요약

  • Cloudflare는 2019년 6월 24일 UTC 기준 10시 30분경 펜실베이니아의 작은 네트워크가 Verizon AS701을 통해 많은 인터넷 경로의 선호 경로가 되었고, Cloudflare 프리픽스도 영향을 받은 광고에 포함되었다고 보고했다 [1].
  • Cloudflare의 이후 분석은 이 장애를 경로 옵티마이저 경로와 대형 트랜짓 공급자의 전파에 연결했다. 이는 통제 표면이 일반적인 클라우드나 소프트웨어 사고가 아니라 BGP 임포트·익스포트 정책임을 보여준다 [2].
  • Noction은 자사 경로 최적화 제품이 공개적 논의에 포함되었기 때문에 이 인시던트에 공개적으로 대응했다. 그 대응은 제품 의도와 배포 거버넌스를 구분하는 데 유용하다. 자동화는 운영자가 강제하는 라우팅 한계 안에서만 경로를 최적화할 수 있다 [3].
  • ThousandEyes/Catchpoint는 라우팅 혼잡 기간 Cloudflare 사용자에게 외부 도달성 영향이 관찰되었다고 밝혀, 피해 경계를 사내 운영자 로그가 아닌 측정된 인터넷 성능에 기반시켰다 [4].
  • RFC 7908과 RFC 9234는 이 사건 유형이 왜 중요한지 설명한다. 경로 유출(route leak)은 의도된 BGP 관계 전파의 위반이며, BGP 역할(Role)과 Only-to-Customer는 이러한 관계 가정을 명시적으로 만들기 위해 설계되었다 [6][7].

왜 이것이 라우팅 책임성 사례였는가

이 인시던트는 Verizon이 공개 헤드라인에 등장했기 때문에 기억되는 경우가 많다. 이해할 수 있다. Verizon은 많은 경로가 더 넓은 인터넷에 가시화되는 통로가 된 대형 트랜짓 네트워크였다. 그러나 책임성 분석은 한 계층 앞에서 시작해야 한다. 인터넷의 나머지가 영향을 보기 전에, 어떤 경로가 수용 및 전파 대상이 되었다는 점이다.

Cloudflare의 첫 보고는 작은 펜실베이니아 기업이 선호 경로가 된 뒤 많은 경로가 Verizon을 통해 전달되었다고 말했다. BGP 관점에서 공개적 문제는 단순히 어떤 네트워크가 무언가를 광고했다는 것이 아니었다. 문제는 다른 네트워크들이 그 경로를 사용 가능한 것으로 취급하고 더 멀리 운반했다는 점이었다. 잘못되었거나 의외의 경로 광고는 주변 네트워크가 그것을 수용하고 선호하며, 원래 속한 관계 너머로 익스포트할 때에만 인터넷 규모의 사건이 된다 [1].

그렇기 때문에 기사 제목에서 DQE가 중요하다. 인시던트를 둘러싼 공개 기록은 고객 측 경로 근원지와 경로 최적화 계층을 가리키고, 전파 경로는 상위 필터링을 가리킨다. DQE는 사용자가 불만을 제기한 글로벌 플랫폼이 아니었고, 판단이 중요했던 유일한 네트워크도 아니었다. 그러나 트랜짓 관계의 가장자리에 있는 작은 네트워크도 여전히 책임성 사슬이 시작되는 지점이 될 수 있다. BGP는 작은 네트워크를 기본적으로 운영상 무해한 것으로 취급하지 않기 때문이다.

Cloudflare의 심층 분석은 경로 옵티마이저 계층을 중심에 놓았다. 경로 옵티마이저는 가격, 지연 시간 또는 도달성을 개선하기 위해 경로를 선택할 수 있다. 동시에 그 출력이 일반적인 고객 발원 경로 근거처럼 수용될 때 위험을 만들 수도 있다. 이 구분이 중요하다. 익스포트되는 경로에 사실상의 통제권을 가진 자동화는 변명거리가 되지 못한다. 반대로 더 큰 네트워크가 임포트 필터, 최대 프리픽스 한도, 관계 검증, 경로 유출 방지 통제를 적용하지 못했다면 자동화만이 유일한 피고도 아니다 [2].

Noction의 대응은 또 하나의 경계를 더한다. 이 회사는 인시던트를 경로 최적화 자체를 폐기해야 할 이유로 제시하지 않았다. 인시던트에 대한 자사의 견해와 제품 통제 맥락을 설명했다. 그 대응이 중요한 이유는 책임성 질문이 경로 최적화가 본질적으로 부적절한가가 아니기 때문이다. 질문은 제품, 그 고객 배포, 상위 수용 규칙이 최적화·익스포트 가능한 경로를 둘러싼 감사 가능한 가드레일을 만들었는가이다 [3].

