요약

  • 11월 2일의 draft-ietf-idr-fsv2-content-filter-00은 FlowSpec v1·v2에 고정 패킷 내용 비교를 제안한다. IETF IDR 작업반의 인터넷 초안이며 RFC는 아니다.
  • 시작 위치, 오프셋, 내용 바이트, 마스크가 일치 조건을 정한다. FSv2에서는 이 요소가 필수이므로 장비가 구현할 수 없으면 경로 전체를 로컬에 설치할 수 없다.
  • 내용 조건만 버리고 나머지 필터 동작을 유지하면 더 많은 트래픽이 영향을 받는다. 신뢰할 BGP 이웃, 규칙의 권한, 전파 범위와 자원 한계는 운영자가 정한다.

작은 조건 하나가 큰 차단을 막는다

FlowSpec은 BGP로 트래픽 필터 규칙을 나른다. 기본 IP 필터는 주로 주소와 포트 같은 헤더를 본다. IDR 작업반의 새 초안은 패킷의 정해진 위치에서 고정 바이트열을 찾는 조건을 추가한다. 알려진 대량 공격 패턴을 더 좁게 잡는 데 쓸 수 있다. 문제는 그 조건을 읽지 못하는 장비가 나머지 명령만 실행할 때 생긴다.

규칙은 OType으로 IP 헤더, IP 페이로드, UDP 페이로드, TCP 페이로드 가운데 기준점을 고른다. Offset이 거리를 정하고 Content와 Mask가 비교할 비트를 지정한다. 초안의 예시는 목적지 접두어와 함께 TCP 페이로드 시작 위치의 두 바이트를 찾는다. 애플리케이션 대화의 뜻을 해석하는 기술이 아니라 특정 위치의 비트를 비교하는 기술이다.

형식에는 1바이트부터 255바이트까지 담을 수 있지만 실제 장비는 더 짧은 길이까지만 처리할 수 있다. FSv2에서 패킷 내용 요소는 반드시 필수로 표시된다. 장비의 로컬 한계를 넘는다면 해당 FlowSpec 경로 전체가 설치 부적격이다. 내용 비교를 조용히 빼고 목적지 조건이나 폐기·우회·속도 제한 동작만 살릴 수 없다. 애초 특정 바이트를 겨냥한 규칙이 훨씬 넓은 패킷 집합에 적용될 수 있기 때문이다.

오프셋도 움직일 수 있다. IPv6의 IP 페이로드 기준점은 고정 헤더 바로 뒤라 확장 헤더가 계산에 들어간다. 중간에 확장 헤더가 바뀌면 같은 숫자가 다른 내용을 가리킬 수 있다. 터널에서는 바깥 패킷을 기준으로 셀지 안쪽 패킷을 기준으로 셀지가 중요하다. 초안은 적절할 때 캡슐을 벗긴 내부 IP 패킷을 검사하거나 기준점을 분명히 하라고 한다.

저자들은 통제할 수 있는 필터 지점, 추가 헤더 조건, 신뢰하는 BGP 이웃, 제한된 전파와 자원 상한을 권한다. ACL·UDF·TCAM 공간은 한정돼 있다. 문서에는 OpenBGPD, FRRouting, 프로그래밍 가능한 스위치 시험이 보고되지만 운영망 도입 규모나 사고 수치는 없다. 이 제안의 핵심은 간단하다. 정밀 조건을 실행하지 못하는 장비에 거친 대체 차단을 허락하지 않는다.

원문 자료