RIPE-ja tani e mëson parandalimin e rrjedhjeve të rrugëve. Ja pse ka rëndësi.
Kursi i Sigurisë së Routing-ut BGP i RIPE NCC-së tani përmban teorinë mbi Parandalimin dhe Zbulimin e Rrjedhjeve të Rrugëve sipas RFC 9234, bashkë me një laborator praktik për ngritjen e BGP Roles dhe eksplorimin e Only-To-Customer. 1
Kur RIR-i e fut diçka në kurrikulën e vet standarde, ajo ka kaluar nga një propozim eksperimental drejt praktikës operacionale të rekomanduar.
Hendeku që lë RPKI-ja
Javën e kaluar shkruam se ku ndalet RPKI-ja. Kufiri kryesor ia vlen të përsëritet: RPKI-ja nuk i eliminon rrjedhjet e rrugëve.
Një rrjedhje rruge nuk është origjinë e falsifikuar. Origjina është legjitime dhe ROA-ja validon në mënyrë të përsosur. Problemi është përhapja. Një rrjet merr një rrugë nga një peer ose upstream dhe ia rishpall një tjetri, ku nuk kishte pse të shkonte. Befas një rrjet i vogël rajonal po e reklamon veten si rrugë drejt pjesëve të mëdha të internetit, dhe trafiku e ndjek, sepse BGP-ja i beson asaj që i thuhet.
Historikisht, rrjedhjet e rrugëve kanë shkaktuar disa nga incidentet globale më të mëdha të Routing-ut të regjistruara ndonjëherë, dhe janë pothuajse gjithmonë aksidente: një filtër që mungon, një politikë e zbatuar te sesioni i gabuar, një template i kopjuar mes fqinjëve.
RPKI-ja nuk e sheh dot asgjë nga kjo, sepse çdo shpallje në zinxhir ka origjinë të vlefshme.
Roles dhe OTC, shkurt
RFC 9234 e merr atë që të gjithë e dinë tashmë në mënyrë joformale — që ky sesion është me një klient, ai me një upstream, ai tjetri me një peer — dhe e bën të shprehur brenda protokollit. 2
Ju konfiguroni një Role në secilin sesion eBGP: provider, customer, route server, route server client ose peer. Aftësia Role shkëmbehet në mesazhin OPEN, duke i lejuar të dyja anët ta konfirmojnë marrëdhënien dhe t'i hedhin poshtë konfigurimet e papajtueshme. Sapo rolet dihen, atributi Only-To-Customer — një atribut rruge opsional tranzitiv — u lejon router-ave t'i shënojnë dhe t'i zbulojnë shpalljet që kanë udhëtuar diku ku marrëdhënia e biznesit nuk e lejon. 2
Elegancia qëndron në faktin se i shton një kontroll në nivel protokolli asaj që ka qenë gjithmonë problem filtrimi. Parandalimi klasik i rrjedhjeve do të thotë të mbash filtra të saktë prefiksesh për çdo fqinj, çka është punë e stërmadhe, e prirur ndaj gabimit dhe përherë e vjetruar. Roles dhe OTC u lejojnë router-ave në përputhje t'i zbulojnë shumë rrjedhje strukturalisht, nga vetë marrëdhënia, duke ulur varësinë nga filtrat e prefikseve për çdo fqinj.
Duke ulur, jo duke zëvendësuar. RFC 9234 rri krahas kontrolleve tuaja ekzistuese, jo në vend të tyre, prandaj prapë ju duhen filtrimi me bazë IRR, validimi RPKI i origjinës, kufijtë max-prefix dhe filtrimi i bogon-ëve. Ajo që heq është supozimi se ata filtra janë e vetmja gjë që qëndron mes një politike të shkruar gabim dhe një rrjedhjeje.
Është gjithashtu relativisht e lehtë për t'u vendosur: disa rreshta për sesion në BIRD, FRR ose JunOS, dhe degradon me hijeshi kur ana tjetër nuk e mbështet.
Kontrolli që ua japim klientëve
Ne operojmë AS210464, dhe qëndrimi ynë është se një klient duhet të jetë në gjendje ta kontrollojë Routing-un e vet pa hapur tiketë.
Kjo nis me validimin RPKI mbi rrugët që pranojmë, që është validimi i origjinës si dysheme. Zgjerohet me një grup të plotë komunitetesh BGP që ju jep kontrolle të formës së rrjedhjes drejtpërdrejt në shpalljet tuaja: mos e shpall te një AS i caktuar, te klientët, te peer-at e drejtpërdrejtë, te peer-at e IXP-së, te route server-at ose te upstream-ët, plus kontrollet rajonale, prepending-un nga një deri në tri herë, local-preference për rrugët rezervë dhe blackholing-un e nisur në distancë, kur ju duhet një prefiks i hedhur poshtë në skajin tonë e jo te serveri juaj.
Ai grup komunitetesh ekziston sepse kontrolli i shtrirjes duhet të jetë vendimi juaj, i shprehur në vetë shpalljen, e jo një filtër që dikush nga ana jonë e mban me dorë dhe përfundimisht e ngatërron.
Sesionet BGP nisin nga 5 €/muaj. Çdo makinë virtuale vjen me një /48 IPv6 të routuar; nëse ju duhet hapësirë për të shpallur e jo thjesht për të përdorur, ose sillni tuajën, ose e merrni me qira nga ne. Sesionet bëjnë peering kundrejt adresave lokale të portës, 10.0.0.1 dhe fd10::1, me multihop të aktivizuar nga ana juaj me TTL 255, dhe mund të verifikoni çfarë shohin vërtet router-at tanë përmes looking glass nga Tirana, Shkupi, Amsterdami ose Dublini, pa llogari dhe pa telefonatë shitjeje.
Tri gjëra që ia vlejnë një pasdite
Nëse mbani BGP, nisni duke vendosur rolet në sesionet tuaja eBGP, duke filluar nga upstream-ët, ku një rrjedhje bën dëmin më të madh.
Auditoni ROA-të tuaja sa jeni aty. Gabimet operacionale, si ROA-të e vjetruara dhe vlerat tepër bujare të maxLength, mbeten ndër shkaqet më të zakonshme të shpalljeve të pavlefshme sipas RPKI-së, prandaj incidenti më i mundshëm i Routing-ut në të ardhmen tuaj mbetet ai që e shkaktoni ju.
Dhe ndiqeni kursin e RIPE-s nëse jeni në rajon. Laboratorët janë mënyra më e shpejtë për t'u ndier rehat me rolet dhe OTC-në.
Rrjedhjet e rrugëve mbeten një nga të paktat mënyra të dështimit të internetit ku një sesion i vetëm i keqkonfiguruar mund ta degradojë shërbimin për rrjete që nuk kanë dëgjuar kurrë për ju. Zgjidhja tani është e standardizuar, e mësuar dhe e lirë. Nuk ka mbetur shumë justifikim.