تسريب مسار Telekom Malaysia لعام 2015 جعل التصفية العليا اختباراً لمسؤولية النقل

ملخص

• المراقبة المستقلة تحدد بداية انفجار كبير لإعلانات BGP من AS4788 التابع لشركة Telekom Malaysia في حوالي الساعة 08:43 UTC يوم 12 يونيو 2015. أفاد BGPMon بحوالي 179,000 بادئة معلنة، بينما استشهد RFC 7908 لاحقاً بالحدث كمثال رئيسي على تسريب المسار حيث قبلت Level 3 ونشرت حوالي 179,000 بادئة. [2][10]
• تكشف التحليلات المختلفة أعداداً مختلفة من المسارات لأنها تستخدم جامعات مختلفة ونوافذ زمنية وتعريفات مختلفة. ناقش تحليل Geoff Huston حوالي 2,500 مسار ظاهر جديد وفحص مجموعة من 22,577 مساراً متأثراً. لا يمكن دمج هذه الأرقام بشكل مسؤول في دقة زائفة واحدة. [1][2]
• لم تقم AS3549 التابعة لـ Level 3 بمجرد ملاحظة إعلانات AS4788. بل قبلتها ونشرتها، مما وسع نصف قطر الانفجار عبر شبكة نقل عالمية كبرى. قاس ThousandEyes فقداناً شديداً للحزم ومسارات طرفية في عدة نقاط وجود لـ Level 3. [2][3]
• تدعم الأدلة تسريباً لسياسة العلاقات: يبدو أن المسارات المستفادة من النظراء تم إعادة إعلانها نحو مزودي النقل العلويين. إن تكوين جهاز التوجيه الدقيق لـ Telekom Malaysia، وخريطة المسار، والأمر، والبرمجيات، وسلسلة الموافقة غير عامة في هذه الحزمة. [1]
• تنقسم المساءلة حسب السيطرة. سيطرت AS4788 على سياسة التصدير ودورة حياة خريطة المسار. سيطرت AS3549 على ما قبلته من العميل، وحجم المسارات وفحوصات المسار المطبقة، وما إذا كانت المسارات المقبولة قد نُشرت. تحكمت الشبكات النهائية في سياسة الاستيراد والمراقبة الخاصة بها.
• التحقق من أصل المسار العادي RPKI (Route Origin Validation) ليس إجابة كاملة لهذا الحدث. احتفظت معظم المسارات المسربة بأصول مشروعة. يمكن أن يكون ترخيص الأصل صحيحاً بينما ينتهك المسار نية تصدير العميل أو النظير أو المزود. [1][15][16]
• توضح المعايير اللاحقة الضوابط الممكنة. يجعل RFC 8212 سياسة الاستيراد والتصدير الصريحة هي المتطلب الافتراضي لـ eBGP، بينما يضيف RFC 9234 أدوار BGP الواعية بالعلاقات والسمة Only to Customer. إنها إرشادات تحكم بأثر رجعي، وليست دليلاً على انتهاك الامتثال في 2015. [11][12]
• يتطلب ادعاء الإصلاح الموثوق أكثر من مجرد الاستعادة. إنه يحتاج إلى إعادة بناء مجمدة لمجموعة الإعلانات، وسياسة الجلسة المقصودة، وأدلة التكوين قبل وبعد، واختبارات ضد نفس فئة التسريب، ومراقبة مستقلة للمسار، ودليل على أن كلا الجانبين المُصدر والمستقبل يمكنهما احتواء التكرار.

إعلان المسار أصبح سلطة على حركة مرور الآخرين

غالباً ما يُقدم BGP على أنه البروتوكول الذي يخبر الإنترنت أين توجد الشبكات. هذا الوصف دقيق لكنه غير مكتمل. إعلان BGP هو أيضاً ادعاء بالسلطة التشغيلية.

عندما يخبر نظام مستقل آخر بأن بادئة ما قابلة للوصول عبره، يمكن للمتلقي تفضيل هذا المسار والإعلان عنه إلى الأمام. يمكن للشبكات الأخرى بعد ذلك توجيه حركة المرور نحو المسار المُعلن. لا يحمل المسار ضماناً بأن الشبكة المُعلنة لديها سعة كافية، أو أن المسار يتوافق مع العلاقات التجارية، أو أن كل مشغل وسيط قصد تقديم النقل. يوزع BGP معلومات قابلية الوصول وبيانات مسار AS؛ تحدد السياسة أي الادعاءات تقبلها الشبكة وتكررها. [8]

هذه الطبقة السياسية هي المكان الذي أصبح فيه حدث Telekom Malaysia لعام 2015 ذا عواقب عالمية.

تقول المصادر المستقلة إن انفجاراً كبيراً للإعلانات بدأ حوالي الساعة 08:43 UTC يوم 12 يونيو. أعلنت AS4788 التابعة لـ Telekom Malaysia مجموعة ضخمة من المسارات إلى AS3549 التابعة لـ Level 3. قبلت Level 3 تلك المسارات ونشرتها إلى النظراء والعملاء. اتبعت حركة المرور المسارات المتغيرة. يمكن أن يبدو المسار عبر AS3549 وAS4788 جذاباً في ظل سياسة التوجيه على الرغم من أن الاتصالات البينية لم تكن قادرة على حمل الحجم الناتج بأمان. ارتفع فقدان الحزم وزمن الوصول، وأصبحت الخدمات البعيدة عن قاعدة عملاء Telekom Malaysia نفسها صعبة أو مستحيلة الوصول. [2][3]

لم يكن الحدث شهادة مزورة، أو اختراق اسم نطاق، أو أصل مسار مختلق بأبسط معانيه. لا تزال العديد من البادئات المتأثرة تنتهي عند أنظمتها المستقلة الأصلية المشروعة. كان التغيير الضار هو أن AS4788 أدخلت نفسها كنقل لمسارات لم يكن متوقعاً تصديرها في ذلك الاتجاه. يمكن أن يكون المسار صحيحاً نحوياً، وخالياً من الحلقات، وصحيح الأصل مع انتهاك العلاقة الاقتصادية والتشغيلية التي تم تعلمها بموجبها.

هذا التمييز مهم للمساءلة. إذا وصفت المشكلة فقط بأنها "Telekom Malaysia سربت مسارات"، فإن المسؤولية تبدو منتهية عند الشبكة المُصدرة. لكن نشر BGP ثنائي في كل جلسة. جانب يعلن؛ والآخر يقرر ما يقبل ويفضل ويعلن إلى الأمام. شبكة النقل الكبيرة لديها قوة نشر أكبر من عميل معزول. تلك القوة تخلق واجب تصفية وأدلة مقابل.

السؤال المركزي ليس أي مشغل ارتكب الخطأ أولاً. بل هو كم عدد الضوابط المستقلة التي كانت لديها القدرة العملية على إيقاف الخطأ قبل أن يصبح انقطاعاً للشبكات الأخرى.

التسلسل الزمني واضح عند الحواف وغير مكتمل داخل الشبكات

أفاد BGPMon أن AS4788 بدأت في إعلان مجموعة ضخمة من المسارات في الساعة 08:43 UTC. رأت مراقبته زيادة حادة في رسائل تحديث BGP في نفس الوقت الذي بدأ فيه فقدان الحزم. وصفت التحليلات حوالي 179,000 بادئة معلنة وأعطت مثالاً على بادئة فيسبوك المتأثرة كمسار يمر عبر AS3549 وAS4788 قبل الوصول إلى الأصل المشروع. [2]

وصفت ThousandEyes بشكل مستقل نفس التسلسل الواسع. لاحظت مسارات جديدة عبر Telekom Malaysia وLevel 3، وفقداناً شديداً للحزم، ومسارات طرفية في مواقع تشمل أمستردام وشيكاغو وفرانكفورت ولندن ولوس أنجلوس وسياتل وواشنطن. قالت إن Level 3 توقفت عن قبول المسارات حوالي الساعة 10:45 UTC وبدأت الخدمة في العودة إلى طبيعتها. [3]

أفاد BGPMon بتحسن حوالي الساعة 10:40 وتطهيراً أوسع حوالي الساعة 11:15. يجب أن تظل هذه الأوقات منسوبة. لا يلاحظ جامع المسار، ومنصة القياس النشط، ومشغل النقل، والمستخدم النهائي نفس الحدث في نفس اللحظة. يمكن للمرشح إيقاف الإعلانات الجديدة بينما تظل المسارات القديمة محددة في مكان آخر. يمكن أن تنتشر عمليات السحب بشكل غير متساو. يمكن أن يستمر الازدحام بعد إزالة مشغل مستوى التحكم. لذلك فإن التعافي هو تسلسل، وليس طابعاً زمنياً واحداً عالمياً.

