- Az ORIGIN attribútum határozza meg egy BGP útvonal eredetét az IGP > EGP > INCOMPLETE preferenciahierarchiát követve.
- A globális útvonalak körülbelül 70%-át a beszállítók szándékosan manipulálják a forgalom vonzása és a profit növelése érdekében.
- Ezek a változtatások következetlen késleltetéseket okoznak, és megnehezítik az elosztott szolgáltatások kapcsolódási problémáinak diagnosztizálását.
- Az enyhítéshez RPKI használata, aktív előtag-monitorozás és a tranzitszolgáltatók diverzifikálása szükséges.
Amikor arról beszélünk, hogyan mozog az információ az interneten, gyakran azt gondoljuk, hogy minden automatikusan és átláthatóan áramlik. E mögött az álca mögött azonban egy BGP nevű protokoll áll, amely állandó döntéseket hoz bizonyos kritériumok alapján, és az egyik legérdekesebb, bár néha figyelmen kívül hagyott protokoll az ORIGIN attribútum , amely alapvetően megmondja, honnan származik egy útvonal.
Ami egy apró technikai részletnek tűnik, sokak számára komoly fejfájást okozott, mivel kiderült, hogy sok szolgáltató tudatosan módosítja ezt az értéket, hogy saját hasznára manipulálja a forgalmat. Ez a gyakorlat, amely ellentétes a hatályos szabályozásokkal, kevésbé hatékony kapcsolatot eredményezhet, vagy a hálózati költségek ugrásszerű növekedését okozhatja anélkül, hogy pontosan tudnánk, miért.
Az ORIGIN attribútum megértése: Az eredettérkép
A lényegre térve, az ORIGIN attribútum egy kötelező és jól ismert mező a BGP szabványon belül. A funkciója egyszerű: azt jelzi, hogy az IP-előtag hogyan került be a router útválasztási táblázatába. Az RFC 4271 szerint három lehetséges címke létezik, amelyek meghatározzák ezt a származási helyet:
- IGP (belső átjáró protokoll): Ez az előnyben részesített érték. Azt jelzi, hogy az útvonalat magán az autonóm rendszeren belül generálták, jellemzően a parancs használatával.
network. - EGP (Külső átjáró protokoll): Gyakorlatilag elavult érték, mivel az EGP protokollt maga a BGP váltotta fel.
- BEFEJEZETLEN: Ez a címke akkor jelenik meg, ha az útvonalat a rendszer betanította. útvonal-újraelosztás statikus vagy más belső útválasztási protokollok.
A legjobb útvonal kiválasztásának folyamatában a BGP egy nagyon egyértelmű hierarchiát követ: az IGP-t részesíti előnyben az EGP-vel szemben , az EGP-t pedig az INCOMPLETE-tel szemben. Általános szabályként a szabvány kimondja, hogy ezt az értéket nem szabad megváltoztatni, ha a származási router már beállította, de mint látni fogjuk, a való világban a dolgok nem mindig ilyen egyszerűek.
A rideg valóság: Globális szintű manipulációk
A Cloudflare fején szöget talált, amikor feltárta, hogy az elemzett útvonalak közel 70%-ánál manipulálták az ORIGIN attribútumot. Ezek nem véletlenszerű hibák, hanem egyes tranzitszolgáltatók szándékos stratégiája, hogy forgalmat vonzzanak hálózatukra, és ennek következtében növeljék bevételeiket . Bizonyos szélsőséges esetekben, ahogy a BR_RIO gyűjtőben is látható, az előtagok akár 90%-a is mutatott inkonzisztenciákat.
Ez a manipuláció magában foglalja az attribútum átírását (például egy INCOMPLETE érték EGP-re vagy IGP-re cserélését), hogy az útvonalaik vonzóbbnak tűnjenek, mint a versenytársaké. Ezáltal biztosítják, hogy a forgalom egy adott útvonalon haladjon anélkül, hogy módosítaniuk kellene az AS_PATH vagy MED attribútumokat, amelyek sokkal láthatóbbak és könnyebben auditálhatók a hálózati rendszergazdák számára.
Közvetlen hatás az infrastruktúrára és a startupokra
Ha egy olyan startupot üzemeltetsz, amely felhőszolgáltatásokra, CDN-ekre vagy elosztott architektúrákra támaszkodik, ez nem csupán technikai érdekesség; közvetlenül befolyásolhatja a végeredményt és a felhasználói élményt. A manipulált útvonal változó és kiszámíthatatlan késleltetéshez vezethet , mivel a forgalom nem a legrövidebb útvonalat követi, hanem azt, amelyet a szolgáltató a legköltséghatékonyabbnak tart.
Továbbá ez az átláthatóság hiánya brutális működési bonyolultságot okoz . Amikor egy időszakos kapcsolódási problémát próbálunk diagnosztizálni, azt tapasztaljuk, hogy a különböző megfigyelők ugyanazon előtaghoz eltérő ORIGIN értékeket látnak, ami rémálommá teszi a hibaelhárítást. A Juniper eszközöket használók például gyakran látják az alapértelmezett I (IGP) értéket, de lehetséges az attribútumot „hiányos” állapotra kényszeríteni specifikus útválasztási szabályzatok segítségével a forgalom befolyásolása érdekében.
Hogyan védheti meg hálózatát és javíthatja az útvonalválasztást
Annak elkerülése érdekében, hogy a tömegközlekedési szolgáltatók gazdasági döntéseinek kényére-kedvére legyél, számos lépést tehetsz. Először is, kulcsfontosságú, hogy figyelemmel kísérd a saját BGP-listáidat olyan eszközökkel, mint a RIPE Stat, a BGPView vagy a Cloudflare Radar, hogy észleld, ha valaki módosítja az útvonalaidat.
Egy másik kulcsfontosságú intézkedés a szolgáltatók diverzifikálása . Ne tegyük minden tojásunkat egy kosárba; alakítsunk ki közvetlen peeringet a helyi IXP-kkel, hogy megkerüljük az attribútumokat manipuláló közvetítőket. Hasonlóképpen, az RPKI (Resource Public Key Infrastructure) megvalósítása létfontosságú az előtag-eltérítés megakadályozása érdekében; bár nem oldja meg az ORIGIN manipulációját, de egy lényeges biztonsági réteget biztosít.
Végül, tanácsos határozottan fellépni az SLA-tárgyalások során. Ne fogadja el a szolgáltatást fekete dobozként; követeljen átláthatóságot a forgalomirányítási szabályzatokban , és tegye világossá, hogy nem engedélyezi a BGP attribútumok előzetes és indokolt értesítés nélküli módosítását.
A globális útvonalkezelés kritikus ponthoz ért, ahol az RFC 4271 mögött álló elmélet frontálisan ütközik a kereskedelmi érdekekkel, így az ORIGIN attribútum inkább manipulációs eszközként, mint megbízható indikátorként szolgál. Ebben a forgatókönyvben az egyetlen valódi védekezés az aktív infrastruktúra-monitorozás, az RPKI-t használó útvonal-validálás és egy diverzifikált összekapcsolási stratégia, amely minimalizálja az átlátszatlan operátoroktól való függőséget.
Index