BGP для «чайников»

Заявка компании Qrator Labs в международную организацию IETF на внесение
изменений в стандарт протокола BGP принята на рассмотрение рабочей
группой по Interdomain Routing (IDR).

Презентация документа прошла в апреле 2017 г. на конференции Internet Engineering Task Force (IETF) в Буэнос-Айресе. IETF — это международная организация, представляющая собой большое профессиональное сообщество сетевых архитекторов, операторов, вендоров, исследователей со всего мира, влияющих на эволюцию архитектуры интернета и его функционирование. Это своего рода инженерный спецназ, призванный решать технические проблемы Всемирной паутины.

Компания Qrator Labs представила новый стандарт расширения протокола BGP для повышения его защищённости от угроз BGP hijacking (злонамеренное внесение изменений в префиксы в пакетах) и Rout Leaks (непреднамеренное направление трафика по ложному маршруту в результате ошибки администратора).

Система глобального мониторинга взаимодействия автономных систем Qrator.Radar фиксирует в среднем 30 000 ложных префиксов каждый месяц. «Эта угроза пока еще не начала создавать больших проблем, но в будущем, если вовремя не принять меры, она может оказаться одной из критических. Уже зафиксированы прецеденты намеренного использования уязвимости протокола BGP для «угона» трафика — перенаправления его по ложному маршруту. Злоумышленники меняют префикс автономной системы в BGP-пакетах на несуществующий, тем самым «сливая» его в никуда. В итоге сетевой ресурс, к которому направлялся трафик, становится недоступным для пользователей, то есть наблюдается DoS. На данный момент решения этой проблемы нет», — дал комментарий архитектор продукта Qrator.Radar Александр Азимов.

Компания предлагает добавить ещё один атрибут (Optional Transit Attribute) в BGP-пакеты, показывающий, какой характер носит устанавливаемое соединение: между узлами или между узлом и клиентом. «Это будет стимулировать администраторов более тщательно настраивать сети, поможет выявлять факты утечки маршрутов и идентифицировать AS, где это произошло», — пояснил Александр Азимов.

На данный момент изменения, предложенные Qrator Labs, прошли две стадии рассмотрения и получили статус WGA (Work Group Adopted). Следующим этапом станет доработка документа в рамках IDR и в дальнейшем проверка руководящей группой. В случае успешного прохождения этих этапов черновик станет новым сетевым стандартом.

Интернет работает на протоколах TCP/IP, BGP, DNS, HTTP. Причем BGP (Border Gateway Protocol) — это основной протокол динамической маршрутизации, который предназначен для обмена информацией о достижимости подсетей между автономными системами — группами маршрутизаторов под единым техническим и административным управлением. Это протокол, который обеспечивает доступность сетей на международном национальном уровне

Люди, писавшие двадцать лет назад стандарт BGP, предполагали, что настраивать его будут такие же хорошие специалисты, как они сами, понимающие, что и для чего написано, и заложили в протокол большую гибкость, позволяющую делать самые разнообразные вещи.

Однако за прошедшее время ситуация сильно изменилась. Количество операторов сильно возросло, а средняя квалификация их персонала снизилась. Появились связанные с этим ошибки. Плохо разбирающиеся в протоколе BGP операторы стали де-факто перенаправлять на себя трафик других операторов связи, и, «подвешивая» свои сети, создавать проблемы для других операторов, чей трафик они перехватили. Такая ситуация, например, произошла год назад с Telekom Malaysia, которая в результате допущенной персоналом ошибки перевела на себя часть трафика США, который из-за этого был потерян.

Qrator Labs предлагает ограничить такую сверхгибкость BGP: оставить ее для тех, кто разбирается в протоколе, и убрать для тех, кто в нем не разбирается, обеспечив для них простоту настройки. «Мы пытаемся сделать Google-автомобиль для BGP, — пояснил основатель и глава Qrator Labs Александр Лямин. — Чтобы неопытные технические специалисты у операторов связи, недавно севшие за руль или просто уставшие, не совершили ошибок, которые повлекут за собой тяжелые последствия для остальных участников движения. Мы смогли оформить и подать пока первую заявку. На самом деле их должно быть много. Из списка вещей, которые нужно исправлять в Интернете, причем срочно, из всего того, что сломано и что может сломаться, можно написать целый трактат. Но дорогу осилит идущий».