استخدم تحليل RIPE Atlas لاحقاً الحدث لفحص كيف تؤثر الأعطال الكبيرة في البنية التحتية الأساسية على الاتصال من طرف إلى طرف. وجد دليلاً على توجيه حركة المرور حول البنية التحتية تحت الضغط وعلى فشل من طرف إلى طرف. كان المؤلفون صريحين بشأن التمثيل: حتى نظام القياس العالمي المتنوع يلاحظ فقط مجموعة محدودة من المسارات والوجهات. [4]

التسلسل الزمني العام لديه سجل خارجي قوي وسجل داخلي ضعيف.

يمكن للمراقبين الخارجيين تحديد البداية التقريبية، والمسارات التي تغيرت، وحجم تحديث المسار، وفقدان الحزم، وزمن الوصول، والتعافي الواسع. لا يمكنهم رؤية خريطة المسار الخاصة، أو محطة المشغل، أو التغيير المعتمد، أو حد البادئة المكون، أو قائمة التنبيهات، أو محادثة القرار بين Telekom Malaysia وLevel 3.

يجب أن تشكل هذه الفجوة لغة المقال.

من المقبول القول إن AS4788 أصدرت المسارات، وقبلتها AS3549 ونشرتها، وعانت قابلية الوصول العالمية. من المقبول القول إن النمط يتوافق مع تصدير المسارات المستفادة من النظراء نحو مزود علوي. ليس من المقبول تحديد الأمر الدقيق، أو جهاز التوجيه، أو الموظف، أو تذكرة التغيير، أو عيب البرمجيات بدون سجل مشغل موثق.

يستخدم تحليل Geoff Huston صياغة احتمالية حول فشل سياسة المسار ويحتوي على متغيرات طباعية واضحة لرقم AS في بعض المقاطع. شبكة Telekom Malaysia هي AS4788. لا ينبغي للمقال تحويل مراجع AS4877 أو AS4778 الظاهرة إلى جهات فاعلة إضافية أو استخدامها لتصنيع اليقين حول جهاز داخلي. [1]

سيربط سجل المساءلة الكامل الجدول الزمني الخارجي بالأدلة الداخلية:

• آخر سياسة تصدير صحيحة معروفة؛
• التغيير المقترح والمطبق؛
• الوقت الذي تلقاه كل جهاز توجيه أو جلسة؛
• عدد ونوع البادئات المختارة للتصدير؛
• تنبيهات حجم المسار وانتهاكات العلاقة؛
• حالة القبول والحد الأقصى للبادئات في AS3549؛
• جهات الاتصال والرسائل التصعيدية؛
• الأمر أو الإجراء الآلي الذي أوقف النشر؛
• أدلة المجمع التي تظهر السحب والتقارب؛
• اختبارات تثبت أن السياسة المُصلحة ترفض نفس فئة المسار.

بدون هذه السلسلة، تكون الاستعادة مرئية لكن التعلم المؤسسي يظل صعب التحقق.

أعداد البادئات تصف وجهات نظر مختلفة، وليس حقيقة واحدة متنازع عليها

تجذب حوادث الإنترنت الكبيرة عدداً واحداً لا يُنسى. هنا، يمكن أن تجعل هذه الغريزة السجل أقل دقة.

كتب BGPMon أن AS4788 بدأت في إعلان حوالي 179,000 بادئة وأشارت لاحقاً إلى حوالي 176,000 بادئة مسربة. يستشهد RFC 7908 بـ "تسريب المسار الضخم لـ Telekom Malaysia" بحوالي 179,000 بادئة. وصفت ThousandEyes جزءاً كبيراً من جدول التوجيه العالمي. [2][3][10]

استخدم تحليل Huston وجهات نظر مختلفة للحدث. أظهر تغييراً صافياً في جدول التوجيه يتضمن آلاف المسارات الجديدة والمسحوبة، ثم فحص 22,577 مساراً في مجموعة متأثرة محددة. [1]

يمكن لهذه الأرقام أن تتعايش لأن حدث BGP ليس له وحدة طبيعية واحدة فقط.

يمكن للمراقب حساب كل رسالة UPDATE، وكل بادئة فريدة معلنة عبر مسار غير متوقع، وكل بادئة جديدة ظاهرة عند الجامع، وكل مسار أفضل متغير، وكل مسار أكثر تحديداً، وكل مسار لا يزال موجوداً في وقت محدد، أو كل أصل متأثر. تتلقى المجمعات تغذية مختلفة. يمكن إعلان المسار وسحبه وإعادة إعلانه. بعض المسارات مرئية عند جامع وليس عند آخر. جدول كامل ومجموعة متأثرة مفلترة تجيب على أسئلة مختلفة.

الخيار التحريري المسؤول هو الحفاظ على تعريف القياس.

قد يقول المقال إن BGPMon وRFC 7908 وصفا حوالي 179,000 إعلان أو بادئة مسربة في إعادة بنائهما. قد يقول إن تحليل Hustun المنفصل فحص مجموعة من 22,577 مساراً ولاحظ آلاف الإضافات والسحوبات في الجدول. لا ينبغي أن يحسب متوسط القيم، أو يختار الأكبر للدراما، أو يقدم واحداً كإحصاء كامل لتأثير المستخدم.

ينطبق نفس الانضباط على الخدمات المتأثرة. حدد BGPMon وThousandEyes أمثلة تتضمن منصات رئيسية وخدمات مالية. توضح هذه الأمثلة النطاق والتأثيرات الجانبية. لا تثبت أن كل بادئة عانت من نفس فقدان الحزم، أو أن كل خدمة أصبحت غير متاحة، أو أن كل مستخدم تم توجيهه عبر AS4788.

تصبح الأعداد أدلة مساءلة عندما يتم الاحتفاظ بتعريفاتها:

• عدد الإعلاناتيختبر ما إذا كان حجم التصدير غير طبيعي؛
• عدد البادئات الفريدةيختبر اتساع سلطة التوجيه المطالب بها؛
• عدد أفضل المسارات المتغيرةيختبر عدد الشبكات التي اختارت التسريب؛
• رؤية المجمعتختبر النشر؛
• حجم حركة المرور وفقدان الحزميختبر الضرر التشغيلي؛
• عدد العملاء والتطبيقات المتأثرةيختبر تأثير الأعمال؛
• مدة السحبتختبر الاحتواء.

يجب أن يكون لكل مقياس مالك وعتبة وسجل محفوظ. قد يقبل مزود النقل مجموعة العميل العادية من بضعة آلاف بادئات مع وضع التغيير المفاجئ بحجم أكبر في الحجر الصحي. قد يكتشف نظام مراقبة المسار مسارات تنتهك توقعات مخروط العميل حتى عندما يظل حجم البادئة الخام أقل من حد ثابت. قد يشرح تقرير ما بعد الوفاة كلا المقياسين بدلاً من تقديم إجمالي عنوان واحد.

الدقة الزائفة ليست مجرد مشكلة كتابة. يمكن أن تخفي أي عنصر تحكم فشل.

سياسة العلاقات هي الهيكل الخفي وراء قابلية الوصول إلى BGP

الإنترنت ليس شبكة مسطحة يقدم فيها كل نظام مستقل نقلاً مجانياً لكل نظام آخر. تشتري الشبكات النقل، وتبيعه، وتتبادل التبادل المتساوي بموجب علاقات تشكل سياسة المسار.

