Hathway와 Airtel이 Google 경로 유출 필터링을 상위 책임성 시험대에 올린 사례

요약

BGPMon의 공개 인시던트 기록에 따르면, 2015년 3월 12일의 Google 서비스 도달성 문제는 Google이 발원한 프리픽스가 Hathway AS17488에 학습된 뒤 Airtel AS9498로 유출되고, Airtel이 이를 피어들에게 전파한 경로 유출 사례와 연관되어 있었습니다 [1].
관측된 시간 창은 08:58 UTC부터 09:14 UTC까지로 짧았지만, BGPMon은 여러 Google 자율 시스템과 연관된 프리픽스를 포함해 336개의 Google IPv4 프리픽스가 영향을 받았다고 밝혔습니다 [1].
RFC 7908은 이후 이 Hathway-Airtel 유출을, 피어 프리픽스가 트랜짓 사업자로 전파되어 유럽과 아시아에서 Google 서비스의 광범위한 중단을 초래한 경로 유출 사례로 인용했습니다 [2].
이 글은 악의적 의도, 정확한 고객 손실 규모 또는 내부 원인 규명 전체를 주장하지 않습니다. 책임 표면은 더 좁습니다. 고객으로부터의 경로 수용, 트랜짓 및 피어 방향 내보내기, 관계 검증, 경로 유출 경보, 증거 보존입니다.

무슨 일이 있었나

BGPMon은 공개 신호를 Google 서비스 중단으로 기술했습니다. 이 기록은 사용자 보고와 유럽 및 인도 사용자가 주로 영향을 받았다는 언론 보도로 시작되었고, BGPMon은 자체 BGP 데이터를 이용해 라우팅 변화를 확인했습니다. 08:58 UTC와 09:14 UTC 사이에 다수의 Google 프리픽스 경로가 인도의 Airtel AS9498을 포함하도록 바뀌었습니다 [1].

AS 경로 세부사항이 핵심입니다. BGPMon에 따르면 해당 프리픽스는 여전히 Google AS15169가 발원한 것이었습니다. 즉, 이 이벤트는 다른 네트워크가 Google인 척한 단순한 경로 발원 하이재킹이 아니었습니다. BGPMon은 Google이 Hathway AS17488과 피어링했고, Hathway가 이 경로를 자사 트랜짓 사업자인 Airtel AS9498로 유출했으며, Airtel이 인터넷 교환소에서 피어들에게 광고를 전파했다고 밝혔습니다 [1].

라우팅 운영 외부의 독자에게 이 구분은 중요합니다. BGP는 자율 시스템이 IP 프리픽스에 대한 도달성을 광고할 수 있게 하는 라우팅 프로토콜입니다. 경로가 올바른 발원을 갖더라도 잘못된 관계 경로를 통과할 수 있습니다. 한 네트워크는 피어나 고객으로부터 특정 목적을 위해 경로를 정당하게 학습할 수 있지만, 그 경로를 다른 관계 방향으로 내보내어 오해를 일으키는 트랜짓 경로가 되게 해서는 안 됩니다.

RFC 7908이 이 실패 계열의 용어를 제공합니다. 이 RFC는 경로 유출을 의도된 범위를 넘어 전파되는 라우팅 광고로 정의하며, 의도된 범위는 자율 시스템 간 수입·수출 정책에 의해 결정됩니다. 이 RFC는 336개의 Google 프리픽스가 관련된 Hathway-Airtel 유출을 관측된 사례로 나열하고, 이를 단순한 일반 장애 범주가 아닌 경로 유출 분류 체계 안에 배치했습니다 [2].

공개 증거에도 한계가 있습니다. BGPMon의 데이터는 그것이 관측한 경로, 프리픽스 수, 시간 창을 뒷받침할 뿐입니다. Hathway의 라우트 맵, Airtel의 수입 정책, Google 내부 텔레메트리, 모든 피어의 의사결정 과정, 법적 책임 배분은 공개되어 있지 않습니다. 따라서 Daniel 기사는 과잉 주장을 피해야 합니다. 강한 주장은 공개 라우팅 증거가 관계 및 전파 통제 실패를 보여주었다는 것이고, 약하고 뒷받침되지 않는 주장은 모든 영향받은 사용자, 사업 손실, 사업자 의사결정을 공개 BGP 데이터만으로 재구성할 수 있다는 것입니다.

왜 중요한가

이 인시던트는 플랫폼 자체 네트워크 밖의 소수 라우팅 결정이 클라우드 규모 플랫폼에 영향을 줄 수 있음을 보여주는 만큼 여전히 유용합니다. Google은 서비스를 소유하고 프리픽스를 발원했습니다. 그러나 피어에서 학습한 경로가 트랜짓 사업자로 전달되어 다른 네트워크들이 그 경로를 선호하면, Google이 라우팅 실수를 하지 않았음에도 사용자는 정상 도달성을 잃을 수 있습니다.

따라서 책임의 연쇄는 다자적입니다. Hathway의 통제 표면은 학습·수용·내보낸 경로였습니다. Airtel의 통제 표면은 Hathway로부터의 경로를 고객 또는 피어 도달성으로 수용할지 여부와, 이후 이를 피어들에게 내보낼지 여부였습니다. 다른 네트워크들의 통제 표면은 Airtel을 거치는 경로를 정상적인 Google 경로보다 선호할지 여부였습니다. Google의 통제 표면은 모니터링과 피어 협조였지만, 경로 유출 자체는 BGPMon이 기술한 고객-트랜짓 경계에 놓여 있었습니다 [1].

