Zusammenfassung

  • Ein AS7007-Router nahm ohne Eingangsfilter rund 23.000 Routen an und erzeugte Zehntausende spezifischere Präfixe mit AS7007 als scheinbarem Ursprung.
  • Nachbarn akzeptierten und verbreiteten den Fehler; längste Präfixübereinstimmung lenkte danach Verkehr von weiterhin vorhandenen legitimen Aggregaten ab.
  • Die dauerhafte Antwort trennte Register und Ausführung: Daten liefern Nachweise, Betreiber setzen Filter um und haften für angenommene Routen.

Der Morgen, an dem ein AS das Internet zu erzeugen schien

Gegen 11.30 Uhr Ostküstenzeit am Freitag, dem 25. April 1997, erhielt der Grenzrouter von MAI Network Services in AS7007 von einem Kunden eine nahezu vollständige Sicht mit etwa 23.000 Routen. MAI räumte später ein, dass keine eingehende Verteilliste den Kunden auf erwartete Präfixe beschränkte.

Nach Darstellung des Unternehmens zerlegte das Gerät die Tabelle und entfernte vorhandene AS-Pfade. Ein anderer MAI-Router sah mehr als 73.000 Einträge. Für entfernte Netze wirkten zahlreiche schmalere Präfixe nun wie Ursprünge von AS7007.

Die Zahlen sind beobachterabhängig. Avi Freedman nannte etwa 60.000 Routen in Kernroutern, ein weiterer Wert lag bei 72.000, MAI meldete über 73.000. Sie stammen aus verschiedenen Momenten und ergeben keine einheitliche Weltmessung.

Auch die interne Ursache blieb offen. MAI betonte, auf dem Gerät sei kein IGP gelaufen, und vermutete einen Softwarefehler. Andere diskutierten Redistribution, Konfiguration und Produktkenntnis. Sicherer belegt sind die Verwandlung der Routen und der fehlende Filter als eine einzelne Fehlertheorie.

Warum die spezifischere Falschaussage gewann

Legitime Aggregate verschwanden nicht vollständig. AS7007 kündigte engere Alternativen an. IPv4-Weiterleitung wählt zuerst das längste passende Präfix. Ein falsches /24 kann daher Verkehr anziehen, obwohl ein korrektes /16 sichtbar bleibt.

Diese Regel ermöglicht Multihoming und Traffic Engineering. An jenem Tag vervielfachte sie den Schaden. Weil frühere AS-Pfade fehlten, sahen die Routen außerdem wie direkte Ursprünge von AS7007 aus.

Ein AS_PATH ist kein Eigentumsnachweis. Er ist eine von Routern übernommene Verbreitungsspur. Der Vorfall zeigte verteilte Ausführungsmacht: Jeder Nachbar konnte ablehnen, doch mehrere gaben einer Aussage Wirkung, die über die Beziehung hinausging.

Abschalten löschte die Kopien nicht

MAI zufolge wurde die Sitzung gegen 11.45 Uhr beendet, der Router mittags neu gestartet, Filter gesetzt und gegen 12.15 Uhr alles getrennt. Trotzdem kamen AS7007-Pfade über andere Provider zurück. Bereits replizierter Zustand verschwindet nicht mit dem ersten Sprecher.

Betreiber leerten BGP-Sitzungen, setzten Notfilter und kündigten eigene spezifischere Routen an. Flap-Dämpfung speicherte frühere Änderungen; nach wiederholten Rückzügen konnten fehlerhafte oder legitime Pfade weiter unterdrückt bleiben.

Curtis Villamizar berichtete am 15. Mai, einige Provider hätten binnen 15 bis 20 Minuten gefiltert, andere nie; der Upstream habe mehr als zweieinhalb Stunden gebraucht, um die Quelle zu blockieren. Jede Grenze besaß eine andere Bereitschaft und Uhr.

Aus der Entschuldigung einen ausführbaren Rand machen

MAI übernahm eine konkrete Verantwortung: Die Kundenankündigungen waren nicht begrenzt. Danach führte das Unternehmen vollständige Listen ein. Diese Reparatur lässt sich prüfen.

Spätere Betriebspraxis formulierte die Regel eindeutig: Von einem Kunden sollten nur dessen Präfixe angenommen werden. Maximalwerte stoppen eine Volltabelle; Pfad- und Sonderpräfixfilter ergänzen die Grenze; Überwachung vergleicht empfangene Routen mit Vertrag und erwarteter Topologie.

Der Provider beherrscht nicht das Unternehmen des Kunden. Er kontrolliert seinen eigenen Router und trägt Verantwortung, wenn er eine unplausible Behauptung weitergibt. Die Befugnis ist ausführbar und zugleich lokal begrenzt.

Das nützliche, unvollständige Routing-Ledger

Die Reaktion von 1997 stärkte das verteilte Internet Routing Registry. Route- und AS-Objekte konnten beabsichtigte Ursprünge und Richtlinien beschreiben, aus denen Werkzeuge Filter erzeugten.

ANS kündigte Filter auf Basis von ANS-, CANET-, MCI-, RIPE- und RADB-Daten an. Seine Prüfung fand 2.829 angekündigte Präfixe ohne Registrierung oder abdeckendes Aggregat. Benachrichtigt wurden 312 Ursprungs-AS zu 2.108 Präfixen; für 151 AS und 721 Präfixe fehlten Kontakte.

Nach Korrekturen blieben 2.096 unregistrierte Präfixe von 333 AS. Strikte Filter aus einem lückenhaften Ledger konnten legitime Erreichbarkeit entfernen; fehlende Filter ließen falsche Routen durch. Das Etikett „autorisiert“ behob die Datenlücke nicht.

RFC 2622 formalisierte RPSL. RFC 2725 stärkte die Berechtigung für Änderungen, benannte aber veraltete Objekte nach Aggregation, Netzaufgabe und Providerwechsel. Eine authentisierte Transaktion schützt das Ledger; sie vervollständigt es nicht und konfiguriert keinen Router.

Von vermuteten Beziehungen zu erklärten Rollen

Lange beruhte Prävention auf korrekter Konfiguration von Kunde, Provider und Peer. RFC 9234 führte 2022 BGP Roles und Only-to-Customer ein, damit Nachbarn ihre Beziehung austauschen und bestimmte Leaks ablehnen oder erkennen können.

Das Verfahren existierte 1997 nicht, ist nicht universell und bestätigt nicht jeden Ursprung. Es macht jedoch eine zuvor implizite geschäftliche Erwartung im Protokoll prüfbar.

AS7007 widerlegt nicht Dezentralisierung, sondern Leichtgläubigkeit. Lokale Freiheit funktioniert nur zusammen mit lokaler Verantwortung für Umfang, Beleg und Weitergabe.

Quellen und Grenzen

Die Chronologie folgt der Erklärung von MAI, dem Bericht von Avi Freedman und der ANS-Filtermitteilung. Die Mechanik belegen RFC 1812, RFC 2439, RFC 2622, RFC 2725, RFC 7454 und RFC 9234.

Eine vollständige globale Schadensmenge fehlt. Ursache, Volumen und Dauer unterscheiden sich nach Beobachter. Belegt sind ein weitreichendes versehentliches Leak, ein eingeräumter Filtermangel und verteilte Wiederherstellung, nicht eine exakte Weltzahl oder universelle Einführung späterer Schutzmaßnahmen.