공개 근거가 증명할 수 있는 것과 없는 것

공개 라우팅 컬렉터와 외부 측정은 라우팅 사건이 발생했음을 증명하기에 충분히 강력하다. 그러나 모든 사내 설정 선택을 증명하기에는 충분하지 않다. Cloudflare는 영향을 받은 프리픽스, 경로, 관찰된 전파를 기술할 수 있었다. ThousandEyes/Catchpoint는 사용자에게 보이는 증상과 외부 측정을 기술할 수 있었다. Kentik은 인시던트를 결과를 낳은 BGP 장애들의 더 넓은 역사 안에 배치할 수 있었다. 그러나 그 어떤 공개 출처도 운영자가 보유한 내부 경로 맵, 변경 티켓, 옵티마이저 정책 설정, 수용 로그, 인시던트 대응실 결정을 대체할 수는 없다 [1][2][4][5].

이 구분이 기사를 방어 가능한 근거 경계 안에 유지시킨다. 공개 근거만으로 DQE가 무관한 트래픽을 끌어들일 의도가 있었다거나, Noction의 소프트웨어만이 인시던트를 일으켰거나, Verizon이 해로운 경로를 의도적으로 선호했다고 주장하는 것은 너무 과하다. 공개 근거는 더 좁고 더 유용한 결론을 뒷받침한다: 수용 사슬이 충분히 약해서 고객 측 경로 유출이 주요 공급자를 통해 전파되고 규모 있는 도달성 장애를 일으킬 수 있었다는 결론이다.

피해 경계도 일부 재해석보다 좁다. 인시던트는 Cloudflare 관련 트래픽을 포함한 많은 경로와 가시적 서비스 경로에 영향을 주었다. 그러나 공개 보도는 모든 패킷, 모든 목적지, 모든 최종 사용자 거래, 모든 상업적 손실에 대한 완전한 장부를 제공하지 않는다. 따라서 진지한 마무리는 사건을 보편적 장애 레이블로 만드는 대신 도달성 증상, 영향 프리픽스 집합, 지속 시간, 경로 선택을 측정해야 한다 [4].

통제 표면은 관계 근거였다

BGP는 도달성만큼이나 정책에 기반한다. 고객에게서 학습한 경로는 대개 공급자나 피어에게 전달될 수 있다. 고객은 자신의 네트워크와 자신의 다운스트림 고객을 광고할 것으로 기대되기 때문이다. 한 공급자에게서 학습한 경로는, 광고하는 네트워크가 인터넷 나머지를 위한 트랜짓 경로인 것처럼 다른 공급자에게 익스포트되어서는 안 된다. RFC 7908은 이런 종류의 관계 위반을 경로 유출로 기술한다 [6].

2019년 사건은 이 계열에 속한다. 첫 잘못된 선택이 고객 경로 맵에 있었는지, 경로 옵티마이저 정책에 있었는지, 상위 임포트 규칙에 있었는지와 무관하게, 결정적으로 결여된 증명은 관계 근거였다. DQE는 어떤 경로를 광고할 권한이 있었는가? 옵티마이저는 어떤 경로를 익스포트 가능으로 표시했는가? Verizon은 고객 에지에서 어떤 경로 수용 정책을 적용했는가? 어떤 최대 프리픽스, AS 경로, IRR, RPKI, 프리픽스 리스트 또는 역할 기반 검증이 존재했는가? 수용된 경로 집합이 정상적 고객 경계를 넘어 확장했을 때 어떤 알림이 울렸는가?

RFC 9234는 이 지점에서 유용하다. 이후 표준 작업이 업계를 어디로 이동시키려 했는지 보여주기 때문이다. BGP 역할과 Only-to-Customer는 공급자, 고객, 피어 관계를 BGP 세션에서 더 명시적으로 만든다. 모든 레거시 상호연결을 마법처럼 고치지는 못한다. 그러나 숨겨진 가정을 프로토콜에 가시적인 근거로 바꾼다. 2019년 인시던트의 공개 기록에 결여되었던 것이 바로 이런 근거였다 [7].

RPKI 발원 검증에도 경계가 있다. 발원 ASN이 프리픽스에 대해 무단일 때는 도움이 된다. 그러나 발원은 적법하지만 중간 관계가 잘못된 경로를 반드시 거부하지는 않는다. 경로 유출은 AS 경로에서 사업 및 토폴로지 관계를 위반하면서 유효한 발원을 그대로 유지할 수 있다. 그래서 책임 있는 수리는 발원 검증만이 아니라 경로 유출 탐지, 관계 태깅, 임포트 정책, 익스포트 정책, 경로 모니터링을 포함해야 한다.

누가 실질적 통제권을 가졌는가

DQE 또는 DQECOM은 고객 에지 익스포트 경계에 가장 가까운 실질적 통제권을 가졌다. 유출된 경로가 그 경계 또는 그 근처의 경로 옵티마이저 배포에서 시작되었다면, DQE는 승인된 고객 경로만 자사 네트워크를 떠날 수 있다는 증거를 갖춰야 했다. 그 증거에는 경로 맵, 수용된 프리픽스 리스트, 옵티마이저 가드레일, 변경 검토, 최대 프리픽스 임계값, 철회 타임라인이 포함될 것이다.

