استجابة كلودفلير لتسريب التوجيه جعلت الإصلاح القابل للتحقق أكثر أهمية من الطمأنة

ملخص

• في يونيو 2019، تسريب توجيه BGP شمل شبكة صغيرة، محسن مسار وفيريزون عطل قابلية الوصول لكلودفلير وخدمات أخرى. رد كلودفلير العام أكد بشكل صحيح فشل أمن التوجيه خارج شبكتها المباشرة.
• العدسة الجديدة هي الإصلاح القابل للتحقق مقابل الطمأنة. بعد تسريب توجيه، يحتاج عملاء المزود إلى أكثر من تفسير واثق؛ يحتاجون إلى دليل أن سلطة أصل التوجيه، التصفية الأولية، التحقق والمراقبة تحسنت.
• لم تكن كلودفلير المسبب الأصلي في السجل العام، لكن كان لديها سيطرة عملية على سلطة التوجيه الخاصة بها، دعوة RPKI، اتصال العملاء، المراقبة، ضغط النقل والشرح العام للمخاطر المتبقية.
• فيريزون والشبكة المسربة سيطروا على نقاط انتشار عالية النفوذ. لذلك تفصل خريطة المساءلة الأصل، المضخم، المزود المتأثر، الشبكات المدققة والعملاء بدلاً من معاملة الإنترنت كحادث مجهول.
• الدرس الدائم هو أن حوادث التوجيه يجب أن تترك آثارًا قابلة للقياس: ROAs، رفض المسار غير الصحيح، تغييرات الفلتر، متطلبات النظراء، بيانات التوجيه العامة، الجداول الزمنية للحادث وتوجيه العملاء حول ما يمكن وما لا يمكن تأمينه من خلال إجراء المزود وحده.

سجل الأدلة وكيفية استخدامه

تستخدم هذه المقالة تحليل كلودفلير العام للحادث كحساب مزود متأثر من الدرجة الأولى، ومصادر التوجيه والصناعة الخارجية لسياق أمن التوجيه، ومعايير RFC أو التوجيه الحكومي لضوابط BGP وRPKI وتسريب التوجيه الحالية. تُستخدم المعايير اللاحقة لتأطير الإصلاح القابل للتحقق، وليس كواجبات قانونية بأثر رجعي لكل مشارك في 2019.

الطمأنة ليست إصلاحًا

تنتج تسريبات التوجيه مشكلة اتصال عامة متوقعة. يريد المزود المتأثر طمأنة العملاء بأن الانقطاع كان بسبب شيء خارج سيطرته المباشرة. قد يكون ذلك صحيحًا. في يونيو 2019، حدد تحليل كلودفلير العام سلوك نشر التوجيه الذي شمل فيريزون ومحسن مسار تستخدمه شبكة أصغر. كانت كلودفلير مزودًا متأثرًا، وليس المصدر الأصلي لمعلومات التوجيه السيئة. لكن العملاء لا يشترون فقط تخصيص اللوم. يشترون خدمة قابلة للوصول. بعد حادث توجيه، يجب أن تتحول الطمأنة إلى دليل إصلاح.

دليل الإصلاح يجيب على أسئلة لا تستطيع الطمأنة الإجابة عليها. هل نشر المزود المتأثر ترخيص أصل توجيه دقيق لبادئاته؟ هل يرفض مزودو النقل الخاص به الطرق غير الصالحة أو غير المصرح بها؟ هل يرفض المزود نفسه الطرق غير الصالحة من الآخرين؟ هل ضغط على النظراء أو اختارهم بناءً على صحة التوجيه؟ هل يمكن للعملاء رؤية ما إذا كانت بيانات التوجيه العامة تدعم التحليل اللاحق؟ هل يكشف المزود عن المخاطر المتبقية التي تظل خارج سيطرته؟ ما هي الضوابط التي تغيرت بعد الحدث؟

رد كلودفلير مثير للاهتمام لأن الشركة قد وضعت نفسها بالفعل كمناصر لأمن التوجيه. نشرت شروحات لـ RPKI ودعت إلى الحاجة لتصفية التوجيه والتحقق منه. هذه المناصرة قيمة. سؤال المساءلة هو كيفية جعلها قابلة للتحقق. يمكن للمزود أن يقول إن نظام التوجيه يحتاج إلى تحسين. يحتاج العملاء إلى معرفة ما فعله المزود بنفسه: ROAs، سياسات التحقق، متطلبات النقل، المراقبة، اتصالات العملاء وتدريبات الحوادث.

هذا التمييز ليس دقيقًا بشكل مفرط. توجيه الإنترنت هو نظام ثقة مع العديد من العلاقات الخاصة. لا يمكن للعملاء فحص كل فلتر نقل أو سياسة نظير. لذلك الدليل العام ضروري. مجمعات الطرق، مستودعات RPKI، المشاركة في MANRS، الجداول الزمنية للحوادث وبيانات المزود تصبح كلها بدائل عن الفحص المباشر. كلما كان الدليل العام أقوى، قل اضطرار العملاء للاعتماد على ثقة العلامة التجارية.

للطمأنة أيضًا عمر افتراضي. مباشرة بعد الحادث، قد تهدئ العملاء. بعد أشهر، السؤال المهم هو ما إذا كان ضعف الترابط أصبح أصغر. تسريب توجيه لا يترك وراءه سوى منشور مدونة علم أقل من الذي يترك تحققًا قابلاً للقياس، فلاتر أفضل وضغط مساءلة عام. الدرس الأساسي هو أن الإصلاح يجب أن يكون قابلاً للتفتيش.

