- Atribut ORIGIN definira porijeklo BGP rute slijedeći hijerarhiju preferencija IGP > EGP > INCOMPLETE.
- Otprilike 70% globalnih ruta dobavljači namjerno manipuliraju kako bi privukli promet i povećali profit.
- Ove promjene uzrokuju nekonzistentne latencije i otežavaju dijagnosticiranje problema s povezivošću u distribuiranim uslugama.
- Ublažavanje zahtijeva korištenje RPKI-ja, aktivno praćenje prefiksa i diverzifikaciju pružatelja tranzitnih usluga.
Kada govorimo o tome kako se informacije kreću internetom, često mislimo da sve teče automatski i transparentno. Međutim, iza te fasade krije se protokol nazvan BGP koji stalno donosi odluke na temelju određenih kriterija, a jedan od najzanimljivijih, iako ponekad zanemarenih, jest atribut ORIGIN , koji nam u osnovi govori odakle dolazi ruta.
Ono što se čini kao mali tehnički detalj postalo je velika glavobolja za mnoge, jer je otkriveno da mnogi operateri svjesno mijenjaju ovu vrijednost kako bi manipulirali prometom u vlastitu korist. Ova praksa, koja je protivna utvrđenim propisima, može rezultirati manje učinkovitom vezom ili uzrokovati vrtoglavi porast troškova mreže, a da vi ne znate zašto.
Razumijevanje atributa ORIGIN: Mapa porijekla
Da se pozabavimo time, atribut ORIGIN je obavezno i dobro poznato polje unutar BGP standarda. Njegova je funkcija jednostavna: naznačiti kako je IP prefiks ušao u tablicu usmjeravanja usmjerivača. Prema RFC 4271, postoje tri moguće oznake koje definiraju ovo porijeklo:
- IGP (Protokol unutarnjeg pristupnika): Ovo je preferirana vrijednost. Označava da je ruta generirana unutar samog autonomnog sustava, obično pomoću naredbe
network. - EGP (Exterior Gateway Protocol): Praktički zastarjela vrijednost, budući da je EGP protokol zamijenjen samim BGP-om.
- NEPOTPUN: Ova oznaka se pojavljuje kada je ruta naučena putem preraspodjelu ruta statički ili drugi interni protokoli usmjeravanja.
U procesu odabira najbolje rute, BGP slijedi vrlo jasnu hijerarhiju: preferira IGP u odnosu na EGP i EGP u odnosu na INCOMPLETE. Kao opće pravilo, standard navodi da se ova vrijednost ne smije mijenjati nakon što je postavi izvorni usmjerivač, ali kao što ćemo vidjeti, u stvarnom svijetu stvari nisu uvijek tako jednostavne.
Surova stvarnost: Manipulacije na globalnoj razini
Cloudflare je pogodio u sridu otkrivši da gotovo 70% analiziranih ruta pokazuje manipulaciju svojim atributom ORIGIN. To nisu slučajne pogreške, već namjerna strategija nekih pružatelja tranzitnih usluga kako bi privukli promet u svoje mreže i posljedično povećali prihode . U nekim ekstremnim slučajevima, kao što se vidi u BR_RIO kolektoru, do 90% prefiksa pokazalo je nedosljednosti.
Ova manipulacija uključuje prepisivanje atributa (na primjer, promjenu vrijednosti INCOMPLETE u EGP ili IGP) kako bi njihove rute izgledale privlačnije od ruta konkurencije. Time osiguravaju da promet ide određenom putanjom bez potrebe za izmjenom atributa AS_PATH ili MED, koji su puno vidljiviji i mrežnim administratorima lakši za reviziju.
Izravan utjecaj na infrastrukturu i startupove
Ako vodite startup koji se oslanja na usluge u oblaku, CDN-ove ili distribuirane arhitekture, ovo nije samo tehnička zanimljivost; to može izravno utjecati na vašu dobit i korisničko iskustvo. Manipulirana ruta može dovesti do promjenjive i nepredvidive latencije , jer promet ne slijedi najkraći put, već onaj koji pružatelj smatra najisplativijim.
Nadalje, ovaj nedostatak transparentnosti stvara brutalnu operativnu složenost . Kada pokušate dijagnosticirati povremeni problem povezivanja, otkrit ćete da različiti promatrači vide različite ORIGIN vrijednosti za isti prefiks, što rješavanje problema čini noćnom morom. Za one koji koriste Juniper opremu, na primjer, uobičajeno je vidjeti zadanu vrijednost I (IGP), ali moguće je prisiliti atribut na "nepotpun" korištenjem specifičnih politika usmjeravanja kako bi se utjecalo na promet.
Kako zaštititi svoju mrežu i poboljšati usmjeravanje
Kako biste izbjegli da budete prepušteni na milost i nemilost ekonomskim odlukama pružatelja usluga prijevoza, možete poduzeti nekoliko koraka. Prvo, ključno je pratiti vlastite BGP popise pomoću alata poput RIPE Stat, BGPView ili Cloudflare Radar kako biste otkrili mijenja li netko vaše rute.
Još jedna ključna mjera je diverzifikacija pružatelja usluga . Nemojte stavljati sva jaja u jednu košaru; uspostavite izravno povezivanje s lokalnim IXP-ovima kako biste zaobišli posrednike koji manipuliraju atributima. Slično tome, implementacija RPKI-ja (Resource Public Key Infrastructure) ključna je za sprječavanje otmice prefiksa; iako ne rješava manipulaciju ORIGIN-om, dodaje bitan sloj sigurnosti.
Konačno, preporučljivo je biti asertivan u pregovorima o SLA-u. Nemojte prihvatiti uslugu kao crnu kutiju; zahtijevajte transparentnost u politikama inženjerstva prometa i jasno dajte do znanja da nećete dopustiti izmjene svojih BGP atributa bez prethodne i opravdane obavijesti.
Globalno upravljanje usmjeravanjem doseglo je kritičnu točku gdje se teorija koja stoji iza RFC 4271 izravno sukobljava s komercijalnim interesima, ostavljajući atribut ORIGIN kao alat za manipulaciju, a ne kao pouzdan pokazatelj. U ovom scenariju, jedina prava obrana je aktivno praćenje infrastrukture, validacija rute pomoću RPKI-ja i diverzificirana strategija međusobnog povezivanja koja minimizira ovisnost o neprozirnim operaterima.