تعمل قاعدة تشغيلية مبسطة على النحو التالي:

• يمكن الإعلان عن المسارات المستفادة من العملاء إلى العملاء والنظراء والمزودين؛
• يمكن الإعلان عن المسارات المستفادة من النظراء إلى العملاء، ولكن عادةً ليس إلى نظير أو مزود آخر؛
• يمكن الإعلان عن المسارات المستفادة من المزودين إلى العملاء، ولكن عادةً ليس إلى مزود أو نظير آخر.

تنتج هذه القواعد النموذج المألوف "الخالي من الأودية". يمكن للمسار أن يصعد من العملاء نحو المزودين، ويعبر على الأكثر علاقة نظير واحدة، وينحدر نحو العملاء. يمكن أن يشير المسار الذي ينحدر ثم يصعد مرة أخرى إلى أن شبكة ما تقدم نقلاً غير مقصود. [1][10]

العلاقات التجارية الحقيقية أكثر تعقيداً. يمكن أن يكون لشبكتين أدوار مختلفة في أماكن مختلفة، أو عائلات عناوين، أو خدمات. لا يتناسب النقل الجزئي، والتبادل المتساوي المدفوع، وخوادم المسار، والترتيبات الإقليمية دائماً مع تسمية واحدة. هذا التعقيد هو سبب لتوثيق واختبار السياسة، وليس سبباً لحذفها.

تقول إعادة بناء Huston إن AS4788 بدت وكأنها تجمع مسارات من نظراء نقاط التبادل وتعيد إعلانها إلى شبكات النقل العلوية. في هذا النموذج، تم تصدير المسارات المستفادة جانبياً إلى "أعلى التل". ثم قبلت Level 3 المسارات ونشرتها. [1]

لا يمكن للبروتوكول نفسه استنتاج كل علاقة تجارية خاصة من مسار AS. لا يقول تسلسل أرقام AS المشروعة ما إذا كان المسار مسموحاً به تعاقدياً وتشغيلياً للسفر عبرهم. يجب ترميز هذه المعرفة في سياسة محلية، أو كائنات توجيه منشورة، أو أدوار متفاوض عليها، أو مجتمعات، أو بيانات مخروط العميل، أو نظام تحقق آخر.

لهذا السبب تظل تسريبات المسار صعبة. يمكن لجهاز التوجيه تلقي تحديث BGP صالح من جار موثق، ورؤية أصل مشروع، وبناء مسار خالٍ من الحلقات، ومع ذلك قبول مسار ينتهك العلاقة المقصودة.

لذلك تتطلب المساءلة التشغيلية من الشبكات جعل توقعاتها قابلة للفحص آلياً حيثما أمكن:

• تصنيف كل جلسة eBGP وكل سياسة استثنائية؛
• تعريف البادئات ومسارات العميل المتوقعة من الجار؛
• تقييد الصادرات وفقاً لكيفية تعلم المسارات؛
• مقارنة سياسة مقترحة مع العلاقة المقصودة؛
• رفض أو عزل التوسع غير المبرر؛
• الاحتفاظ بشرح قابل للقراءة البشرية للاستثناءات؛
• اختبار السياسة في ظل ظروف جدول كاملة تمثيلية.

يظهر الحدث العام ما يحدث عندما تبقى نية العلاقة ضمنية أو يكون الإنforcement غير فعال. يمكن للمسار عبور جلسة واحدة ويصبح ادعاءً عالمياً قبل أن يقرأ أي إنسان تذكرة.

سيطرت AS4788 على التصدير، لكن AS3549 سيطرت على القبول والنشر

كان لـ Telekom Malaysia السيطرة الأكثر مباشرة على مجموعة الإعلانات التي غادرت AS4788. يجب أن تعرف شبكة التصدير أي المسارات نشأت، وأيها تعلمته من العملاء، وأيها تعلمته من النظراء أو المزودين، وأي الفئات قد يتم إرسالها إلى كل جار.

تبدأ هذه السيطرة قبل تفعيل التكوين.

يجب تجميع التغيير في سياسة البادئة ومسار AS الفعلية التي سيطبقها جهاز التوجيه. يجب أن تقارن المراجعة النتيجة مع مكامير العميل المتوقعة، وأعداد المسارات، وقواعد العلاقة. يجب أن تغذي بيئة اختبار أو مقيم غير متصل مسارات تمثيلية من خلال السياسة وتظهر ما سيتم تصديره. يجب أن يشير فحص مستقل إلى المسارات المستفادة من النظير أو المزود المختارة لجلسة غير عميل أخرى.

لا يحدد السجل العام ما إذا كانت هذه الضوابط موجودة في AS4788، أو ما إذا كان تكوين روتيني قد تغير، أو ما إذا تم تشغيل حالة كامنة. يحدد المخرجات: تم تصدير مجموعة كبيرة وغير آمنة من المسارات.

حد سيطرة Level 3 منفصل ومهم بنفس القدر للنشر العالمي.

اختارت AS3549 ما إذا كانت المسارات الواردة من AS4788 مؤهلة، وكيف تم تفضيلها، وأين تم الإعلان عنها. مزود النقل الرئيسي لديه معرفة خاصة بالعميل لا يملكها أطراف ثالثة عشوائية. يمكن أن يعرف عدد البادئات المتوقع، ومسارات العميل المسجلة، والتاريخ الملاحظ، وعلاقات مخروط العميل، والغرض من الجلسة. يمكنه تطبيق:

• سياسة استيراد صريحة؛
• قوائم بادئات مستمدة من بيانات توجيه موثقة؛
• قيود مسار AS ومخروط العميل؛
• عتبات الحد الأقصى للبادئات؛
• فحوصات طول المسار و bogon؛
• كشف التسريب الواعي بالعلاقة؛
• سياسة عزل أو تخفيض التفضيل للشذوذ؛
• موافقة بشرية للتوسع الاستثنائي.

يقول حساب BGPMon إن Level 3 قبلت الإعلانات وأعلنتها للنظراء والعملاء. ثم جذبت المسارات حركة المرور وساهمت في الازدحام في Level 3 ومواقع التبادل الرئيسية. [2]

هذا لا يعني أن مزود النقل يمكنه ضمان صحة كل مسار عميل. يمكن أن تصبح المرشحات الثابتة قديمة. يمكن للعملاء متعددي الاتصال تغيير الإعلانات بشكل مشروع. يمكن للتوجيه الطارئ توسيع مجموعة. يمكن للسياسة المعقدة أن تجعل مكامير العميل صعبة الحساب. يمكن للمرشح الصارم جداً أن يتسبب في انقطاع خاص به.

لكن هذه التكاليف لا تمحو وكالة المزود. إنها تحدد المشكلة الهندسية.

يجب أن يكون مزود النقل ذو قوة النشر العالمية قادراً على الإجابة:

• ما هو نطاق عدد المسارات وشكل المسار الطبيعي لهذا العميل؟
• أي التغييرات تطلبت تنسيقاً مسبقاً؟
• هل تضمنت المجموعة المقبولة مسارات مع نظراء أو مزودين رئيسيين آخرين خلف العميل؟
• هل كان هناك عتبة حد أقصى للبادئات، وهل تم تعيينها مقابل خط أساس واقعي؟
• هل كانت للجلسة استثناء يعطل أو يضعف الفحوصات؟
• أي إنذار انطلق أولاً؟
• من يستطيع قمع المسارات دون انتظار العميل؟
• كيف تمت حماية حركة المرور الجانبية أثناء التحقيق؟

تتبع المساءلة هذه القدرة العملية على الحد من الضرر. خطأ تصدير AS4788 وقبول AS3549 ليسا تفسيرين متعارضين. إنهما فشلان متتاليان في التحكم في نفس سلسلة النشر.

تركيز النقل حول سياسة الخطأ إلى ضرر مشترك

ليس كل تسريب مسار يسبب حادثاً عالمياً. يعتمد نصف قطر الانفجار على مكان قبول التسريب، ومدى جاذبية المسار، ومدى انتشاره، وما إذا كانت الشبكات المستقبلة لديها سعة لحمل حركة المرور المعاد توجيهها.