التسريب كان له أدوار: أصل، مضخم وضحية

غالبًا ما توصف حوادث التوجيه كما لو أن الإنترنت فشل بشكل عام. هذه اللغة غامضة جدًا للمساءلة. خريطة تسريب توجيه مفيدة تفصل الأدوار. شبكة سربت أو نشأت معلومات توجيه إشكالية. شبكة أخرى ذات نطاق أوسع قبلتها ونشرتها. مزودون متأثرون مثل كلودفلير رأوا حركة مرورهم محولة أو قابلية الوصول معطلة. شبكات أخرى إما قبلت أو رفضت أو لاحظت الطريق. العملاء عانوا من فشل الخدمة دون التحكم في أي من قرارات التوجيه هذه.

خريطة الأدوار هذه تمنع خطأين. الخطأ الأول هو إلقاء اللوم على المزود المتأثر عن كل فشل في قابلية الوصول. لم تتحكم كلودفلير في قبول فيريزون للطريق أو محسن مسار الشبكة الأصغر. الخطأ الثاني هو إعفاء المزود المتأثر بالكامل لأن التسريب نشأ في مكان آخر. كانت كلودفلير لا تزال تسيطر على سلطة التوجيه الخاصة بها، وضع التحقق الخاص بها، مراقبتها، اتصالها بعملائها وضغطها التجاري على شركاء الشبكة. المساءلة موزعة وليست منحلة.

دور فيريزون كان مهمًا لأن التضخيم يحدد نصف قطر الانفجار. طريق سيئ لشبكة صغيرة يمكن أن يبقى صغيرًا إذا قامت الشبكات الأولية بتصفيته. نشر مزود نقل رئيسي يمكن أن يجعله عالميًا. لذلك تصفية المنبع ليست مجرد مجاملة اختيارية. إنها التزام سلامة للشبكات التي تبيع الوصول. كلما زادت قابلية الوصول التي يمتلكها المزود، زادت دقة تحققه مما ينشره.

زاوية محسن المسار هي أيضًا تحذير حول الأتمتة. الأدوات التي تحسن قرارات BGP يمكن أن تخلق تغييرات توجيه عالية النفوذ. إذا سُمح لهذه الأدوات بتسريب الطرق عبر علاقات المزود، يمكنها تحويل هندسة المرور التجارية إلى انقطاع عام. الأتمتة لا تقلل من المساءلة؛ إنها ترفع الحاجة إلى القيود، اختبار سياسات التوجيه والمراقبة.

دور كلودفلير كمزود متأثر يحمل التزامًا مختلفًا: جعل فشل التحكم الخارجي مرئيًا، شرحه بدقة، وتحويل الحدث إلى مطالب أقوى لأمن التوجيه. هذا شكل مشروع من المساءلة. يمكن للمزود المساعدة في إصلاح النظام البيئي حتى عندما لم يسبب التسريب الأصلي. المفتاح هو جعل الإصلاح قابلاً للقياس.

RPKI يغير معيار الدليل

RPKI مهم لأنه يحول بعض أسئلة سلطة التوجيه إلى بيانات قابلة للتحقق تشفيريًا. يمكن لحامل المورد نشر ترخيص أصل توجيه يذكر أي نظام مستقل مصرح له بنشر بادئة وبأي طول أقصى. الشبكات التي تقوم بالتحقق من أصل التوجيه يمكنها تصنيف الطرق المستلمة ورفض الأصول غير الصالحة حيث تتطلب السياسة. هذا لا يحل كل تسريب توجيه، لكنه يغير ما يمكن إثباته.

لكلودفلير، RPKI لم يكن مجرد إصلاح تقني. كان أداة مساءلة. إذا نشرت الشركة ROAs دقيقة لبادئاتها، يمكن للعملاء والشبكات الأخرى فحص جزء من سجل السلطة. إذا رفضت الشبكات الطرق غير الصالحة، تصبح بعض إعلانات الأصل الخاطئ أقل خطورة. إذا قامت كلودفلير بقياس ودعوة التبني، فإنها تخلق ضغطًا على الشبكات التي لا تزال تقبل السلطة غير الصالحة. يصبح الإصلاح أقل اعتمادًا على التأكيدات الخاصة.

RPKI ليس درعًا سحريًا. تسريب التوجيه يمكن أن يشمل طريقًا يظل صالحًا من حيث الأصل لأن AS الأصل لا يزال مصرحًا به بينما علاقة المسار خاطئة. لذلك أهمية تصنيف تسريب التوجيه RFC 7908 والآليات اللاحقة مثل أدوار BGP. تحقق أصل التوجيه يجيب على من يمكنه النشر؛ منع تسريب التوجيه يسأل أيضًا عما إذا كان يجب نشر الطريق عبر علاقة معينة. الإصلاح القابل للتحقق يجب أن يشمل كلاً من التحقق من الأصل والتصفية الواعية بالعلاقة.

هذا الدقة مهم للاتصال الصادق مع العملاء. لا ينبغي للمزود أن يوحي بأن RPKI يجعل جميع حوادث التوجيه مستحيلة. يجب أن يشرح ما يمكن لـ RPKI منعه، وما لا يمكنه منعه، وما هي الضوابط التكميلية المطلوبة. يمكن للعملاء بعد ذلك فهم المخاطر المتبقية. المبالغة في تقدير الضبط هي شكل آخر من الطمأنة دون إصلاح.

القيمة العامة لـ RPKI هي أنه يخلق قطع أثرية. يمكن فحص ROAs. يمكن قياس رفض الطرق غير الصالحة. يمكن تتبع التبني. يمكن سؤال مشغلي الشبكات لماذا يفعلون أو لا يفعلون التحقق. هذه القطع الأثرية تعطي العملاء شيئًا أقوى من اعتذار بعد الحادث. مناصرة أمن التوجيه لكلودفلير تكون أقوى عندما ترتبط بهذا الدليل القابل للتفتيش.

