- Atributas ORIGIN apibrėžia BGP maršruto kilmę pagal nuostatų hierarchiją IGP > EGP > INCOMPLETE.
- Maždaug 70 % pasaulinių maršrutų tiekėjai sąmoningai manipuliuoja, kad pritrauktų srautą ir padidintų pelną.
- Dėl šių pakeitimų vėlavimai yra nepastovūs, todėl sunku diagnozuoti ryšio problemas paskirstytose paslaugose.
- Siekiant sumažinti riziką, reikia naudoti RPKI, aktyviai stebėti prefiksus ir diversifikuoti tranzito paslaugų teikėjus.
Kalbėdami apie tai, kaip informacija juda internete, dažnai manome, kad viskas vyksta automatiškai ir skaidriai. Tačiau už šio fasado slypi protokolas, vadinamas BGP, kuris nuolat priima sprendimus pagal tam tikrus kriterijus, o vienas įdomiausių, nors kartais ir nepastebimas, yra ORIGIN atributas , kuris iš esmės nurodo, iš kur ateina maršrutas.
Tai, kas atrodo kaip nedidelė techninė detalė, daugeliui tapo dideliu galvos skausmu, nes paaiškėjo, kad daugelis operatorių sąmoningai keičia šią vertę , norėdami manipuliuoti srautu savo naudai. Ši praktika, prieštaraujanti nustatytiems reglamentams, gali lemti neefektyvų ryšį arba staigų tinklo išlaidų padidėjimą, jums nežinant, kodėl.
KILMĖS atributo supratimas: kilmės žemėlapis
Kalbant apie kilmę, atributas ORIGIN yra privalomas ir gerai žinomas BGP standarto laukas. Jo funkcija paprasta: nurodyti, kaip IP prefiksas pateko į maršrutizatoriaus maršruto lentelę. Pagal RFC 4271, yra trys galimos etiketės, apibrėžiančios šią kilmę:
- IGP (vidinių šliuzų protokolas): Tai yra pageidaujama reikšmė. Ji rodo, kad maršrutas buvo sugeneruotas pačioje autonominėje sistemoje, paprastai naudojant komandą
network. - EGP (išorinio šliuzo protokolas): Praktiškai pasenusi reikšmė, nes EGP protokolą pakeitė pats BGP.
- NEPILNAS: Ši etiketė rodoma, kai maršrutas yra išmoktas naudojant maršruto perskirstymas statiniai arba kiti vidiniai maršrutizavimo protokolai.
Renkantis geriausią maršrutą, BGP vadovaujasi labai aiškia hierarchija: IGP teikia pirmenybę prieš EGP ir EGP prieš INCOMPLETE. Paprastai standartas nurodo, kad šios vertės negalima keisti, kai ją nustato pradinis maršrutizatorius, tačiau, kaip matysime, realiame pasaulyje viskas ne visada yra taip paprasta.
Skaudžia realybė: manipuliacijos pasauliniu mastu
„Cloudflare“ pataikė tiesiai į dešimtuką atskleisdama, kad beveik 70 % analizuotų maršrutų rodo ORIGIN atributo manipuliavimą. Tai ne atsitiktinės klaidos, o sąmoninga kai kurių tranzito paslaugų teikėjų strategija, siekiant pritraukti srautą į savo tinklus ir atitinkamai padidinti pajamas . Kai kuriais kraštutiniais atvejais, kaip matyti iš BR_RIO rinkiklio, iki 90 % prefiksų buvo neatitikimų.
Šis manipuliavimas apima atributo perrašymą (pavyzdžiui, INCOMPLETE reikšmės pakeitimą į EGP arba IGP), kad jų maršrutai atrodytų patrauklesni nei konkurentų. Taip jie užtikrina, kad srautas eitų konkrečiu keliu, nereikalaujant modifikuoti AS_PATH arba MED atributų, kurie yra daug geriau matomi ir lengviau tikrinami tinklo administratoriams.
Tiesioginis poveikis infrastruktūrai ir startuoliams
Jei valdote startuolį, kuris naudoja debesijos paslaugas, CDN arba paskirstytas architektūras, tai ne tik techninis įdomumas; tai gali tiesiogiai paveikti jūsų pelną ir naudotojų patirtį. Manipuliuojamas maršrutas gali lemti kintamą ir nenuspėjamą delsą , nes srautas eina ne trumpiausiu keliu, o tuo, kurį teikėjas laiko ekonomiškiausiu.
Be to, dėl skaidrumo stokos atsiranda didžiulis operacinis sudėtingumas . Bandant diagnozuoti protarpinę ryšio problemą, pastebite, kad skirtingi stebėtojai mato skirtingas to paties prefikso ORIGIN reikšmes, todėl trikčių šalinimas tampa tikru košmaru. Pavyzdžiui, tiems, kurie naudoja „Juniper“ įrangą, įprasta matyti numatytąją reikšmę I (IGP), tačiau naudojant konkrečias maršruto parinkimo politikas, siekiant paveikti srautą, galima priversti atributą būti „neužbaigtas“.
Kaip apsaugoti savo tinklą ir pagerinti maršrutizavimą
Kad nepasiduotumėte transporto paslaugų teikėjų ekonominiams sprendimams, galite imtis kelių veiksmų. Pirma, labai svarbu stebėti savo BGP sąrašus naudojant tokias priemones kaip „RIPE Stat“, „BGPView“ arba „Cloudflare Radar“, kad nustatytumėte, ar kas nors keičia jūsų maršrutus.
Kita svarbi priemonė – tiekėjų diversifikavimas . Nedėkite visų kiaušinių į vieną krepšį; užmegzkite tiesioginį tarpusavio ryšį su vietiniais IXP, kad apeitumėte tarpininkus, kurie manipuliuoja atributais. Taip pat RPKI (išteklių viešojo rakto infrastruktūros) įdiegimas yra labai svarbus siekiant užkirsti kelią prefikso užgrobimui; nors tai neišsprendžia ORIGIN manipuliavimo problemos, tai prideda esminį saugumo sluoksnį.
Galiausiai, derybose dėl SLA patartina būti ryžtingiems. Nepriimkite paslaugos kaip juodosios dėžės; reikalaukite skaidrumo srauto inžinerijos politikoje ir aiškiai pasakykite, kad neleisite keisti savo BGP atributų be išankstinio ir pagrįsto įspėjimo.
Visuotinis maršrutų valdymas pasiekė kritinį tašką, kai RFC 4271 teorija tiesiogiai susiduria su komerciniais interesais, todėl ORIGIN atributas tampa manipuliavimo įrankiu, o ne patikimu indikatoriumi. Tokiu atveju vienintelė reali gynyba yra aktyvus infrastruktūros stebėjimas, maršrutų patvirtinimas naudojant RPKI ir diversifikuota sujungimo strategija, kuri sumažina priklausomybę nuo neskaidrių operatorių.