كانت Level 3 مزود نقل عالمي رئيسي. بمجرد أن نشرت AS3549 المسارات، يمكن للشبكات والعملاء البعيدين عن ماليزيا اختيارها. تم سحب حركة المرور التي تتبع عادة مسارات مباشرة أو إقليمية أو أفضل تجهيزاً نحو مسار عبر Level 3 وAS4788. [2][3]

تبعت آليتان للضرر.

الأولى كانت تحويل المسار المباشر. يمكن للبادئة الوجهة الحصول على مسار محدد عبر AS3549 وAS4788. ثم سافرت الحزم نحو Telekom Malaysia على الرغم من أنها لم تكن مخصصة لتقديم نقل عالمي لتلك الوجهة. يمكن أن يشبع الاتصال البيني، وتُسقط الحزم، ويرتفع زمن الوصول.

الثانية كانت ازدحاماً جانبياً. لم تكن الخدمة بحاجة إلى اختيار مسار مسرب بنفسها لتعاني. إذا كانت تعتمد على سعة Level 3 أو نقطة حضور مزدحمة، فإن حمل حركة المرور غير العادي يمكن أن يضعف مسارها الطبيعي. وصفت ThousandEyes أمثلة حيث ظل مسار الخدمة نفسه دون تغيير لكن الازدحام داخل Level 3 قلل من التوفر. [3]

هذه الآلية الثانية مهمة لأنها توسع عدسة المساءلة إلى ما وراء قائمة البادئات المسربة. يمكن للبنية التحتية للنقل المشترك نقل الضرر إلى العملاء الذين ليست سياستهم التوجيهية خاطئة بشكل مباشر. تصبح السعة والعزل وهندسة المرور جزءاً من مشكلة الاحتواء.

لا يمكن للشبكات تزويد كل رابط بجزء عشوائي من الجدول العالمي يختاره فجأة. الحدود الاقتصادية حقيقية. لكن مزود النقل يمكنه تصميم ضوابط بحيث لا تكتسب مجموعة مسارات غير طبيعية سلطة حركة المرور هذه في المقام الأول.

لذلك يربط الحدث بين أمن التوجيه ومخاطر التركيز. شبكة نقل عالية الاتصال تحسن قابلية الوصول في الظروف العادية. نفس الاتصال يضخم فشل السياسة عندما يتم قبول ونشر مسارات غير آمنة. الحجم هو أصل مرونة ومضاعف نصف قطر انفجار.

يجب أن تعامل العملية المسؤولة مدى الوصول للنشر كمتغير خطر:

• يمكن لإعلان عميل محلي صغير استخدام معالجة آلية عادية؛
• إعلان عميل مفاجئ لمسارات من العديد من الشبكات الكبيرة غير ذات الصلة يجب أن يتطلب حجراً صحياً أو تحققاً؛
• التغيير الذي من شأنه تغيير المسارات عبر مناطق عديدة يجب أن يؤدي إلى قياس من الخارج إلى الداخل؛
• يجب أن يعرف المزود أي نقاط الوجود والاتصالات البينية ستتلقى حركة المرور المعاد توجيهها؛
• يجب أن يكون الاحتواء ممكناً دون تعطيل مسارات العملاء الصحية بشكل غير ضروري.

الهدف ليس إزالة الأتمتة. هو جعل الأتمتة متناسبة مع السلطة التي تمنحها.

ضوابط الحد الأقصى للبادئات تساعد، لكنها ليست سياسة كاملة

حدود الحد الأقصى للبادئات هي دفاع بديهي ضد تسريب ضخم. إذا كان العميل يعلن عادة مجموعة محدودة ويرسل فجأة جدولاً ضخماً، يمكن للمزود التحذير أو رفض المسارات الجديدة أو إغلاق الجلسة.

اقترح BGPMon أن حجم المسار غير الطبيعي يمكن أن يتسبب أيضاً في تفعيل حدود الحد الأقصى للبادئات في جلسات Level 3 مع شبكات كبيرة أخرى، مما ينتج مزيداً من التقليب وتغييرات المسار. [2]

يكشف هذا الملاحظة عن قيمة وخطر العتبات البسيطة.

عند حافة العميل، يمكن لعنصر تحكم جيد المعايرة للحد الأقصى للبادئات إيقاف توسع غير معقول قبل النشر الواسع. في الجلسات النهائية، يمكن لنفس الآلية أن تتفاعل بعد أن دخلت المسارات السيئة بالفعل إلى مزود رئيسي، مما قد يؤدي إلى إسقاط جلسة كاملة ونقل حركة المرور إلى مكان آخر. يمكن للحد أن يحتوي مساراً مع زعزعة استقرار آخر.

تتطلب الحدود الفعالة سياقاً:

• المجموع الطبيعي للعميل والبادئات الأكثر تحديداً؛
• النمو المتوقع؛
• سيناريوهات الصيانة والطوارئ؛
• سلوك IPv4 و IPv6 بشكل منفصل؛
• ما إذا كانت المسارات المرفوضة تفشل مغلقة أو تحتفظ بآخر مجموعة صحيحة معروفة؛
• تصعيد التنبيه قبل التوقف الصعب؛
• عملية تجاوز آمنة مع انتهاء الصلاحية؛
• اختبار الاستجابة تحت حركة مرور واقعية.

لا يمكن لعدد المسارات أيضاً كشف كل تسريب. قد يسرب العميل عدداً صغيراً من المسارات الأكثر تحديداً الجذابة للغاية. قد يصدر مسارات من نظير قوي دون زيادة الحجم الإجمالي كثيراً. قد يستبدل مسارات العملاء المشروعة بمجموعة غير مصرح بها ذات حجم مماثل.

لذلك فإن الحد الأقصى للبادئات هو طبقة واحدة. ملكية البادئة، والتحقق من مخروط العميل، وعلاقات مسار AS، وعلامات مصدر المسار، وكشف الشذوذ تعالج أشكال فشل مختلفة.

يجب أن يذكر سجل ما بعد الحادث أي الطبقات كانت موجودة، وليس فقط أنه "تم تحسين المرشحات". ستكون عتبة الحد الأقصى للبادئات المضافة بعد الحدث دليلاً ذا معنى إذا نشر المشغل الخط الأساسي ومنطق العتبة ووضع الاستجابة واختباراً باستخدام مجموعة الإعلانات المعاد بناؤها.

التحقق من أصل RPKI لم يكن ليحل فشل سياسة المسار

غالباً ما تستخدم مناقشات أمن التوجيه RPKI كإجابة عامة لحوادث BGP. هذا الاختصار خطير هنا.

تسمح البنية التحتية للمفتاح العام للموارد لحاملي موارد أرقام الإنترنت بإنشاء عبارات قابلة للتحقق تشفيرياً. يحدد تفويض أصل المسار أي نظام مستقل مصرح له بنشأة بادئة، مع مراعاة قواعد طول البادئة للتفويض. يمكن لتحقق أصل المسار تصنيف إعلان مستلم من خلال مقارنة بادئته وأصله AS مع تلك التفويضات. [15][16]

كان حدث AS4788 لعام 2015 إلى حد كبير تسريب سياسة مسار، وليس أصلاً غير مصرح به بسيطاً.

بالنسبة للعديد من المسارات المسربة، بقي الأصل المشروع في نهاية مسار AS. أدخلت AS4788 نفسها كنقل وأعلنت المسار إلى علاقة حيث لم يكن متوقعاً. يمكن لمتحقق الأصل رؤية أصل مصرح به وتصنيفه على أنه صحيح على الرغم من أن المسار ينتهك نية تصدير النظير/المزود.