معايير MANRS تحول التوجيه الخاص إلى توقع عام

MANRS مهم لأن أمن التوجيه لا يمكن حله بمزود واحد بمفرده. الشبكة التي تنشئ، المنبع الذي يقبل، النظير الذي ينشر والمصب الذي يتحقق كلهم يشكلون النتيجة. المعايير الطوعية مثل التصفية، مكافحة الانتحال، التنسيق والتحقق العالمي تجعل سلوك الترابط الخاص مرئيًا كتوقع عام. لا تضمن الامتثال، لكنها تحدد ما يجب أن يكون المشغلون المسؤولون قادرين على إظهاره.

لحادث يونيو 2019، عدسة MANRS مباشرة. أصبح التسريب ضارًا لأن معلومات التوجيه غير الصحيحة هربت من حدود العلاقة ونشرت على نطاق واسع. تصفية إعلانات العملاء والحفاظ على معلومات توجيه دقيقة هي واجبات منع أساسية. التنسيق وجاهزية الاتصال مهمان بمجرد أن يبدأ التسريب. التحقق مهم في الشبكات التي تستلم الطريق. النظام يحتاج إلى كل هذه الضوابط لأنه لا توجد طبقة واحدة تلتقط كل فشل.

لذلك يجب الحكم على رد كلودفلير جزئيًا من خلال كيفية استخدام موقعها السوقي لدفع هذه المعايير. هل طلبت صحة توجيه أفضل من مزودي النقل؟ هل نشرت دور التصفية؟ هل جعلت تبني أمن التوجيه أسهل أو أكثر وضوحًا؟ هل دعمت التعليم العام حتى يفهم العملاء لماذا خيارات المنبع لمزودهم مهمة؟ هذه الإجراءات يمكن أن تحول انقطاعًا إلى ضغط على النظام البيئي.

يمكن للعملاء أيضًا استخدام أسئلة على غرار MANRS في المشتريات. هل يقوم المزود بتصفية طرق العملاء؟ هل يتحقق من RPKI؟ هل يحتفظ بأشياء توجيه دقيقة؟ هل لديه جهات اتصال أمن توجيه على مدار 24 ساعة؟ هل يشارك في مبادرات أمن التوجيه المعترف بها؟ هل ينشر تقارير الحوادث عندما يحدث خطأ في التوجيه؟ يجب على العميل الذي يشتري أمن الحافة أن يسأل عن أمن التوجيه لأن الحافة لا يمكن الوصول إليها إلا من خلال نظام التوجيه.

النقطة ليست أن المعايير الطوعية تحل محل التنظيم أو العقد. النقطة هي أن سلوك التوجيه غالبًا ما يعيش بين العقود الخاصة والضرر العام. توقعات على غرار MANRS تعطي العملاء والنظراء مفردات للسؤال عن هذا السلوك. الإصلاح القابل للتحقق يعتمد على مفردات يمكن اختبارها.

دليل BGP العام جزء من سجل الحادث

تسريبات التوجيه غير عادية بين حوادث البنية التحتية لأن الغرباء يمكنهم مراقبة أجزاء مهمة منها. RouteViews و RIPE RIS وغيرها من المجمعات لا تكشف عن نية جهاز التوجيه الخاص، لكنها يمكن أن تظهر الإعلانات، السحوبات، مسارات AS والتوقيت من العديد من نقاط المراقبة. هذا الدليل العام يساعد في التحقق من روايات الحوادث أو تحديها. كما يساعد المزودين المتأثرين في شرح ما حدث دون مطالبة العملاء بقبول كل ادعاء على أساس الثقة.

استخدم تحليل كلودفلير العام أدلة التوجيه لإظهار كيف تطور الانقطاع. هذه ممارسة جيدة. يجب أن يتضمن تحليل تسريب التوجيه بيانات توجيه عامة كافية لجعل الآلية قابلة للقراءة: أي البادئات تأثرت، أي مسارات AS كانت متضمنة، ما الذي تغير بمرور الوقت، متى توقف الانتشار وما هي التخفيفات التي كانت مهمة. الهدف ليس إغراق القراء بجداول BGP. إنه جعل القصة السببية قابلة للتدقيق.

الدليل العام يحمي أيضًا من اللوم الغامض. إذا قال مزود إن منبعًا سرب طرقًا، يجب أن يدعم سجل التوجيه هذا الادعاء. إذا قال منبع إنه أصلح التصفية، يجب أن يكون سلوك التوجيه اللاحق متسقًا مع الإصلاح. إذا قالت شبكة إنها ترفض طرق RPKI غير الصالحة، يجب أن يكون القياس العام قادرًا على اختبار ذلك بعبارات واسعة. كلما أصبحت ادعاءات أمن التوجيه قابلة للقياس، قل مجال الإصلاح القائم على السمعة فقط.

يجب على العملاء طلب أدلة توجيه بعد الحادث في شكل قابل للاستخدام. سرد قصير مفيد للمديرين التنفيذيين. ملحق تقني مفيد لفرق الشبكات. جدول زمني مفيد لمديري الحوادث. قائمة الضوابط المتغيرة مفيدة لأصحاب المخاطر. لا ينبغي أن يحتاج العميل ليكون خبيرًا في BGP ليفهم ما إذا كان المزود قد انتقل من الشرح إلى الإصلاح.

لدليل التوجيه العام حدود. قد لا يلتقط كل نظير خاص أو قرار سياسة أو إنذار داخلي. قد يكون صاخبًا. قد يتطلب تفسيرًا خبيرًا. لكن حدوده ليست سببًا لحذفه. في مساءلة التوجيه، الدليل العام غير الكامل لا يزال أفضل من الطمأنة الخاصة وحدها.

مساءلة مزود النقل هي نقطة النفوذ العالية

أظهر حادث يونيو 2019 مرة أخرى أن مزودي النقل لديهم نفوذ عالٍ. شبكة صغيرة يمكنها التسريب. محسن مسار يمكن أن يسيء التصرف. لكن مزود نقل رئيسي يمكنه أن يقرر ما إذا كان هذا الطريق سيصبح معتقدًا على نطاق واسع. فلاتر العملاء، حدود البادئة، التحقق من صحة التوجيه وسياسات العلاقة هي ضوابط سلامة عامة لأنها تحدد مدى سفر المعلومات السيئة.

