Kada govorimo o tome kako se informacije kreću internetom, često mislimo da sve teče automatski i transparentno. Međutim, iza te zavjese nalazi se protokol zvan BGP koji stalno donosi odluke na temelju određenih kriterija, a jedan od najzanimljivijih, iako ponekad ignoriranih, jest atribut PODRIJETLOšto nam u osnovi govori odakle dolazi ruta.
Ono što se čini kao sitnica, mnogima je postalo glavobolja, jer je otkriveno da Mnogi operateri mijenjaju ovu vrijednost. svjesno manipulirajući prometom u svoju korist. Ova praksa, koja je protivna utvrđenim pravilima, može uzrokovati manje učinkovitu vezu ili vrtoglavi porast troškova mreže, a da vi sasvim ne znate zašto.
Razumijevanje atributa ORIGIN: Mapa porijekla
Da se privedemo kraju, atribut ORIGIN je obavezno i dobro poznato polje unutar BGP standarda. Njegova je funkcija jednostavna: naznačiti kako je unesen IP prefiks u tablici usmjeravanja usmjerivača. Prema RFC 4271, postoje tri moguće oznake koje definiraju ovo porijeklo:
- IGP (Protokol unutarnjeg pristupnika): Ovo je preferirana vrijednost. Označava da je ruta generirana unutar samog autonomnog sustava, obično pomoću naredbe
network. - EGP (Exterior Gateway Protocol): Praktički zastarjela vrijednost, budući da je EGP protokol zamijenjen samim BGP-om.
- NEPOTPUN: Ova oznaka se pojavljuje kada je ruta naučena putem preraspodjelu ruta statički ili drugi interni protokoli usmjeravanja.
U procesu odabira najbolje rute, BGP slijedi vrlo jasnu hijerarhiju: preferira IGP nad EGP-omi EGP na INCOMPLETE. Kao opće pravilo, standard kaže da se ova vrijednost ne smije mijenjati nakon što ju je postavio usmjerivač koji potiče informacije, ali kao što ćemo vidjeti, u stvarnom svijetu stvari nisu uvijek tako čiste.
Surova stvarnost: Manipulacije na globalnoj razini
Cloudflare je pogodio u sridu otkrivši da gotovo 70% ruta Analizirani podaci pokazuju manipulaciju atributom ORIGIN. To nisu slučajne pogreške, već namjerna strategija nekih pružatelja tranzitnih usluga kako bi privukli promet u svoje mreže i stoga, povećajte svoje prihodeU nekim ekstremnim slučajevima, kao što se vidi u BR_RIO kolektoru, do 90% prefiksa pokazalo je nedosljednosti.
Ova manipulacija uključuje prepisivanje atributa (na primjer, promjenu vrijednosti INCOMPLETE u EGP ili IGP) kako bi njihove rute izgledale privlačnije od ruta konkurencije. Na taj način uspijevaju usmjeriti promet duž određene rute. bez potrebe za dodirivanjem AS_PATH ili MED, što su atributi koji su puno vidljiviji i lakše ih je revidirati mrežnim administratorima.
Izravan utjecaj na infrastrukturu i startupove
Ako vodite startup koji se oslanja na usluge u oblaku, CDN-ove ili distribuirane arhitekture, ovo nije samo tehnička zanimljivost; to može izravno utjecati na vašu dobit i korisničko iskustvo. Manipulirana ruta može dovesti do... promjenjiva i nepredvidiva latencijajer promet ne ide najkraćim putem, već onim koji pružatelj usluga smatra najprofitabilnijim.
Nadalje, ovaj nedostatak transparentnosti stvara brutalna operativna složenostPrilikom pokušaja dijagnosticiranja povremenog problema s povezivošću, primijetit ćete da različiti promatrači vide različite ORIGIN vrijednosti za isti prefiks, što rješavanje problema čini noćnom morom. Za one koji koriste Juniper opremu, na primjer, uobičajeno je vidjeti zadanu vrijednost I (IGP), ali moguće je prisilno postavi atribut na "nepotpun" putem specifičnih pravila usmjeravanja kako bi se utjecalo na promet.
Kako zaštititi svoju mrežu i poboljšati usmjeravanje
Kako biste izbjegli da budete prepušteni na milost i nemilost ekonomskim odlukama prijevoznika, možete poduzeti nekoliko koraka. Prvo je bitno Pratite vlastite BGP oglase korištenjem alata poput RIPE Stat, BGPView ili Cloudflare Radar za otkrivanje mijenja li netko vaše rute.
Druga ključna mjera je diverzifikacija dobavljačaNemojte stavljati sva jaja u jednu košaru; uspostavite izravno povezivanje na lokalnim IXP-ovima kako biste zaobišli posrednike koji manipuliraju atributima. Također, implementirajte RPKI (Infrastruktura javnog ključa resursa) Ključno je spriječiti otimanje prefiksa, iako to ne rješava manipulaciju ORIGIN-om, dodaje neophodan sloj sigurnosti.
Konačno, preporučljivo je biti agresivan u pregovorima o SLA-u. Nemojte prihvatiti uslugu kao crnu kutiju; zahtijevajte transparentnost u politikama prometnog inženjerstva i jasno navedite da ne pristajete na izmjenu svojih BGP atributa bez prethodne i opravdane obavijesti.
Globalno upravljanje usmjeravanjem doseglo je kritičnu točku gdje se teorija koja stoji iza RFC 4271 izravno sukobljava s komercijalnim interesima, ostavljajući atribut ORIGIN kao alat za manipulaciju, a ne kao pouzdan pokazatelj. U ovom scenariju, jedina prava obrana je aktivno praćenje infrastrukture, validacija rute pomoću RPKI-ja i diverzificirana strategija međusobnog povezivanja koja minimizira ovisnost o neprozirnim operaterima.