أوضح تحليل Huston هذه النقطة مباشرة. في مجموعة المسار التي فحصها، فقط أقلية صغيرة تضمنت AS4788 الظهور كأصل بطريقة قد تعالجها تصفية ROA العادية. معظم المشكلة تضمنت معلومات النقل. [1]

هذا لا يجعل RPKI غير مهم. يمكن لتحقق الأصل إيقاف الأصول غير المصرح بها، وسوء النشأة العرضي، والعديد من الاختطافات. يمكن أن يقلل فئة واحدة من قابلية الوصول الزائفة. كما يوفر معلومات الموارد الموثقة التي يمكن أن تدعم ضوابط أوسع.

لكنه يعني أن ادعاء التحكم يجب أن يكون دقيقاً.

"نشرنا ROV" لا يثبت الحماية ضد المسارات التي لها أصول صحيحة ولكن مسارات علاقة غير صالحة. تحتاج الشبكة إلى معلومات إضافية حول من يمكنه تقديم نقل لمن وأي المسارات تتوافق مع السياسة. تعالج RPSL وبيانات مخروط العميل والمجتمعات وأدوار BGP وسمة Only to Customer والعمل المتعلق بـ ASPA والمرشحات الخاصة بالمشغل أجزاء من هذه المشكلة بمستويات نضج مختلفة.

الرسالة المسؤولة متعددة الطبقات:

• RPKI يتحقق من سلطة الأصل؛
• سياسة الاستيراد والتصدير الصريحة تقيد الجلسات؛
• الضوابط الواعية بالعلاقة تقيد نشر المسار؛
• المراقبة تكشف الشذوذ الذي تفوته البيانات الثابتة؛
• التنسيق التشغيلي يحتوي على ما لا يمنعه الوقاية.

خلط هذه الطبقات ينتج تأكيداً زائفاً ويضعف التعلم بعد الحادث.

يمكن لسجلات التوجيه نشر النية، لكن النية القديمة ليست تحكماً

صممت لغة سياسة التوجيه لوصف سياسة التوجيه في سجلات توجيه الإنترنت. يمكن لـ RPSL وRPSLng التعبير عن سياسة الاستيراد والتصدير، ومجموعات الأنظمة المستقلة، ومجموعات المسار، والنوايا ذات الصلة. [13][14]

من حيث المبدأ، يمكن لمزود النقل استخدام بيانات السياسة الموثقة والمحافظة عليها لتوليد مرشحات لعميل. يمكن للعميل نشر البادئات وعلاقات AS التي يتوقع الإعلان عنها. يمكن للنظراء مقارنة المسارات الملاحظة بالنية المعلنة.

يشرح تحليل Huston الجاذبية والقيود. يمكن أن تكون بيانات السجل غير كاملة، أو قديمة، أو مكررة عبر قواعد البيانات، أو خشنة للغاية بالنسبة لعلاقات جلسة محددة. قد يكون من الصعب التعبير عن السياسة المعقدة وصيانتها. سمحت بعض السجلات تاريخياً بإدخالات طرف ثالث بسلطة ضعيفة. [1]

الدرس الخطأ هو أن سجلات التوجيه عديمة الفائدة. الدرس الصحيح هو أن كائن السجل هو دليل فقط عندما تكون ملكيته وحداثته ونطاقه واستخدامه قابلة للتحقق.

يجب أن يسجل خط أنابيب التصفية الناضج:

• السجل والكائنات المستخدمة؛
• المصادقة وسلطة الصيانة؛
• آخر تحديث ناجح؛
• توسيع مجموعات AS إلى بادئات ومسارات ملموسة؛
• التعارضات بين السجلات؛
• الاستثناءات المحلية؛
• فرق المرشح المُنشأ؛
• نتيجة نشر جهاز التوجيه؛
• مراقبة الاختلاف بين السياسة المنشورة والملاحظة.

يؤطر MANRS أمن التوجيه كمسؤولية تشغيلية جماعية. تؤكد إجراءات المشغلين على تصفية الإعلانات، والحفاظ على جهات اتصال التنسيق، ونشر المعلومات التي يمكن للآخرين التحقق منها. يناقش دليل التنفيذ الحالي دقة البادئة ومسار AS ويوصي بضوابط تمنع تصدير المسارات المستفادة من العملاء أو الوسيطة إلى نظراء غير مناسبين غير عملاء. [17][18]

هذه الوثائق الحالية تسبق حدث 2015 في شكلها الحالي. يجب استخدامها كإطار تحكم، وليس كدليل قانوني بأثر رجعي.

يظهر الحدث لماذا الإطار مهم. السياسة المعروفة فقط لتكوين جهاز توجيه واحد يصعب على شبكة أخرى التحقق منها. السياسة المنشورة ولكن لم يتم تجميعها في مرشحات هي مجرد توثيق. المرشح الذي تم تجميعه من بيانات قديمة يمكن أن يرفض مسارات صحيحة أو يقبل مسارات غير صالحة. تتطلب المساءلة السلسلة من النية المعلنة إلى السلوك المنشور إلى المسارات الملاحظة.

الرفض الافتراضي يغير نمط الفشل

يقوم RFC 8212، المنشور في 2017، بتحديث سلوك BGP بحيث لا يتم استيراد أو تصدير المسارات على جلسة eBGP ما لم يتم تكوين سياسة صريحة. [11]

هذا اختيار تصميم مهم بشكل مخادع.

الافتراضي المتساهل يجعل قابلية الوصول سهلة أثناء التكوين الأولي. ويعني أيضاً أن السياسة المفقودة يمكن أن تصبح بصمت "اقبل كل شيء" أو "أعلن كل شيء". يجب أن يتذكر المشغل إضافة كل قاعدة حماية قبل أن تحمل الجلسة المسارات.

يغير وضع الرفض الافتراضي نمط الفشل. السياسة المفقودة لا تنتج تبادل مسار، وهو مرئي ومحلي، بدلاً من النشر العالمي غير المقصود. لا يزال بإمكان المشغلين كتابة سياسة صريحة غير صحيحة. يقول RFC 8212 ذلك. لا يحل التحكم الأخطاء الدلالية أو المرشحات القديمة أو الاستثناءات المتعمدة.

لكنه يرمز إلى مبدأ مساءلة سليم: يجب أن تتطلب قابلية الوصول العالمية قرار سياسة إيجابياً.

بالنسبة لجلسة عميل-نقل، يجب أن يكون هذا القرار قابلاً للمراجعة:

• أي البادئات قد يتم قبولها؛
• أي الأصول ومسارات العملاء متوقعة؛
• أي المسارات قد يتم تصديرها مرة أخرى؛
• كيف تتم الموافقة على الاستثناءات؛
• ماذا يحدث عندما تكون بيانات السياسة غير متوفرة؛
• أي نظام يملك التراجع؛
• ما الدليل الذي يثبت النشر.

لو أن كل حافة eBGP ذات صلة استخدمت افتراضياً صارماً مع سياسة صريحة صحيحة، لكان من الممكن أن يفشل المرشح المفقود مغلقاً. لا يمكن للأدلة العامة إظهار ما إذا كان السلوك المشابه لـ RFC 8212 كان سيمنع هذا الحادث المحدد لأنه لا يكشف عن التكوينات الفعلية لعام 2015. يظل RFC اختباراً بأثر رجعي مفيداً: هل تطلب تبادل المسار سلطة صريحة ومحدودة على كلا الجانبين؟

أدوار BGP و Only to Customer تعالج معلومات العلاقة

يقوم RFC 9234، المنشور في 2022، بتوحيد أدوار BGP وسمة Only to Customer. يمكن للجيران التفاوض على أدوار مثل المزود والعميل والنظير وخادم المسار وعميل خادم المسار. يمكن للمسارات المنشورة حمل معلومات تساعد في تنفيذ اتجاه العلاقة المتوقع وكشف التسريبات. [12]

تستهدف هذه الآلية الفجوة المرئية في حدث AS4788. الأصل المشروع والمسار الخالي من الحلقات لا يكشفان ما إذا كان المسار المستفاد من نظير يمكن إرساله إلى مزود. معلومات العلاقة تجعل هذه السياسة أكثر صراحة في تبادل البروتوكول.