هذا هو المكان الذي يمكن أن تفشل فيه الحوافز التجارية. يتنافس مزودو النقل على الوصول والأداء والسعر. التصفية والتحقق يتطلبان جهدًا تشغيليًا ويمكن أن يخلقا احتكاكًا مع العملاء. إذا لم يكافئ السوق صحة التوجيه، قد يقلل المزودون من الاستثمار حتى يخلق حادث تكلفة سمعة. لذلك يجب على العملاء والشبكات المتأثرة جعل صحة التوجيه جزءًا من اختيار البائع وضغط النظير.

انتقاد كلودفلير العام لنقطة التضخيم خدم وظيفة سوقية مفيدة. سمّى فشل النفوذ العالي. لكن التسمية هي البداية فقط. الإصلاح القابل للتحقق يتطلب دليلًا أن سياسات النقل تغيرت، وأن الطرق غير الصالحة أو غير المصرح بها تُرفض، وأن مجموعات طرق العملاء تُحافظ عليها، وأن تسريبات التوجيه تطلق احتواءًا سريعًا. بعض هذا الدليل قد يأتي من التزامات عامة؛ بعض من قياسات؛ بعض من متطلبات تعاقدية؛ بعض من غياب حوادث مستقبلية مع التدقيق.

المزودون المتأثرون لديهم نفوذ أيضًا. شبكة حافة كبيرة يمكنها اختيار علاقات النقل، وضع تفضيلات النظير، نشر متطلبات أمن التوجيه وتثقيف العملاء حول صحة المزود. لا يمكنها إجبار كل شبكة على الإنترنت على التحقق، لكنها يمكنها تغيير الحوافز حول ترابطها الخاص. إذا كان المزود يبيع الأمن والموثوقية، فإن شراء أمن التوجيه هو جزء من المنتج، وليس مجرد عمل خلفي لفريق الشبكة.

الدرس السياسي الأوسع هو أن تصفية المنبع يجب أن تُعامل كواجب مرتبط بالوصول. كلما زاد الوصول العالمي الذي تبيعه شبكة، زاد الضرر العام الذي يمكن أن تخلقه بقبول الطرق السيئة. هذا الواجب يجب أن يكون مرئيًا في المعايير والعقود وعمليات التدقيق وتقارير ما بعد الحادث.

استمرارية العميل لها حدود تحت فشل التوجيه

غالبًا ما يسأل العملاء ما الذي كان بإمكانهم فعله بشكل مختلف بعد انقطاع المزود. في تسريب توجيه يؤثر على مزود حافة رئيسي، قد تكون الإجابة غير مريحة: ليس الكثير في الوقت الفعلي، إلا إذا كان العميل قد بنى مسارات تسليم مستقلة مسبقًا. إذا وجه الإنترنت العام حركة المرور بعيدًا عن مسارات المزود المشروعة، قد يكون أصل العميل سليمًا ولا يزال غير قابل للوصول عبر الحافة المتوقعة. قد يساعد تجاوز فشل DNS في بعض البنى، لكنه قد يكون مقيدًا بالتخزين المؤقت، إعداد الشهادة، سعة الأصل واستعداد المزود البديل.

هذا لا يعني أن العملاء عاجزون. يمكنهم تصنيف الخدمات الحرجة، الحفاظ على صفحات حالة بديلة، استخدام CDN متعدد أو خيارات احتياطية مباشرة للأصل لأعباء عمل محددة، المراقبة من شبكات متنوعة، وتجنب وضع كل قناة اتصال عامة خلف نفس المزود. لكن هذه الإجراءات تتطلب تخطيطًا. خلال تسريب توجيه، نادرًا ما يكون الارتجال كافيًا.

مساءلة كلودفلير تجاه العملاء هي إذن تفسيرية جزئيًا. يجب أن تخبر العملاء عن المخاطر التي يمكن لكلودفلير تقليلها من خلال RPKI ومراقبة التوجيه واختيار النقل، وأي المخاطر تتطلب بنية العميل. المزود الذي يوحي بأنه يمكنه امتصاص جميع إخفاقات توجيه الإنترنت يدعو إلى ثقة في غير محلها. المزود الذي يشرح المخاطر المتبقية يساعد العملاء على اتخاذ قرارات استمرارية أفضل.

يجب أن تعكس عقود العملاء وتقييمات المخاطر هذا. قد لا يغطي التزام مستوى الخدمة التأثير التشغيلي الكامل لتسريبات التوجيه. لا تحافظ الاعتمادات على وصول الخدمة. يجب على العملاء أن يسألوا ما إذا كانت أعباء العمل الحرجة تحتاج إلى تنوع في التسليم، وما إذا كان هذا التنوع مستقلًا حقًا، وما إذا كانت قنوات الاتصال الطارئة تنجو من نفس فشل التوجيه. قد تختلف الإجابات حسب عبء العمل، لكن الأسئلة إلزامية للخدمات عالية التأثير.

يظهر حادث تسريب التوجيه أيضًا أن مخاطر الاعتماد يمكن أن تكون غير مرئية حتى الفشل. قد لا يعرف العميل أي علاقات نقل أو سياسات توجيه تشكل قابلية الوصول عبر مزود. لذلك شفافية المزود مهمة. لا يمكن للعملاء إدارة ما يرفض المزود جعله قابلاً للقراءة.

