요약

  • RIPE NCC는 로컬 DNS 점검, 라우팅 상태 점검, Atlas 앵커 측정을 이용해 서비스 프리픽스 철회와 재공지를 자동화했다.
  • 방화벽 변경으로 모든 인스턴스의 도달성이 0%로 나타났을 때, 공통 오류 보호 장치가 마지막 경로 상태를 보존했다.
  • 발표가 보여준 것은 라우팅 보호 시험이다. DNS 중단이나 사용자 피해는 보고되지 않았다.

모니터링 값이 0%면 경로를 철회해야 할까, 측정기를 먼저 의심해야 할까. RIPE NCC의 최근 DNS 자동화는 두 상황을 같은 명령으로 취급하지 않는다.

RIPE 93 DNS 세션에서 RIPE NCC 시스템 엔지니어 Leon Grasmeijer는 검사 순서를 설명했다. 작은 데몬이 로컬 DNS 서버의 응답을 확인하고, 응답이 없으면 해당 인스턴스의 서비스 프리픽스를 철회한다. 이어 기본 경로나 전체 라우팅 테이블이 있는지 검사한다. 둘 다 없다면 서버 프리픽스도 철회한다. 개별 인스턴스의 자동화가 실패하더라도 서비스 전체가 끊기지 않도록 중앙 사이트에서는 이를 덮는 프리픽스를 계속 공지한다.

최근 추가된 단계는 각 DNS 인스턴스에서 RIPE Atlas 앵커까지의 도달성을 측정한다. 시스템은 메시지를 받은 앵커의 비율을 집계한다. 비율이 너무 낮으면 반환 경로 문제를 의심해 서비스 프리픽스를 철회한다. 예전에는 복구 후 재공지를 사람이 처리했지만 이제 두 동작 모두 자동이다.

예외는 여러 인스턴스가 한꺼번에 낮은 수치를 보일 때다. 여러 장소에서 동시에 기준 아래로 떨어지면 시스템은 이를 수상한 공통 패턴으로 보고 마지막 결과를 유지한다. 시험에서 방화벽 설정 오류가 지표 수집을 막았다. 모든 인스턴스가 갑자기 0%를 보였고, 프리픽스는 예상대로 계속 공지됐다.

RIPE NCC의 DNS 서비스 페이지에 따르면 AuthDNS는 역방향 DNS, ripe.net, e164.arpa 등 기반시설 영역을 제공하는 애니캐스트 서비스다. 페이지는 AS197000에서 193.0.9.0/24와 2001:67c:e0::/48을 공지한다고 적고 있다. BGP 경로 철회는 이전에 공지한 경로를 더는 사용할 수 없다고 이웃 라우터에 알린다. 중앙 사이트의 커버 프리픽스도 별도로 유지된다. 발표는 개별 리졸버가 실제로 어느 경로를 탔는지 측정하지 않았다.

발표문에는 앵커 수, 철회와 복구 임계값, 마지막 상태를 유지하는 시간, 방화벽 시험에서 영향을 받은 정확한 공지 경로가 나오지 않는다. 이 설정이 있어야 다른 운영자가 보호 장치를 재현할 수 있는지 판단할 수 있다.

이 설계는 두 종류의 오판을 맞바꾼다. 단일 인스턴스의 낮은 값을 잘못 믿으면 쓸 수 있는 경로가 사라진다. 반대로 공통 측정 오류를 놓치면 실제 반환 경로가 끊긴 뒤에도 낡은 공지가 남는다. 자동화의 가치는 버튼을 누르는 속도가 아니라, 서버 문제와 측정 문제를 가르고 그 근거를 남기는 데 있다.

출처