لا يزال المعيار يعتمد على التكوين والنشر الصحيحين. يجب على الشبكات تعيين الأدوار بدقة. العلاقات المعقدة تتطلب عناية. الحماية الجزئية تحد من الحماية. تبقى المسارات والمعدات القديمة. لا تغني ميزة البروتوكول عن الحاجة إلى المراقبة والتنسيق التشغيلي.

القيمة هي أن كلا الجانبين يمكنه مقارنة التوقعات. يمكن أن تكون التسمية المحلية الأحادية الجانب خاطئة دون ردود فعل فورية. يمكن للدور المتفاوض عليه أن يفشل في إنشاء الجلسة أو وضع علامة على مسار عندما يختلف الطرفان. يمكن لسمة Only to Customer المساعدة في تحديد المسارات التي لا ينبغي أن تسافر إلى مزود أو نظير آخر.

مرة أخرى، هذا توجيه لاحق. سيكون من غير الدقيق تاريخياً القول إن AS4788 أو AS3549 فشلت في استخدام معيار 2022 في 2015.

بدلاً من ذلك، يوفر الحادث حالة الاختبار:

• هل يمكن تصدير مسار مستفاد من نظير إلى مزود علوي دون انتهاك سياسة قابل للكشف؟
• هل يمكن للمزود العلوي تحديد أن مسار العميل يتضمن مسارات خارج علاقة العميل المتوقعة؟
• هل يمكن لأي من الجانبين إيقاف المسار قبل النشر العالمي؟
• هل تميز الأدلة استثناء سياسة عن تسريب عرضي؟

يجب تقييم الآليات الحديثة الواعية بالدور مقابل مجموعة مسارات معاد بناؤها تشبه AS4788، وليس فقط ضد أمثلة اصطناعية تطابق طوبولوجيا نظيفة.

يجب أن تقارن المراقبة المسارات بالنية، وليس فقط التوفر

تكتشف مراقبة التوفر الضرر بعد أن يبدأ المستخدمون في فقدان قابلية الوصول. يمكن لمراقبة المسار تحديد الشذوذ في مستوى التحكم في وقت أبكر.

تم الحفاظ على السجل العام لعام 2015 بواسطة عدة أشكال من المراقبة:

• عالج BGPMon تدفقات التحديث وحدد انفجار الإعلان؛
• احتفظ RouteViews و RIPE RIS بأرشيف BGP خام؛
• جمعت ThousandEyes بين المسار وقياسات الشبكة؛
• قدم RIPE Atlas قياسات نشطة من طرف إلى طرف؛
• قارن المحللون المستقلون المسارات وأعداد البادئات والتوقيت. [2][3][4][5][6]

رأت هذه الأنظمة شرائح مختلفة. هذا التنوع قوة. يمكن للرؤية الداخلية لمزود واحد أن تفوت كيف تظهر مساراته في مكان آخر. يمكن للمسبار النشط رؤية فقدان الحزم ولكن ليس السياسة التي تسببت فيه. يمكن لجامع المسار رؤية مسار AS ولكن ليس كل مسار حركة مرور أو جلسة خاصة.

يمكن لأنظمة الكشف الحديثة البحث عن تسريبات المسار باستخدام الطوبولوجيا وعلاقات AS وتاريخ المسار والنشر غير الطبيعي. تصف Cloudflare كشف تسريب المسار العام كطريقة لإظهار المسارات الشاذة، بينما تدعم وثائق RIPE Atlas القياس القابل للتكرار من مجسات موزعة. [19][20]

يجب ربط الكشف بالإجراء.

إنذار يقول "زاد عدد المسارات" ضعيف إذا لم يملك أحد العتبة أو يمكنه قمع المسار. يحدد مسار الحادث المفيد:

1. العلاقة المتوقعة ومجموعة المسار؛
2. حالة الشذوذ؛
3. الثقة ومعالجة الإيجابيات الكاذبة؛
4. المشغل المصرح له بالحجر الصحي؛
5. إجراء احتواء آمن؛
6. تأكيد خارجي؛
7. الاحتفاظ بالأدلة؛
8. مراجعة ما بعد الحدث.

لا يحتاج الاستجابة الأولى دائماً إلى إسقاط الجلسة بأكملها. يمكن للمزود تخفيض التفضيل، وعزل المسارات غير المتوقعة، والاحتفاظ بآخر مجموعة مقبولة صحيحة معروفة، أو رفض فقط المسارات خارج مخروط العميل. يعتمد الإجراء الصحيح على قدرة جهاز التوجيه وتصميم العميل.

يجب أن تميز المراقبة أيضاً بين الوقاية والكشف. نشر تنبيه تسريب مسار بعد النشر العالمي هو دليل عام قيم. لا يثبت أن المزود كان لديه تحكم قبل النشر. يجب أن تقارير المساءلة عن أي مرحلة كشفت الحدث وأي مرحلة أوقفته.

تغيير سياسة المسار الآمن يحتاج إلى أدلة بايت حالية

غالباً ما يمر تكوين التوجيه عبر قوالب، وقواعد بيانات، وأتمتة، ومجمعات سياسة، وبناء جملة خاصة بالبائع قبل أن يصل إلى جهاز توجيه. يمكن للمراجع البشري الموافقة على تمثيل واحد بينما يتلقى الجهاز تمثيلاً آخر.

يجب أن تربط سلسلة الأدلة البايتات الحالية في كل مرحلة:

• مصدر السياسة أو طلب التغيير؛
• بيانات العلاقة والبادئة المطبقة؛
• خريطة المسار المُنشأة أو لغة السياسة؛
• التكوين الخاص بالجهاز؛
• فرق التكوين المرشح؛
• تجزئة التكوين الملتزم؛
• مجموعة المسار المُعلن والمقبول الناتجة؛
• ملاحظة المجمع الخارجي.

هذا مهم لأن "السياسة تمت مراجعتها" غامضة. أي نسخة تمت مراجعتها؟ هل وسعت وظيفة آلية مجموعة AS بعد الموافقة؟ هل أنتجت لقطة سجل قديمة المرشح؟ هل تجاوز أمر طارئ يدوي خط الأنابيب العادي؟ هل تلقت جميع أجهزة التوجيه نفس المخرجات؟

يجب أن يفشل نظام التغيير المسؤول إذا تباعدت هذه الارتباطات.

قبل النشر، يجب أن يعيد تشغيل مسارات تمثيلية من خلال السياسة المجمعة. لظروف مشابهة لـ AS4788، يجب أن تشمل الاختبارات:

• مسارات منشأة من العميل؛
• مسارات مخروط العميل؛
• مسارات مستفادة من النظير؛
• مسارات مستفادة من المزود؛
• مسارات تحتوي على شبكات نقل كبيرة؛
• تفاصيل أكثر تحديداً غير متوقعة؛
• مدخل مفاجئ بحجم جدول كامل؛
• إعلانات مختلطة صحيحة وغير صالحة.

يجب أن يؤكد الاختبار كلاً من السلوك الإيجابي والسلبي. يجب أن تستمر مسارات العميل الصالحة في المرور. يجب ألا تفلت المسارات المستفادة من النظير والمزود نحو مزود علوي. يجب على المزود المستقبل رفض المسارات بشكل مستقل غير المتوافقة مع دور العميل المتوقع.

بعد النشر، يجب أن تتحقق مجمعات المسار أو نظارات النظراء من النتيجة الملاحظة. تجزئة التكوين وحدها لا تثبت أن جهاز التوجيه أعلن فقط المسارات المقصودة. يمكن لحالة مستوى التحكم، وأخطاء الجهاز، والتفاعل مع سياسة أخرى تغيير السلوك الفعلي.

هذا الانضباط البايت الحالي ليس بيروقراطية لذاتها. إنه كيف تثبت المؤسسة أن الكود، والسياسة، والمسارات التي تتم مناقشتها هي نفس الكائنات التي أنتجت أو منعت الضرر.

الاستعادة ليست نفس الإصلاح المُثبت

تظهر المصادر العامة أن المسارات سُحبت أو توقف قبولها وتعافت الخدمة خلال الساعات التالية. هذه استعادة تشغيلية.