الإصلاح القابل للتحقق يحتاج إلى قائمة مراجعة

يجب أن يكون لسجل إصلاح تسريب التوجيه الموثوق عناصر قابلة للملاحظة. أولاً، جدول زمني دقيق لانتشار التوجيه والكشف والتخفيف والاسترداد. ثانيًا، خريطة أدوار تحدد الأصل والمضخم والبادئات المتأثرة والشبكات المدققة حيثما كانت معروفة. ثالثًا، دليل أصل التوجيه: ROAs، خيارات maxLength ووضع التحقق. رابعًا، دليل التصفية: ضوابط مجموعة طرق العملاء، رفض الطرق غير الصالحة وطرق منع تسريب التوجيه. خامسًا، دليل التنسيق: جهات الاتصال والتصعيد والاتصال بالشبكات المسؤولة. سادسًا، توجيه العملاء حول المخاطر المتبقية وتصاميم الاستمرارية المحتملة.

مثل هذه القائمة كانت ستجعل حدث يونيو 2019 أكثر من مجرد سرد. قدمت كلودفلير شرحًا عامًا كبيرًا ومناصرة. خطوة المساءلة التالية هي ربط كل ادعاء بقطعة أثرية دائمة. إذا كان RPKI جزءًا من الإجابة، أظهر التبني. إذا كانت تصفية المنبع جزءًا من الإجابة، اذكر التوقعات للمنبع. إذا كانت مجمعات الطرق العامة تدعم الجدول الزمني، قم بتضمين بيانات كافية للتفتيش. إذا كان العملاء بحاجة إلى تغييرات في البنية، قل ذلك مباشرة.

هذه القائمة تحمي أيضًا المزودين المتأثرين. عندما يمكن للمزود أن يُظهر أنه نشر ROAs، تحقق من الطرق، راقب BGP العام، اختار نقلاً مسؤولاً وتصاعد بسرعة، يمكن للعملاء رؤية أن المخاطر المتبقية جاءت من نظام التوجيه الأوسع. بدون هذا الدليل، قد لا يسمع العملاء سوى الطمأنة. الدليل هو أقوى دفاع للمزود عندما لم يكن هو مصدر الخطأ حقًا.

يجب أن يكون الإصلاح القابل للتحقق قابلاً للتكرار عبر الحوادث. يمكن تطبيق نفس البنية على تسريبات تؤثر على CDNs، مزودي السحابة، البنوك، بوابات الحكومة أو مستودعات البرمجيات. تختلف التفاصيل، لكن عناصر المساءلة تبقى: سلطة التوجيه، التحكم في الانتشار، التحقق، المراقبة، التنسيق واستمرارية العميل.

يجب أيضًا تحديث القائمة مع تطور التكنولوجيا. تعالج أدوار BGP وآليات Only-to-Customer في RFC 9234 منع تسريب التوجيه الواعي بالعلاقة الذي لا يمكن لتحقق أصل RPKI حله بمفرده. لا ينبغي للمزودين تجميد نموذج الإصلاح الخاص بهم عند الضوابط المتاحة في 2019. برنامج إصلاح حقيقي يتبنى آليات أفضل بمجرد أن تصبح قابلة للنشر.

المناصرة أقوى عندما تقترن بالمشتريات

غالبًا ما استخدمت كلودفلير منصتها العامة للمناصرة لأمن توجيه أفضل. المناصرة مهمة لأن أمن التوجيه هو عمل جماعي. لكن المناصرة تصبح أقوى عندما تقترن بالمشتريات والالتزامات التشغيلية. يمكن للمزود الكتابة عن RPKI مع اختيار الشركاء والنظراء وترتيبات النقل التي تعكس نفس القيم. يمكن أن يطلب من العملاء الاهتمام مع إظهار أنه يهتم في مشتريات شبكته الخاصة.

هذا الاقتران مهم لأن تبني أمن التوجيه يمكن أن يعاني من ديناميكيات الراكب المجاني. إذا قامت الشبكات المسؤولة بالتحقق لكن الشبكات غير المسؤولة لا تزال تنشر طرقًا سيئة، يظل الجميع معرضين. يمكن للمزودين الكبار تغيير الحوافز بجعل صحة التوجيه جزءًا من العلاقات التجارية. مزود نقل يخاطر بفقدان عملاء مهمين بسبب ضعف التصفية لديه سبب أقوى للتحسين. نظير لا يستطيع الحفاظ على أشياء التوجيه يواجه تدقيقًا أكبر. شبكة ترفض الأصول غير الصالحة يمكنها الإعلان عن هذا النضج.

يمكن للعملاء تعزيز نفس الحافز. يمكنهم سؤال مزودي الحافة عن مزودي النقل الذين يستخدمونهم، وما إذا كانوا يتحققون من RPKI، وما إذا كانوا يحافظون على ضوابط على غرار MANRS، وكيف يستجيبون للتسريبات. لن يكون كل التفاصيل عامة، لكن ضغط المشتري المتكرر يغير المحادثة. يجب أن يصبح أمن التوجيه جزءًا من شراء الموثوقية، وليس موضوعًا هندسيًا متخصصًا.

موقع كلودفلير كمزود متأثر يمنحها مصداقية لدفع هذه الأجندة. لقد عانت من الضرر ويمكنها شرحه لجمهور واسع. معيار المساءلة هو الاستمرار في تحويل هذه المصداقية إلى ضغط قابل للقياس على النظام البيئي. منشور مدونة مقنع مفيد؛ سوق توجيه متغير أفضل.

ينطبق نفس المبدأ على كل مزود يبيع قابلية وصول آمنة. إذا كان وعد المنتج يشمل إبقاء العملاء على اتصال ومحميين، فإن شراء أمن التوجيه هو عمل منتج. الحدود بين عمليات الشبكة وثقة العميل مصطنعة أثناء الانقطاع.

تسريبات التوجيه تكشف حدود التكرار على الحافة

تدير كلودفلير شبكة حافة عالمية كبيرة، لكن حادث تسريب التوجيه أظهر أن التكرار المادي والبرمجي لا يلغي الاعتماد على توجيه بين النطاقات. يمكن للمزود أن يحتوي على العديد من مراكز البيانات والعديد من الخوادم وإدارة حركة مرور متطورة، ومع ذلك يتأثر عندما يعتقد الإنترنت بمسار سيئ. التكرار داخل ممتلكات المزود ضروري، لكنه ليس نفس استقلال التوجيه. المسار العام إلى الحافة هو جزء من الخدمة.

