RIPE sada podučava sprječavanje propuštanja ruta. Evo zašto je to važno.
Tečaj sigurnosti rutiranja BGP-a pri RIPE NCC-u sada sadrži teoriju sprječavanja i otkrivanja propuštanja ruta prema RFC-u 9234, uz praktični laboratorij o postavljanju BGP Roles i upoznavanju s Only-To-Customer. 1
Kad registar nešto uvrsti u svoj standardni program, tema je iz eksperimentalnog prijedloga prešla u preporučenu operativnu praksu.
Praznina koju RPKI ostavlja
Prošli smo tjedan pisali o tome gdje RPKI staje. Glavno ograničenje vrijedi ponoviti: RPKI ne uklanja propuštanja ruta.
Propuštanje rute nije lažirano podrijetlo. Podrijetlo je legitimno i ROA besprijekorno prolazi provjeru. Problem je u širenju. Mreža primi rutu od jednog peera ili uzvodne veze i objavi je drugome, kamo nije smjela ići. Odjednom se mala regionalna mreža oglašava kao put prema velikim dijelovima interneta, a promet krene za njom, jer BGP vjeruje onome što mu se kaže.
Povijesno su propuštanja ruta izazvala neke od najvećih zabilježenih globalnih incidenata rutiranja, i gotovo su uvijek nesreća: zaboravljen filtar, politika primijenjena na krivu sesiju, predložak prepisan od drugog susjeda.
RPKI od toga ne vidi ništa, jer svaka objava u lancu ima valjano podrijetlo.
Roles i OTC ukratko
RFC 9234 uzima ono što svi ionako znaju neformalno — ova je sesija s klijentom, ona s uzvodnom vezom, ona treća s peerom — i to izriče unutar samog protokola. 2
Na svakoj eBGP sesiji postavljate ulogu: provider, customer, route server, route server client ili peer. Sposobnost Role razmjenjuje se u poruci OPEN, pa obje strane potvrđuju narav odnosa i odbijaju nespojive postavke. Kad su uloge poznate, atribut Only-To-Customer, neobavezan tranzitivan atribut puta, omogućuje usmjerivačima da označe i otkriju objave koje su otišle onamo kamo ih poslovni odnos ne pušta. 2
Ljepota je u tome što se zadaći koja je oduvijek bila zadaća filtriranja dodaje provjera na razini protokola. Klasično sprječavanje propuštanja znači održavati točne prefiksne filtre za svakog susjeda, što je golem posao, sklon pogreškama i vječno zastario. Roles i OTC usklađenim usmjerivačima omogućuju da mnoga propuštanja otkriju strukturno, iz samog odnosa, uz manju ovisnost o filtrima po susjedu.
Manju ovisnost, a ne zamjenu. RFC 9234 stoji uz vaše postojeće mehanizme, a ne umjesto njih, pa i dalje trebate filtriranje po IRR-u, RPKI provjeru podrijetla, ograničenja max-prefix i filtriranje bogona. Nestaje nešto drugo: pretpostavka da su ti filtri jedino što stoji između zatipkane politike i propuštanja.
Uvodi se i razmjerno lako: nekoliko redaka po sesiji u BIRD-u, FRR-u ili JunOS-u, a kad druga strana to ne podržava, sve blago degradira.
Nadzor koji dajemo klijentima
Držimo AS210464, a naš je stav da klijent mora moći upravljati vlastitim rutiranjem bez otvaranja tiketa.
To počinje RPKI provjerom ruta koje primamo, dakle provjerom podrijetla kao najnižom razinom. Nastavlja se punim skupom BGP zajednica koje vam daju nadzor „po obliku propuštanja” izravno u vašim objavama: ne objavljuj određenom AS-u, klijentima, izravnim peerovima, peerovima na IXP-u, route poslužiteljima ili uzvodnim vezama, uz regionalne postavke, prepending od jednom do tri puta, local-preference za pričuvne rute i blackholing pokrenut s vaše strane kad prefiks treba odbaciti na našem rubu, a ne na vašem poslužitelju.
Taj skup zajednica postoji zato što doseg objave treba biti vaša odluka, izrečena u samoj objavi, a ne filtar koji netko na našoj strani održava ručno i jednom će ga zabrljati.
BGP sesije počinju od 5 €/mj. Uz svaki virtualni stroj ide usmjereni /48 IPv6 prostora; ako vam treba prostor za objavu, a ne samo za korištenje, ili donosite svoj ili ga iznajmljujete od nas. Sesije se uspostavljaju prema lokalnim adresama pristupnika, 10.0.0.1 i fd10::1, uz uključen multihop na vašoj strani s TTL-om 255, a što naši usmjerivači stvarno vide možete provjeriti kroz looking glass iz Tirane, Skoplja, Amsterdama ili Dublina, bez računa i bez razgovora s prodajom.
Tri stvari vrijedne jednog poslijepodneva
Ako vozite BGP, počnite postavljanjem uloga na eBGP sesijama, i to najprije prema uzvodnim vezama, gdje propuštanje čini najviše štete.
Kad ste već ondje, pregledajte svoje ROA-ove. Operativni propusti poput zastarjelih ROA-ova i preširokih vrijednosti maxLength ostaju među najčešćim uzrocima objava nevaljanih po RPKI-ju, pa je najvjerojatniji incident rutiranja u vašoj budućnosti i dalje onaj koji sami izazovete.
I odslušajte RIPE-ov tečaj ako ste u regiji. Laboratoriji su najbrži način da se sprijateljite s ulogama i OTC-om.
Propuštanja ruta ostaju jedna od rijetkih vrsta internetskih kvarova gdje jedna krivo postavljena sesija može pokvariti uslugu mrežama koje za vas nikad nisu čule. Rješenje je sada standardizirano, podučava se i jeftino je. Isprika više gotovo da nema.