Noction은 제품 동작, 기본값, 문서, 인시던트 학습에 대한 실질적 통제권을 가졌다. BGP 광고에 영향을 줄 수 있는 경로 옵티마이저는 중립적 분석 액세서리가 아니라 라우팅 인프라로 취급되어야 한다. 관련 증거는 마케팅 의도가 아니다. 제품이 위험한 익스포트를 어렵게 만들었는지, 고객 배포에 트랜짓 전파 위험에 대해 경고했는지, 사후 변경이 재발 가능성을 낮췄는지이다 [3].

Verizon은 상위 수용과 전파에 대한 실질적 통제권을 가졌다. 대형 트랜짓 공급자가 고객이 저지를 수 있는 모든 사내 실수를 알 필요는 없다. 기대되는 것은 필터와 이상 통제를 유지해서 한 고객이 쉽게 인터넷의 무관한 부분들을 위한 경로가 되지 못하도록 하는 것이다. 고객이 갑자기 광범위하거나 비정상적인 경로 집합을 광고한다면, 공급자 측 질문은 왜 그 경로들이 인시던트가 봉쇄되기 전에 수용되고 선호되고 익스포트되었는가이다 [1][2].

다운스트림 및 피어 네트워크들도 더 작지만 실재하는 역할을 가졌다. 인터넷은 단일 계층구조가 아니다. 다른 네트워크들은 자신들의 임포트 정책, 경로 선호, 모니터링, 경로 유출 통제에 따라 유출을 완화하거나 증폭할 수 있다. 그래서 공개적 책임성은 하나의 헤드라인 네트워크에서 멈추지 말아야 한다. 경로의 각 운영자에게 경로를 수용하기 전에 어떤 관계 근거를 사용했는지 물어야 한다.

수리는 어떤 모습이었어야 하는가

신뢰할 수 있는 수리 기록은 경로 인벤토리에서 시작해야 한다. 관련 프리픽스, 관찰된 AS 경로, 유출이 시작되고 끝난 타임스탬프, 그 경로를 본 컬렉터 위치가 그것이다. 이어서 운영자 측 증거를 붙여야 한다: DQE의 익스포트 정책, Noction의 옵티마이저 가드레일, Verizon의 고객 필터와 알림, 전파를 끝낸 철회 메시지 또는 경로 맵 변경이다.

다음 계층은 재발 방지다. 운영자는 최대 프리픽스 한도, 신뢰된 경로 객체로부터 생성된 프리픽스 리스트, IRR 검토 규율, 해당 시 RPKI 발원 검증, 고객 세션을 위한 AS 경로 필터, 관계 위반에 맞춰 조정된 경로 유출 탐지를 보여줄 수 있어야 한다. 지원되는 곳에서는 BGP 역할과 Only-to-Customer가 고객, 공급자, 피어 역할을 명시적으로 만드는 더 강한 방법을 제공한다 [7].

마지막 계층은 공개 커뮤니케이션이다. 많은 네트워크를 넘은 라우팅 인시던트는 영향받은 모든 고객이 BGP 테이블을 역설계하도록 요구해서는 안 된다. 기본적인 공개 마무리는 어떤 유형의 경로 유출이 발생했는지, 공개적으로 무엇이 관찰되었는지, 무엇이 여전히 알려지지 않았는지, 어떤 통제가 변경되었는지, 재발 감소를 보여줄 증거가 무엇인지를 진술해야 한다. 이는 기밀 경로 맵의 공개를 요구하지 않는다. 고객이 실제 수리를 홍보성 마무리와 구별할 수 있을 만큼의 구체성을 요구한다.

책임성 시험

2019년 DQE/Noction/Verizon 유출은 관찰자가 단순한 악당을 지목하게 해주기 때문에 유용한 것이 아니다. 인터넷 라우팅이 작은 통제 실패를 공유된 의존성 사건으로 바꾸는 과정을 보여주기 때문에 유용하다. 고객 측 경로 근원지, 옵티마이저, 트랜짓 공급자, 원격 네트워크는 각각 실질적 통제권의 일부를 쥐고 있었다. 어느 한 계층이라도 관계 가정을 타인의 문제로 취급했다면, 유출은 본래보다 더 멀리 퍼질 수 있었다.

따라서 올바른 책임성 기준은 근거 기반이다. DQE는 자신의 익스포트가 승인된 고객 경계 안에 머물렀음을 증명해야 했다. Noction은 옵티마이저 동작이 최적화를 침묵 속에 안전하지 않은 전파로 바꿀 수 없음을 증명해야 했다. Verizon은 고객 임포트 필터와 이상 통제가 더 넓은 인터넷을 보호했음을 증명해야 했다. 다른 네트워크들은 대형 공급자를 통해 도착했다는 이유만으로 유출된 경로를 수용하지 않았음을 증명해야 했다.

이것이 이 사례의 Heng.lu 표면이다: 라우팅 기록, 관계 역할, 작동 중인 코드가 운영 현실을 결정한다. 평판, 회사 규모, 사후 해명보다 필터, 경로 객체, 텔레메트리, 철회에 부호화된 증거가 더 중요하다. 공개적 교훈은 BGP가 추상적으로 취약하다는 것이 아니다. 다음 작은 네트워크가 인터넷 나머지를 위한 의외의 경로가 되기 전에 관계 근거를 유지해야 한다는 것이다.