هذا مهم لتوقعات العملاء. غالبًا ما يشتري العملاء خدمات الحافة لأنهم يفترضون أن الحجم يخلق مناعة. الحجم يخلق سعة والعديد من خيارات الاسترداد، لكنه أيضًا يخلق المزيد من علاقات الترابط والمزيد من التعرض لقرارات التوجيه للآخرين. إذا نشر مزود نقل رئيسي طرقًا سيئة، يمكن أن تصبح الحافة العالمية غير قابلة للوصول عالميًا بطرق محددة. يحتاج العملاء إلى فهم أن المرونة الداخلية للمزود وصحة توجيه الإنترنت الخارجية هما طبقتان مختلفتان.

يمكن لاتصال كلودفلير العام تقليل هذه الفجوة في التوقعات بالتمييز بين مرونة الخدمة ومخاطر نظام التوجيه البيئي. يجب أن يقول تحليل ما بعد الحادث أي الأجزاء كانت تحت سيطرة كلودفلير، وأيها كانت خارجها، وأي التخفيفات تسد الفجوة. نشر RPKI هو جسر واحد. رفض الطرق غير الصالحة هو آخر. اختيار النقل وسياسة النظير هو آخر. مراقبة BGP العامة هو آخر. تسليم متعدد المزودين من جانب العميل قد يكون آخر لأعباء العمل عالية الأهمية. بدون هذا الشرح الطبقي، قد يثق العملاء في المزود بشكل مفرط أو يلومونه خطأً على كل فشل توجيه خارجي.

درس تكرار الحافة يؤثر أيضًا على تدريبات الحوادث. يجب على المزودين اختبار ليس فقط فقدان مركز البيانات والتراجع البرمجي، ولكن أيضًا اختطاف التوجيه، تسريب التوجيه، قبول الأصل غير الصحيح وسيناريوهات سوء سلوك مزود النقل. يجب أن تشمل هذه التدريبات اتصال العملاء لأن حوادث التوجيه مربكة لفرق غير الشبكات. عميل يرى أخطاء متقطعة من بعض المناطق قد لا يعرف ما إذا كانت المشكلة في صحة الأصل أو DNS أو برنامج CDN أو تصفية مزود خدمة الإنترنت أو انتشار التوجيه. قدرة المزود على شرح الطبقة بسرعة هي جزء من المرونة.

أفضل دليل إصلاح لذلك يشمل تغطية السيناريو. هل اختبر المزود كشف تسريب التوجيه؟ هل تدرب على تصعيد النقل؟ هل تحقق من دقة ROA؟ هل راقب مسارات AS مشبوهة؟ هل أعد لغة موجهة للعملاء لحوادث التوجيه؟ هذه الأسئلة تحول التوجيه من مجال الخبراء فقط إلى التزام خدمة خاضع للمساءلة.

المسارات الزائفة تخلق دين الثقة

تسريب التوجيه هو حدث دين ثقة. يكشف أن الشبكات قبلت مسارًا لم يكن يجب أن تقبله، أو نشرت طريقًا عبر علاقة حيث لم يكن يجب أن يسافر. يتم سداد الدين من قبل المزودين المتأثرين والمستخدمين أثناء الانقطاع، لكنه يبقى بعد ذلك إذا لم يتم إصلاح افتراضات الثقة الأساسية. الطمأنة يمكن أن تهدئ اللحظة. الإصلاح يسدد الدين.

دين الثقة تراكمي. كل تسريب توجيه عام يعلم العملاء أن قابلية الوصول إلى الإنترنت تعتمد على ضوابط لا يمكنهم رؤيتها. إذا كان الرد مجرد سرد، تضعف الثقة لأن الحادث التالي يبدو حتميًا. إذا أنتج الرد تحسينات قابلة للقياس، يمكن للثقة أن تتعافى لأن النظام يصبح أكثر قابلية للتفتيش. تبني RPKI، التزامات تصفية التوجيه ومراقبة التوجيه العامة ليست مجرد صحة تقنية؛ إنها أدوات إعادة بناء الثقة.

دور كلودفلير معقد لأنها ضحية فشل ثقة التوجيه وبائعة لخدمات ثقة الإنترنت. هذا الدور المزدوج يرفع المعيار. يتوقع العملاء من الشركة ليس فقط التعافي، بل شرح ضعف الإنترنت والمناصرة لإصلاحات موثوقة. عندما تنشر كلودفلير شروحات أمن التوجيه، فإنها تحول حادثها الخاص إلى تعليم عام. الخطوة التالية هي إظهار أي أجزاء من هذا التعليم تم تطبيقها في شبكتها وعلاقاتها التجارية.

دين الثقة ينتمي أيضًا إلى شبكات التضخيم. مزود نقل يقبل وينشر طرقًا سيئة يضر بالثقة بما يتجاوز عملائه المباشرين. يجب أن يتبعه الدين في محادثات المشتريات والنظير المستقبلية. هل غيرت الفلاتر؟ هل تحققت من المزيد من الطرق؟ هل انضمت إلى معايير أمن التوجيه أو استوفتها؟ هل أبلغت بشفافية؟ إذا لم يكن الأمر كذلك، فإن السوق لديه القليل من الأسباب للاعتقاد أن نفس السلوك لن يتكرر.

بالنسبة للعملاء، يجب أن يظهر دين الثقة في سجلات المخاطر. إذا كانت خدمة حرجة تعتمد على مزود معرض لحوادث التوجيه العالمية، يجب أن تسمي المخاطر وضع الفشل والضوابط. لا ينبغي إخفاؤها تحت لغة انقطاع الإنترنت العامة. الخصوصية هي ما يسمح بقياس الإصلاح.

