- Atribút ORIGIN definuje pôvod trasy BGP podľa hierarchie preferencií IGP > EGP > INCOMPLETE.
- Približne 70 % globálnych trás je dodávateľmi zámerne manipulovaných s cieľom prilákať dopravu a zvýšiť zisky.
- Tieto zmeny spôsobujú nekonzistentné latencie a sťažujú diagnostiku problémov s pripojením v distribuovaných službách.
- Zmiernenie si vyžaduje použitie RPKI, aktívne monitorovanie prefixov a diverzifikáciu poskytovateľov dopravy.
Keď hovoríme o tom, ako sa informácie pohybujú cez internet, často si myslíme, že všetko tečie automaticky a transparentne. Za touto fasádou sa však skrýva protokol s názvom BGP, ktorý neustále robí rozhodnutia na základe určitých kritérií a jedným z najzaujímavejších, hoci niekedy prehliadaných, je atribút ORIGIN , ktorý nám v podstate hovorí, odkiaľ trasa pochádza.
Čo sa zdá byť malým technickým detailom, sa pre mnohých stalo veľkou bolesťou hlavy, pretože sa zistilo, že mnohí operátori vedome menia túto hodnotu , aby manipulovali s prevádzkou vo svoj prospech. Táto prax, ktorá je v rozpore so zavedenými predpismi, môže viesť k menej efektívnemu pripojeniu alebo spôsobiť prudký nárast nákladov na sieť bez toho, aby ste presne vedeli prečo.
Pochopenie atribútu ORIGIN: Mapa pôvodu
Aby sme sa pustili do veci, atribút ORIGIN je povinné a dobre známe pole v rámci štandardu BGP. Jeho funkcia je jednoduchá: indikovať, ako sa prefix IP dostal do smerovacej tabuľky routera. Podľa RFC 4271 existujú tri možné označenia, ktoré definujú tento pôvod:
- IGP (protokol vnútornej brány): Toto je preferovaná hodnota. Znamená, že trasa bola vygenerovaná v rámci samotného autonómneho systému, zvyčajne pomocou príkazu
network. - EGP (Exterior Gateway Protocol): Prakticky zastaraná hodnota, keďže protokol EGP bol nahradený samotným protokolom BGP.
- NEDOKONČENÉ: Tento štítok sa zobrazí, keď bola trasa naučená prostredníctvom prerozdelenie trasy statické alebo iné interné smerovacie protokoly.
V procese výberu najlepšej trasy sa BGP riadi veľmi jasnou hierarchiou: uprednostňuje IGP pred EGP a EGP pred INCOMPLETE. Vo všeobecnosti štandard uvádza, že táto hodnota by sa po nastavení pôvodným smerovačom nemala meniť, ale ako uvidíme, v reálnom svete to nie je vždy také jednoduché.
Drsná realita: Manipulácie v globálnom meradle
Cloudflare trafil klinec po hlavičke, keď odhalil, že takmer 70 % analyzovaných trás vykazuje manipuláciu s atribútom ORIGIN. Nejde o náhodné chyby, ale skôr o zámernú stratégiu niektorých poskytovateľov dopravy na prilákanie prevádzky do svojich sietí a následne zvýšenie príjmov . V niektorých extrémnych prípadoch, ako je vidieť v kolektore BR_RIO, až 90 % prefixov vykazovalo nezrovnalosti.
Táto manipulácia zahŕňa prepísanie atribútu (napríklad zmenu hodnoty INCOMPLETE na EGP alebo IGP), aby sa ich trasy javili ako atraktívnejšie ako trasy konkurencie. Týmto spôsobom zabezpečujú, že prevádzka prechádza po určitej ceste bez nutnosti upravovať atribúty AS_PATH alebo MED, ktoré sú oveľa viditeľnejšie a pre správcov siete ich ľahšie auditujú.
Priamy vplyv na infraštruktúru a startupy
Ak prevádzkujete startup, ktorý sa spolieha na cloudové služby, CDN alebo distribuované architektúry, nejde len o technickú zvláštnosť; môže to priamo ovplyvniť vaše zisky a používateľskú skúsenosť. Manipulovaná trasa môže viesť k variabilnej a nepredvídateľnej latencii , pretože prevádzka nesleduje najkratšiu cestu, ale tú, ktorú poskytovateľ považuje za najnákladovo efektívnejšiu.
Okrem toho tento nedostatok transparentnosti vytvára brutálnu prevádzkovú zložitosť . Keď sa pokúšate diagnostikovať občasný problém s pripojením, zistíte, že rôzni pozorovatelia vidia rôzne hodnoty ORIGIN pre rovnaký prefix, čo robí z riešenia problémov nočnú moru. Napríklad pre tých, ktorí používajú zariadenia Juniper, je bežné vidieť predvolenú hodnotu I (IGP), ale je možné vynútiť, aby bol atribút „neúplný“, pomocou špecifických smerovacích politík na ovplyvnenie prevádzky.
Ako chrániť svoju sieť a zlepšiť smerovanie
Aby ste sa vyhli tomu, aby ste boli vydaní na milosť a nemilosť ekonomickým rozhodnutiam poskytovateľov dopravy, môžete podniknúť niekoľko krokov. Po prvé, je dôležité monitorovať vlastné zoznamy BGP pomocou nástrojov ako RIPE Stat, BGPView alebo Cloudflare Radar, aby ste zistili, či niekto mení vaše trasy.
Ďalším kľúčovým opatrením je diverzifikácia poskytovateľov . Nevkladajte všetky vajcia do jedného košíka; nadviažte priame prepojenie s lokálnymi IXP, aby ste obišli sprostredkovateľov, ktorí manipulujú s atribútmi. Podobne je implementácia RPKI (Resource Public Key Infrastructure) nevyhnutná na zabránenie únosu prefixov; hoci to nerieši manipuláciu s ORIGIN, pridáva to základnú vrstvu zabezpečenia.
Nakoniec je vhodné byť pri rokovaniach o SLA asertívny. Neprijímajte službu ako čiernu skrinku; požadujte transparentnosť v politikách inžinierstva prevádzky a jasne uveďte, že nepovolíte úpravy atribútov BGP bez predchádzajúceho a odôvodneného upozornenia.
Globálna správa smerovania dosiahla kritický bod, kde sa teória, ktorá stojí za RFC 4271, priamo stretáva s komerčnými záujmami, čím sa atribút ORIGIN stáva skôr nástrojom manipulácie než spoľahlivým indikátorom. V tomto scenári je jedinou skutočnou obranou aktívne monitorovanie infraštruktúry, overovanie trás pomocou RPKI a diverzifikovaná stratégia prepojenia, ktorá minimalizuje závislosť od nepriehľadných operátorov.