الخلاصة

  • أعلن نطاق توجيه داخلي عدداً كبيراً من البادئات نحو العمود الفقري لمراكز البيانات. حملت كل مساراته مجتمع BGP مسنداً بصورة مشروعة إلى ذلك النطاق واجتازت route-map الدخول؛ ثم استقبلت موجهات التجميع المجموعة كاملة، فنفدت الذاكرة وأُعيد تشغيل عفاريت التوجيه.
  • تفصل مقترحات Daria Shantalova بين هوية البادئة، وإذن عبورها لكل حد، ومقارنة حالة الإنتاج الفعلية مع السجل المقصود.
  • تقول الجلسة إن الفريق أزال تقريباً كل الانتهاكات المرصودة خلال أشهر، لكنها لا تنشر العدد الأولي أو المتبقي أو سلسلة مؤرخة.

البطاقة صحيحة؛ قائمة المسموح لهم غائبة

أكثر ما يكشف خلل الحادثة التي عرضتها Daria Shantalova في RIPE 93 أن المسارات لم تحمل بطاقة مزيفة. أرسل نطاق توجيه داخلي مجاور عدداً كبيراً من البادئات إلى Express Backbone الذي يصل مراكز البيانات. حملت كل بادئة مجتمع BGP مسنداً إلى ذلك النطاق. تعرّف مرشح الدخول إلى القيمة وسمح بالإعلان.

انتشرت المسارات عبر شبكة iBGP الداخلية. استقبلت موجهات التجميع في مراكز البيانات المجموعة كاملة؛ استهلك عفريت التوجيه الذاكرة المتاحة ثم أُعيد تشغيله. لا تذكر المواد المنشورة عدد البادئات أو الموجهات المتأثرة أو مدة الانقطاع. لكنها تحدد فجوة التفويض: تحقّق المرشح من أن المجتمع يخص النطاق المرسل، لا من أن لكل بادئة إذناً بعبور ذلك الحد إلى العمود الفقري.

يمكن للمجتمع أن يعرّف نطاق المنشأ أو يصف مجال انتشار المسار. لكنه لا يمنح كل بادئة تحمله تصريح عبور إلى كل حد. عوملت علامة الهوية كأنها تفويض كامل.

سقف العدد لا يجيب عن سؤال الإذن

كل إجراء يجيب عن سؤال مختلف. حدّ الحد الأقصى للبادئات يسأل: كم مساراً وصل؟ قائمة السماح تسأل: أي بادئات يجوز لها الدخول من هذا الحد؟ ومرشح المجتمع يسأل: هل القيمة معروفة أو ينبغي الاحتفاظ بها؟ يمكن جمع هذه الضوابط، لكن لا يقوم أحدها مقام الآخر. يناقش RFC 7454 ترشيح البادئات وحد العدد وتنظيف المجتمعات كإجراءات منفصلة. ويحدد RFC 4271 كيفية تبادل BGP لمعلومات الوصول واتخاذ قرارات التوجيه.

تبدأ بنية Shantalova بالهوية: يحمل كل بادئة مجتمع BGP ID واحداً يبين نطاق المنشأ ومجال الانتشار المسموح. ويُعد غياب القيمة أو خطؤها أو تكرارها أو تعارضها انتهاكاً. بعد ذلك يسجل Route Registry داخلي المنشأ والمجتمع المتوقعين لكل بادئة، ثم يولد مرشحات دخول عند كل حد بين النطاقات. وأخيراً، تُجمع بيانات RIB من الإنتاج باستمرار وتقارن بالسجل لكشف البادئات غير المسجلة، والمجتمعات المفقودة أو غير المطابقة، والانحراف عن الحالة المقصودة؛ ثم تصدر التنبيهات.

يحفظ السجل ما ينبغي أن يكون، ويعرض RIB ما قبله الموجه فعلاً. ولا تكفي لقطة واحدة من الإعدادات عند الإطلاق لإثبات استمرار التطابق.

عبارة «تقريباً كلها» تحتاج إلى مقام

يقول ملخص RIPE إن الفريق أزال «تقريباً كل» الانتهاكات المرصودة خلال أشهر، وإن التنفيذ الآلي يمنع تكرارها. لا تعرض الشرائح العدد الأولي، أو الباقي الدقيق، أو تسلسل الانتهاكات حسب التاريخ، أو عدد الحدود المحمية. سلسلة مؤرخة قبل المعالجة وبعدها، مع نطاق التغطية، ستوضح ما إذا كان التحسن ناتجاً من التنظيف الأولي أم من التنفيذ الآلي المستمر.

الخلاصة التشغيلية ليست إضافة مرشح آخر وإغلاق البلاغ. يجب أن تكون لكل أداة وظيفة محددة، وأن تقارن المراقبة بين النية والحالة المثبتة في الإنتاج. حين تتحول علامة صحيحة إلى إذن شامل، قد ينفذ النظام بدقة صلاحية لم يتحقق منها قط.

المصادر: جلسة RIPE 93 وملخصها؛ النص الرسمي للجلسة؛ الشرائح الأصلية؛ RFC 4271؛ RFC 7454.