الحد الأقصى للطول هو قرار حوكمة

إصلاح RPKI لا يعتمد فقط على إنشاء ROAs، ولكن على إنشائها بعناية. ROA يخول AS الأصل ويمكن أن يحدد طول البادئة الأقصى. هذا الطول الأقصى مهم. إذا كان واسعًا جدًا، قد يخول إعلانات أكثر تحديدًا تضعف الحماية. إذا كان ضيقًا جدًا، قد تصبح هندسة المرور المشروعة أو إلغاء التجميع الطارئ غير صالحة. لذلك دليل أصل التوجيه يتطلب حوكمة، وليس مجرد نشر علامة اختيار.

لمزود حافة عالمي، يجب ربط قرارات maxLength بممارسة التوجيه الموثقة. أي البادئات تُعلن عادةً؟ أي الأكثر تحديدًا تُستخدم لهندسة المرور؟ أي منها قد تُستخدم في حالات الطوارئ؟ أي منها لا ينبغي أن يظهر أبدًا؟ من يوافق على التغييرات؟ كيف يتم اختبار ROAs قبل النشر؟ ما مدى سرعة تصحيح الأخطاء؟ هذه أسئلة تشغيلية مع عواقب على العملاء.

مناقشة تسريب التوجيه ليونيو 2019 تجعل هذا ملموسًا لأن تسريبات التوجيه والاختطاف غالبًا ما تستغل تفضيل الطرق الأكثر تحديدًا أو أخطاء النشر. RPKI يمكن أن تجعل بعض الأصول الزائفة غير صالحة، لكنها يمكن أن تخلق شعورًا زائفًا بالأمان إذا كانت ROAs متسامحة بشكل مفرط. لذلك الإصلاح القابل للتحقق يجب أن يتضمن دليلًا أن سلطة التوجيه دقيقة ومحفوظة. سجل ROA قديم أو مهمل ليس إصلاحًا. إنه مصدر جديد للمخاطر.

لا يحتاج العملاء إلى فحص كل ROA سطرًا بسطر، لكن العملاء المتطورين والمراقبين العامين يجب أن يكونوا قادرين على رؤية أن المزود لديه وضع RPKI منضبط. الأدوات العامة يمكنها التحقق من الوجود والصلاحية. بيانات المزود يمكن أن تشرح السياسة. تقارير الحوادث يمكن أن تصف ما إذا كان تحقق أصل التوجيه ساعد أو كان سيساعد. هذا هو المكان الذي تصبح فيه القطع الأثرية التقنية قطعًا أثرية للحوكمة.

سلطة التوجيه تتقاطع أيضًا مع تأهيل العملاء. إذا أعلن CDN أو مزود حافة عن بادئات يملكها العميل أو يدعم ترتيبات إحضار IP الخاص بك، يصبح تنسيق ROA جزءًا من مخاطر العميل. يجب على المزود والعميل مواءمة ترخيص الأصل والحد الأقصى للطول والإجراءات الطارئة. عدم التطابق يمكن أن يخلق طرقًا غير صالحة أو يضعف الحماية. الإصلاح القابل للتحقق يجب أن يغطي حالات العميل الحافة هذه، وليس فقط البادئات المملوكة للمزود.

تسريبات العلاقة تحتاج إلى دليل علاقة

تحقق أصل RPKI يجيب على سؤال محدد: هل AS الأصل مصرح به لهذه البادئة؟ تسريبات التوجيه غالبًا ما تسأل سؤالًا مختلفًا: هل كان ينبغي تمرير هذا الطريق من علاقة إلى أخرى؟ يمكن أن يكون الطريق صالحًا من حيث الأصل وما زال مسربًا. لذلك أهمية الضوابط الواعية بالعلاقة مثل تصفية التوجيه، أدوار BGP وآليات Only-to-Customer. الإصلاح القابل للتحقق يجب أن يعالج طبقة العلاقة.

في حدث يونيو 2019، النمط الضار شمل الانتشار عبر شبكات حيث لم يكن ينبغي للطريق أن ينتشر بهذا الحجم. السياسات الخاصة الدقيقة غير مرئية تمامًا للعملاء، لذلك يجب أن يصف دليل الإصلاح العام فئة الضبط. هل طلب المزود فلاتر بادئة محددة للعملاء؟ هل صنف أدوار النظير؟ هل حدد انتشار التوجيه بناءً على العلاقة التجارية؟ هل احتفظ ببيانات IRR وRPKI دقيقة؟ هل راقب شذوذ المسار غير المتسق مع العلاقات العادية؟

RFC 9234 مهم لأنه يمثل محاولة معيارية لتشفير أدوار العلاقة في منع تسريب BGP. إنه لاحق للحادث، لذلك لا ينبغي استخدامه للحكم على سلوك 2019 بآلية مستقبلية. يجب استخدامه لرفع معيار الإصلاح الحالي. لا ينبغي للمزودين التوقف عند الضوابط التي كانت شائعة عند وقوع الحادث. يجب أن يسألوا أي الآليات الأحدث يمكن أن تقلل من نفس فئة المخاطر الآن.

دليل العلاقة أصعب في النشر من دليل الأصل لأن العلاقات التجارية يمكن أن تكون حساسة. مع ذلك، يمكن للمزودين الكشف عن التزامات السياسة دون كشف كل شرط خاص. يمكنهم ذكر أن طرق العملاء مصفاة مقابل البادئات المتوقعة، وأن طرق RPKI غير الصالحة مرفوضة، وأن علاقات النظير والعملاء مصنفة، وأن تسريبات التوجيه تطلق إنذارات، وأن مزودي النقل يتم تقييمهم من حيث صحة التوجيه. يمكنهم أيضًا دعم معايير الصناعة التي تجعل مثل هذه البيانات قابلة للمقارنة.

