διαδρομή έχει μαθευτεί μέσω του ανακατανομή διαδρομής στατικά ή άλλα εσωτερικά πρωτόκολλα δρομολόγησης.
Κατά τη διαδικασία επιλογής της καλύτερης διαδρομής, το BGP ακολουθεί μια πολύ σαφή ιεραρχία: προτιμά το IGP έναντι του EGP και το EGP έναντι του INCOMPLETE. Κατά γενικό κανόνα, το πρότυπο ορίζει ότι αυτή η τιμή δεν πρέπει να αλλάζει μόλις οριστεί από τον αρχικό δρομολογητή, αλλά όπως θα δούμε, στον πραγματικό κόσμο τα πράγματα δεν είναι πάντα τόσο απλά.
Η σκληρή πραγματικότητα: Χειραγώγηση σε παγκόσμια κλίμακα
Το Cloudflare πέτυχε την ακριβή αποκάλυψη, αποκαλύπτοντας ότι σχεδόν το 70% των αναλυμένων διαδρομών εμφανίζουν παραποίηση του χαρακτηριστικού ORIGIN. Αυτά δεν είναι τυχαία σφάλματα, αλλά μάλλον μια σκόπιμη στρατηγική από ορισμένους παρόχους μέσων μαζικής μεταφοράς για να προσελκύσουν επισκεψιμότητα στα δίκτυά τους και, κατά συνέπεια, να αυξήσουν τα έσοδά τους . Σε ορισμένες ακραίες περιπτώσεις, όπως φαίνεται στον συλλέκτη BR_RIO, έως και το 90% των προθεμάτων εμφάνισαν ασυνέπειες.
Αυτός ο χειρισμός περιλαμβάνει την επανεγγραφή του χαρακτηριστικού (για παράδειγμα, αλλαγή μιας τιμής INCOMPLETE σε EGP ή IGP) για να κάνουν τις διαδρομές τους να φαίνονται πιο ελκυστικές από αυτές του ανταγωνισμού. Με αυτόν τον τρόπο, διασφαλίζουν ότι η κίνηση ακολουθεί μια συγκεκριμένη διαδρομή χωρίς να χρειάζεται να τροποποιήσουν τα χαρακτηριστικά AS_PATH ή MED, τα οποία είναι πολύ πιο ορατά και πιο εύκολο να ελεγχθούν από τους διαχειριστές δικτύου.
Άμεσος αντίκτυπος στις υποδομές και τις νεοσύστατες επιχειρήσεις
Αν διαχειρίζεστε μια νεοσύστατη επιχείρηση που βασίζεται σε υπηρεσίες cloud, CDN ή κατανεμημένες αρχιτεκτονικές, αυτό δεν είναι απλώς μια τεχνική ιδιορρυθμία. Μπορεί να επηρεάσει άμεσα τα τελικά σας αποτελέσματα και την εμπειρία των χρηστών σας. Μια χειραγωγημένη διαδρομή μπορεί να οδηγήσει σε μεταβλητή και απρόβλεπτη καθυστέρηση , καθώς η κίνηση δεν ακολουθεί τη συντομότερη διαδρομή, αλλά αυτήν που ο πάροχος θεωρεί πιο οικονομικά αποδοτική.
Επιπλέον, αυτή η έλλειψη διαφάνειας δημιουργεί τρομερή λειτουργική πολυπλοκότητα . Όταν προσπαθείτε να διαγνώσετε ένα πρόβλημα διακοπτόμενης συνδεσιμότητας, διαπιστώνετε ότι διαφορετικοί παρατηρητές βλέπουν διαφορετικές τιμές ORIGIN για το ίδιο πρόθεμα, καθιστώντας την αντιμετώπιση προβλημάτων εφιάλτη. Για όσους χρησιμοποιούν εξοπλισμό Juniper, για παράδειγμα, είναι σύνηθες να βλέπουν την προεπιλεγμένη τιμή I (IGP), αλλά είναι δυνατό να επιβάλετε το χαρακτηριστικό σε "ελλιπές" χρησιμοποιώντας συγκεκριμένες πολιτικές δρομολόγησης για να επηρεάσετε την κυκλοφορία.
Πώς να προστατεύσετε το δίκτυό σας και να βελτιώσετε τη δρομολόγηση
Για να αποφύγετε να βρίσκεστε στο έλεος των οικονομικών αποφάσεων των παρόχων μέσων μαζικής μεταφοράς, υπάρχουν πολλά βήματα που μπορείτε να κάνετε. Πρώτον, είναι σημαντικό να παρακολουθείτε τις δικές σας καταχωρίσεις BGP χρησιμοποιώντας εργαλεία όπως το RIPE Stat, το BGPView ή το Cloudflare Radar για να εντοπίσετε εάν κάποιος τροποποιεί τις διαδρομές σας.
Ένα άλλο βασικό μέτρο είναι η διαφοροποίηση των παρόχων . Μην βάζετε όλα τα αυγά σας σε ένα καλάθι. Δημιουργήστε άμεση ομοτιμία με τοπικούς IXP για να παρακάμψετε τους ενδιάμεσους που χειραγωγούν τα χαρακτηριστικά. Ομοίως, η εφαρμογή του RPKI (Resource Public Key Infrastructure - Υποδομή Δημόσιου Κλειδιού Πόρων) είναι ζωτικής σημασίας για την αποτροπή της παραβίασης προθεμάτων. Ενώ δεν επιλύει το πρόβλημα της χειραγώγησης του ORIGIN, προσθέτει ένα ουσιαστικό επίπεδο ασφάλειας.
Τέλος, συνιστάται να είστε δυναμικοί στις διαπραγματεύσεις για Συμφωνίες Παροχής Υπηρεσιών (SLA). Μην αποδέχεστε την υπηρεσία ως ένα μαύρο κουτί. Απαιτήστε διαφάνεια στις πολιτικές μηχανικής κυκλοφορίας και ξεκαθαρίστε ότι δεν θα επιτρέψετε τροποποιήσεις στα χαρακτηριστικά BGP σας χωρίς προηγούμενη και δικαιολογημένη ειδοποίηση.
Η παγκόσμια διαχείριση δρομολόγησης έχει φτάσει σε ένα κρίσιμο σημείο όπου η θεωρία πίσω από το RFC 4271 συγκρούεται μετωπικά με εμπορικά συμφέροντα, αφήνοντας το χαρακτηριστικό ORIGIN ως εργαλείο χειραγώγησης και όχι ως αξιόπιστο δείκτη. Σε αυτό το σενάριο, η μόνη πραγματική άμυνα είναι η ενεργή παρακολούθηση της υποδομής, η επικύρωση της διαδρομής χρησιμοποιώντας RPKI και μια διαφοροποιημένη στρατηγική διασύνδεσης που ελαχιστοποιεί την εξάρτηση από αδιαφανείς παρόχους.
Δείκτης