يسأل الإصلاح سؤالاً أصعب: هل يمكن لنفس فئة المسار الهروب مرة أخرى؟

سيقوم برنامج المعالجة الموثوق بتجميد مجموعة حادث تمثيلية من RouteViews و RIPE RIS والسجلات الداخلية. سيحدد العلاقة المقصودة لكل مسار ويعيد إنتاج قرارات التصدير والاستيراد في بيئة اختبار.

بالنسبة لـ AS4788، سيتحقق الاختبار من أن المسارات المستفادة من النظراء أو المزودين لا يمكن تحديدها للتصدير نحو AS3549 ما لم ينطبق استثناء صريح ومراجع. بالنسبة لـ AS3549، سيتحقق من أن العميل لا يمكنه الإعلان عن مسارات خارج مخروط العميل المتوقع أو تجاوز حجم مبرر دون حجر صحي.

سيولد البرنامج بعد ذلك أدلة:

• الاختبارات الفاشلة قبل الإصلاح؛
• تغييرات السياسة أو النظام؛
• الاختبارات الناجحة بعد الإصلاح؛
• إصدارات الجهاز والبرمجيات؛
• تغطية النشر؛
• تمارين التنبيه والاحتواء؛
• ملاحظات المسار الخارجية؛
• جرد الاستثناءات وانتهاء صلاحيتها؛
• ملكية المراقبة المستمرة.

يجب أن يختبر الإصلاح أيضاً الظروف المتدهورة. ماذا يحدث إذا كانت بيانات السجل غير متوفرة؟ هل يفشل النظام مغلقاً، أو يستخدم آخر مجموعة صحيحة معروفة، أو يقبل كل شيء؟ ماذا يحدث إذا كان كاشف الشذوذ معطلاً؟ هل يمكن للمشغل عزل الجلسة عبر مسار إدارة مستقل؟ هل يحافظ إيقاف الحد الأقصى للبادئات على مسارات العميل الهامة أو يسقطها جميعاً؟

لا يحتاج الإفصاح العام إلى كشف الشروط التجارية الخاصة أو التكوين القابل للاستغلال. يمكن أن يذكر فئة الفشل، وحد السياسة المتأثر، والضوابط المضافة، وطريقة الاختبار، وتغطية النشر، وتاريخ التحقق.

بدون هذه الأدلة، "أصلحنا المرشح" هو ادعاء عن النية. بها، يمكن للعملاء والنظراء تقييم ما إذا كان المشغل قد غير النظام الذي سمح بالنشر العالمي.

لا ينبغي أن تنهار المساءلة إلى لوم شخصي

غالباً ما يصبح تسريب مسار الإنترنت قصة عن مهندس يدخل أمراً خاطئاً. لا يثبت السجل العام هنا تلك القصة. حتى إذا تسبب إجراء واحد في الحدث، فإن التأثير العالمي تطلب أنظمة متعددة وقرارات تنظيمية.

يصمم المشغل واجهة التكوين. يختار ما إذا كانت التغييرات تُنشأ أو تُكتب يدوياً. يحدد علاقات النظراء والمزودين. يقرر أي الاختبارات إلزامية، وما إذا كان المراجع الثاني مطلوباً، ومدى سرعة انتشار السياسة، وما إذا كان التراجع مستقلاً.

يقرر مزود النقل مقدار الثقة التي يضعها في إعلان العميل، وأي المرشحات مجدية اقتصادياً وتشغيلياً، وأي شذوذ سيؤدي إلى الاحتواء. تقرر القيادة ما إذا كان لعمل أمن التوجيه موظفون ونوافذ صيانة وسلطة لمقاطعة حركة المرور المدرة للدخل.

يمكن أن يخفي اللوم الشخصي هذه الضوابط. يمكن أن يثبط الإفصاح أيضاً. نموذج مساءلة أفضل يسأل:

• من كانت لديه القدرة على منع المسار من المغادرة؟
• من كانت لديه القدرة على رفضه؟
• من كانت لديه القدرة على الحد من نشره؟
• من يستطيع اكتشاف الضرر بشكل مستقل؟
• من يستطيع السحب أو الحجر الصحي؟
• من احتفظ بالأدلة؟
• من كانت لديه سلطة تمويل والتحقق من المعالجة؟

يمكن لهذه الأسئلة تحديد المسؤولية دون ادعاء نية أو إهمال لا تثبته المصادر العامة.

كما أنها تمنع المسؤولية من الذوبان في "الإنترنت لامركزي". اللامركزية تعني أنه لا يوجد مشغل واحد يتحكم في كل مسار. لا تعني أن كل مشغل يفتقر إلى السيطرة على إعلاناته وجلساته وقرارات نشره.

ما يمكن للعملاء والنظراء المطالبة به بشكل معقول

لا يستطيع معظم العملاء تدقيق أجهزة توجيه مزود النقل. لا يستطيع النظراء رؤية كل عملية تغيير خاصة. لا يزال بإمكانهم المطالبة بأدلة مناسبة للاعتماد.

قبل الحادث، يمكن للمشغل نشر:

• جهات اتصال توجيه دقيقة؛
• البادئات والأنظمة المستقلة المسجلة؛
• مجموعات المسار و AS؛
• سياسة النظير والتصفية عالية المستوى؛
• تغطية RPKI؛
• الدعم لآليات الدور والتحقق ذات الصلة؛
• قنوات الحالة والحوادث.

أثناء الحادث، يمكنه التواصل:

• فئة المسار أو الجلسة المتأثرة؛
• ما إذا كانت الإعلانات لا تزال تنتشر؛
• إجراء الاحتواء؛
• المناطق والخدمات المعروفة؛
• عدم اليقين في القياس؛
• أدلة التعافي؛
• وقت التحديث التالي.

بعد الحادث، يمكنه تقديم:

• حدود المصدر والقبول؛
• تعريفات عدد المسار؛
• جدول زمني مع المصدر؛
• الضوابط التي فشلت؛
• الضوابط التي احتوت الضرر؛
• المعالجة القابلة للاختبار؛
• القيود المتبقية.

يجب على العملاء أيضاً اختبار تعرضهم الخاص. لا يضمن الاتصال المتعدد الاستقلال إذا كان كلا المزودين يعتمدان على نفس المزود العلوي. يمكن أن يوجد مسار احتياطي ولكنه يخسر تحت التفضيل المحلي. يمكن للإعلانات الأكثر تحديداً تجاوز التنوع المقصود. يمكن لحركة المرور تجنب مسار مسرب ولكنها تعاني من الازدحام في مزود نقل مشترك.

يمكن لمراقبة المسار المستقلة وقياسات RIPE Atlas وفحوصات نظارة النظراء كشف جزء من ذلك التعرض. [4][5][6][20]

الواجب متناسب. يجب أن تفهم الخدمة العامة الحرجة أو المنصة المالية تركيز المزود العلوي بشكل أعمق من موقع شخصي منخفض التأثير. لكن لا يمكن لأي عميل تعويض كامل عن قيام مزود نقل بقبول ونشر مجموعة مسارات ضخمة غير آمنة.

ما لا يمكن للسجل العام إثباته

تدعم مجموعة المصادر تحليلاً قوياً لمساءلة الشبكة، لكنها لا تدعم تقريراً داخلياً كاملاً بعد الوفاة.

لا يمكنها إثبات:

• جهاز التوجيه أو الموقع الدقيق لـ Telekom Malaysia؛
• أمر التكوين أو القالب الدقيق؛
• ما إذا كان المشغل تغييراً مخططاً، أو حالة قديمة، أو خطأ أتمتة، أو خطأ يدوي؛
• إصدار البرمجيات أو الأجهزة؛
• شروط العلاقة الخاصة بين AS4788 وAS3549؛
• إعدادات الاستيراد والتصدير والحد الأقصى للبادئات الدقيقة على كلا الجانبين؛
• أول إنذار داخلي واستجابة المشغل؛
• رسائل التنسيق الخاصة؛
• عدد بادئات مسوى واحد عبر جميع المجمعات؛
• إحصاء كامل للمستخدمين المتأثرين أو الخسائر المالية؛
• المسؤولية القانونية أو خرق العقد؛
• المعالجة الدائمة المنشورة من قبل أي من المشغلين.