قيمة العميل هي الوضوح. إذا قال المزود إن لديه RPKI لكنه لم يقل شيئًا عن تسريبات التوجيه، قد يبالغ العملاء في تقدير الحماية. إذا ميز بين تحقق الأصل وتصفية العلاقة، يتلقى العملاء صورة مخاطر أكثر صدقًا. صور المخاطر الصادقة هي جزء من الإصلاح.

لغة الحادث يجب أن تتجنب تسوية السببية

حوادث التوجيه كثيفة تقنيًا، والحوادث الكثيفة سهلة التسوية. قد تقول شركة إن تسريب توجيه حدث، منبع تسبب فيه، تأثرت الخدمات والإصلاح جارٍ. هذه اللغة قد تكون صحيحة لكنها غير كافية. اللغة المسطحة تخفي من كان لديه أي سيطرة، أي الضوابط فشلت، وأي الضوابط تغيرت. ثقافة الإصلاح القابل للتحقق تستخدم سببية دقيقة.

السببية الدقيقة ستفصل مصدر التسريب، آلية التحسين أو الأتمتة، الشبكة المضخمة، البادئات المتأثرة، المستقبلات المدققة أو غير المدققة، مسار الكشف والأعراض المرئية للعميل. كما ستذكر عدم اليقين حيثما كان الدليل العام غير مكتمل. هذا يساعد العملاء على الثقة بالتقرير لأنه لا يتظاهر بأن كل تفصيل خاص معروف. كما يمنع المزود المتأثر من استخدام فشل منبع كتفسير شامل لجميع تأثيرات العملاء.

تحليل حادث كلودفلير كان أقوى من بيان عام لأنه سمى سلوك التوجيه وشرح لماذا كانت تصفية المنبع مهمة. المعيار الأوسع يجب أن يكون أن كل حادث توجيه رئيسي يتضمن بنية سببية كافية للعملاء لتحديث الضوابط. يجب أن يكون فريق الأمن قادرًا على السؤال: هل كان RPKI سيساعد؟ هل كان منع تسريب التوجيه سيساعد؟ هل كان التسليم متعدد المزودين سيساعد؟ هل راقب مزودنا بسرعة؟ هل نجت اتصالات حالتنا الخاصة؟

اللغة تؤثر أيضًا على الحوافز العامة. إذا وصفت التقارير حوادث التوجيه كغرابة إنترنت لا مفر منها، يكون لدى المشغلين ضغط أقل للتحسين. إذا وصفت التقارير الفلاتر المفقودة أو إخفاقات التحقق بالضبط، تواجه الشبكات المسؤولة تدقيقًا. النقطة ليست العار العام في حد ذاته. إنه جعل أوضاع الفشل محددة بما يكفي حتى يكافئ السوق الإصلاح.

يجب أن تمتد الدقة إلى ادعاءات الاسترداد. يجب على المزود التمييز بين سحب الطريق، تقارب نشر الطريق، استرداد الخدمة، استرداد الرؤية للعميل والمراقبة بعد الحادث. هذه المعالم يمكن أن تختلف. قد يتم تصحيح الطريق قبل أن تعود ذاكرات التخزين المؤقت أو الجلسات أو مراقبو العميل إلى طبيعتهم. يحتاج العملاء إلى هذا الدقة لتقاريرهم الخاصة.

معيار الإصلاح هو إثبات عام

رد كلودفلير لتسريب التوجيه في يونيو 2019 قيم لأنه جعل فشل توجيه غير مرئي مفهومًا لجمهور واسع. لكن معيار المساءلة للمقالة أعلى من الشرح. المزود المتأثر، مزود النقل المضخم ومجتمع التوجيه الأوسع يجب أن يتركوا دليلاً عامًا على أن الضعف قد تم تقليله. يمكن أن يكون الدليل جزئيًا. يمكن أن يكون تقنيًا. يمكن أن يكون موزعًا عبر مستودعات RPKI، مجمعات الطرق، التزامات MANRS، سياسات المزود وتقارير الحوادث. لكن يجب أن يكون أكثر من الثقة.

سيطرت كلودفلير على أجزاء مهمة من ذلك الدليل: سلطة التوجيه الخاصة بها، المراقبة، التعليم العام، وضع التحقق، توجيه العملاء والضغط التجاري. فيريزون والشبكة المسربة سيطرت على أجزاء أخرى: التصفية، انضباط سياسة التوجيه والانتشار. العملاء سيطروا فقط على خيارات الاستمرارية المبنية مسبقًا وضغط المشتريات. خريطة السيطرة هذه تشرح لماذا الطمأنة وحدها غير كافية. يجب على كل فاعل إظهار الإصلاح عند النقطة التي يسيطر عليها.

الدرس الدائم هو أن قابلية الوصول إلى الإنترنت ليست ثقة ذاتية التنفيذ. إنها مجموعة من الوعود التشغيلية المتبادلة من خلال BGP وDNS والسجلات والعقود وعلاقات النظير. عندما تفشل هذه الوعود، يجب أن يكون الرد قابلاً للتفتيش. تسريب توجيه يعطل مزود حافة عالمي يجب أن ينتج سجلًا عامًا أفضل لمن يمكنه النشر، ومن يمكنه الانتشار، ومن يتحقق، ومن يراقب ومن يمكنه الاسترداد.

أفضل مساهمة لكلودفلير بعد التسريب لم تكن ببساطة القول بأن شبكة أخرى تسببت في المشكلة. كانت جعل مشكلة أمن التوجيه مرئية. الخطوة التالية لكل مزود هي جعل الإصلاح مرئيًا أيضًا. لا ينبغي للعملاء أن يضطروا إلى الاختيار بين تصديق علامة تجارية وفهم طريق. يجب أن يكونوا قادرين على رؤية الدليل بأن الطمأنة أصبحت توجيهًا أكثر أمانًا.