يجب ألا تحول الحزمة أيضاً الضوابط اللاحقة إلى متطلبات تاريخية. نُشر RFC 8212 في 2017، وRFC 9234 في 2022، ويعكس دليل تنفيذ MANRS الحالي عملاً تشغيلياً لاحقاً. إنها تحدد اختبارات حالية مفيدة. لا تثبت ما هي التكوينات أو الالتزامات الموجودة في 2015. [11][12][18]

وبالمثل، فإن بيانات RIPEstat الحالية هي سياق موارد شبكة حالي، وليست لقطة سجل مجمدة لعام 2015. [7]

هذه الحدود تجعل الاستنتاج أكثر مصداقية. الفشل الملحوظ كافٍ لتحديد السيطرة المقسمة. السجل الداخلي المفقود هو بحد ذاته فجوة مساءلة، لكنه ليس إذناً لاختراع واحدة.

اختبار مساءلة التصفية العلوية القابل لإعادة الاستخدام

يدعم الحدث اختباراً عملياً لأي عميل أو مزود نقل أو نظير يدير BGP على نطاق ذي معنى.

1. تعريف العلاقة لكل جلسة.
سجل أدوار المزود والعميل والنظير وخادم المسار والاستثنائية على مستوى التفاصيل حيث تختلف السياسة.

2. ربط المسارات المقصودة بأدلة موثقة.
حافظ على البادئات والأصول ومكامير العميل ومجموعات AS والاستثناءات مع الملكية والحداثة والمصدر.

3. تجميع السياسة قبل النشر.
أظهر المسارات والمسارات الملموسة التي ستقبلها سياسة الاستيراد والتصدير. راجع السلوك الفعلي، وليس فقط نص القالب.

4. الفشل مغلقاً عند فقدان السياسة الصريحة.
لا ينبغي لأي مسار eBGP أن يكتسب سلطة عالمية بسبب غياب مرشح أو فشل استرجاع البيانات.

5. اختبار انتهاكات العلاقة.
أعد تشغيل المسارات المستفادة من النظير والمزود ضد جلسات العميل والعلوية. تحقق من رفض الاتجاه غير الصالح عند كل من المُصدر والمستقبل.

6. معايرة ضوابط الحجم.
اضبط عتبات الحد الأقصى للبادئات والشذوذ مقابل السلوك الطبيعي، والنمو المبرر، وحالات الطوارئ. حدد احتواءً آمناً بدلاً من الاعتماد فقط على إيقاف الجلسة بالكامل.

7. فصل تحقق الأصل والمسار.
استخدم RPKI لسلطة الأصل، لكن لا تصف ROV كدليل على نشر صالح للعلاقة. أضف ضوابط المسار ومخروط العميل.

8. المراقبة من الخارج.
استخدم المجمعات المستقلة والقياسات النشطة لمقارنة المسارات الملاحظة وقابلية الوصول مع السياسة المقصودة.

9. إعطاء الاحتواء مالكاً.
حدد من يمكنه عزل المسارات، أو تخفيض التفضيل، أو استعادة آخر مجموعة صحيحة معروفة، أو إعادة تعيين جلسة، بما في ذلك خارج نوافذ التغيير العادية.

10. الحفاظ على أدلة البايت الحالية.
اربط السياسة المعتمدة، والتكوين المُنشأ، والبايتات المنشورة، وحالة المسار، والتنبيهات، والقرارات، والملاحظات الخارجية.

11. إثبات الإصلاح بفئة الحدث الأصلية.
شغل التسريب المعاد بناؤه عبر كلا جانبي الجلسة وأظهر أين يتوقف. اختبر المتغيرات الدلالية، وليس فقط قائمة بادئات محفوظة واحدة.

12. النشر بما يكفي للشبكات المعتمدة للتحقق.
اشرح حد التحكم، وتعريفات عدد المسار، والمعالجة، وعدم اليقين المتبقي دون كشف الشروط الخاصة الحساسة.

هذا الاختبار لا يعد باختفاء تسريبات المسار. يجعل واجبات الوقاية والاحتواء والأدلة صريحة في كل شبكة يمكنها منح المسار مزيداً من السلطة.

الاستنتاج

أظهر تسريب مسار Telekom Malaysia في 12 يونيو 2015 كيف يمكن لسياسة توجيه محلية أن تصبح بسرعة ضرراً للبنية التحتية العالمية.

أصدرت AS4788 مجموعة كبيرة جداً من المسارات. قبلتها AS3549 ونشرتها. تحولت حركة المرور إلى مسارات عبر Level 3 وTelekom Malaysia. انتشر فقدان الحزم وزمن الوصول وفشل قابلية الوصول عبر المناطق وأثرت على كل من الخدمات المعاد توجيهها مباشرة والمستخدمين المعرضين للازدحام في شبكة نقل مشتركة. حافظت مجمعات المسار المستقلة ومنصات القياس على المخطط العام. [1][2][3][4]

لا يمكن تفسير الحدث بشكل مسؤول كإعلان سيء واحد من شبكة واحدة. التصدير والاستيراد ضوابط منفصلة. على العميل واجب الإعلان فقط عن المسارات المصرح بها. على مزود النقل واجب متناسب مع قوته لقبول ونشر تلك المسارات. لدى النظراء والشبكات النهائية ضوابط إضافية للاستيراد والمراقبة. لا يمكن لأي طبقة ضمان الكمال، لكن يمكن لكل منها منع خطأ واحد من اكتساب المزيد من المدى.

التحقق من أصل RPKI قيم وغير كافٍ لفشل سياسة المسار هذا. يمكن لسجلات التوجيه نشر النية وتصبح قديمة. يمكن لضوابط الحد الأقصى للبادئات احتواء الحجم وتفوت تسريبات أصغر. تعمل معايير الرفض الافتراضي والوعي بالعلاقة اللاحقة على تحسين نموذج التحكم لكنها لا تثبت بأثر رجعي انتهاكاً في 2015. الإجابة الدائمة متعددة الطبقات: سياسة صريحة، وبيانات مسار موثقة، وفحوصات علاقة، وحدود معايرة، ومراقبة مستقلة، واحتواء سريع، وإصلاح قابل للتكرار.

يتبع الخطر المدى الذي يمكن أن يكتسبه الإعلان. تتبع المساءلة من كان يمكنه تقييد ذلك المدى، ومن اختار نشره، ومن يمكنه إثبات أن نفس فئة الفشل ستتوقف الآن قبل أن تصبح حركة مرور الآخرين هي الاختبار.

المصادر

1. https://labs.ripe.net/author/gih/more-leaky-routes/
2. https://www.bgpmon.net/massive-route-leak-cause-internet-slowdown/
3. https://www.thousandeyes.com/blog/route-leak-causes-global-outage-level-3-network
4. https://labs.ripe.net/author/emileaben/does-the-internet-route-around-damage-a-case-study-using-ripe-atlas/
5. https://archive.routeviews.org/bgpdata/2015.06/UPDATES/
6. https://data.ris.ripe.net/rrc00/2015.06/
7. https://stat.ripe.net/AS4788
8. https://www.rfc-editor.org/rfc/rfc4271.html
9. https://www.rfc-editor.org/rfc/rfc7454.html
10. https://www.rfc-editor.org/info/rfc7908
11. https://www.rfc-editor.org/rfc/rfc8212.html
12. https://www.rfc-editor.org/rfc/rfc9234.html
13. https://www.rfc-editor.org/rfc/rfc2622.html
14. https://www.rfc-editor.org/rfc/rfc4012.html
15. https://www.rfc-editor.org/rfc/rfc6480.html
16. https://www.rfc-editor.org/info/rfc6811
17. https://manrs.org/netops/
18. https://manrs.org/specifications/MANRS-007/01/
19. https://blog.cloudflare.com/route-leak-detection-with-cloudflare-radar/
20. https://atlas.ripe.net/docs/