경제적 쟁점은 비용 전가입니다. 관대한 고객 경로 필터는 수동 예외 처리를 줄여 운영상 편리할 수 있습니다. 그러나 동시에 한 네트워크의 경로 실수가 관련 없는 수많은 사용자와 네트워크에 디버깅, 지원, 가용성 비용을 전가하게 합니다. 대형 트랜짓 사업자가 이 경로를 증폭하면 비용은 지역 관계에서 더 넓은 공개 의존성으로 이동합니다.

이 인시던트는 또한 경로 보안이 RPKI 발원 검증에서 멈출 수 없는 이유를 보여줍니다. 발원이 Google AS15169로 유지되는 한, 발원만 검사하는 검증은 통과하면서 경로 자체는 여전히 잘못될 수 있습니다. 경로 유출 책임성은 프리픽스 소유자뿐 아니라 경로와 관계에 관한 것입니다. 핵심 질문은 경로를 올바른 이웃으로부터 학습했는지, 그 이웃 관계 밖으로 나가는 것이 허용되었는지, 하류 네트워크가 해당 경로를 거부할 충분한 증거를 갖고 있었는지입니다.

기술적 계층

가장 단순한 모형은 경로 정책 원장입니다. 네트워크는 각 고객, 피어, 사업자가 어떤 프리픽스를 보낼 수 있는지, 그 경로를 어디로 내보낼 수 있는지 알아야 합니다. 고객이 자기 프리픽스를 보내면 사업자는 이를 전달할 수 있습니다. 피어가 경로를 보내면 수신 네트워크는 일반적으로 그 경로를 다른 사업자나 피어의 트랜짓으로 만들지 않아야 합니다. 상업적 관계 자체는 복잡할 수 있지만, 라우터 정책은 그 관계를 코드화해야 합니다.

BGPMon의 기록에 따르면 영향받은 경로에는 Google AS15169, Hathway AS17488, Airtel AS9498이 포함되었습니다. BGPMon은 Airtel이 인터넷 교환소에서 피어들에게 광고를 전파했고, 고객 경로는 피어 경로보다 선호될 수 있기 때문에 일부 네트워크가 Airtel 경로를 선호했을 수 있다고 밝혔습니다 [1]. 이 관측은 인시던트를 로컬 프리퍼런스, 고객/사업자 경제성, 경로 유출 필터링의 경계에 위치시킵니다.

첫 번째 통제는 프리픽스 승인입니다. 사업자는 고객이 발원하거나 트랜짓할 수 있는 프리픽스를 알아야 합니다. Hathway가 해당 Google 프리픽스에 대해 Airtel 방향 트랜짓을 제공하도록 승인받지 않았다면, 이 경로는 거부되거나 최소한 검토 보류되었어야 합니다.

두 번째 통제는 관계 태깅입니다. 피어로부터 학습한 경로는 고객 도달성인 것처럼 내보내지지 않도록 출처 태그를 가져야 합니다. 고객으로부터 학습한 경로는 기대되는 프리픽스 소유권, 라우트 객체, 과거 경로, 명시적 고객 승인과 대조 확인되어야 합니다.

세 번째 통제는 내보내기 정책입니다. 경로가 로컬 사용을 위해 수용되더라도 모든 피어에 자동으로 전달되어서는 안 됩니다. 내보내기 정책은 더 좁은 질문에 답해야 합니다. 이 경로가 이 관계에서 이 이웃에게 적합한가?

네 번째 통제는 경로 유출 탐지입니다. 짧은 유출도 측정 가능합니다. 유용한 기록에는 최초 관측, 마지막 관측, AS 경로, 영향받은 프리픽스, 라우트 컬렉터, 로컬 프리퍼런스 변화, 철회, 복구 후 컬렉터 확인이 포함됩니다. BGPMon의 08:58~09:14 UTC 시간 창은 운영자가 내부 로그와 대조할 수 있어야 하는 바로 그런 공개 타임스탬프입니다 [1].

다섯 번째 통제는 고객 및 피어 소통입니다. 유출이 주요 플랫폼에 영향을 줄 때 비공개 협조가 이벤트를 단축할 수 있습니다. 그러나 비공개 협조는 공개 책임성과 같지 않습니다. 고객과 피어는 실패한 경로 계열이 차단되었는지 판단할 수 있을 만큼의 세부사항을 사후에 받아야 합니다.

영향받은 주체

BGPMon의 글은 보고에 따르면 유럽과 인도 사용자가 주로 영향을 받았으며, 참조한 트위터 보고와 부합하도록 유출이 유럽에서만 포착되었다고 결론지었습니다 [1]. RFC 7908은 유럽과 아시아에서의 Google 서비스 중단에 대해 더 넓은 표현을 사용했습니다 [2]. Vice의 이후 서사는 이 이벤트를 전 지구에 걸친 Google 장애로 묘사하며, 글로벌 라우팅 시스템이 경로 선택을 사용자가 체감하는 장애로 바꿀 수 있음을 설명하는 데 이 인시던트를 활용했습니다 [3].

이 출처들은 도달성 영향 프레임을 정당화합니다. 그러나 만들어낸 사용자 수, 보상 규모, Google 내부 손실, 모든 Google 서비스가 전 세계적으로 다운되었다는 주장을 정당화하지는 않습니다. 안전한 서술은 공개 라우트 관측자와 공개 보도가 이 이벤트를 Google 서비스 도달성 문제와 연결했으며, 가장 명확한 기술적 증거는 경로와 프리픽스 데이터에서 나왔다는 것입니다.

따라서 영향받은 주체는 Google 사용자만이 아니었습니다. Google은 오류로 발원하지 않은 경로를 진단하고 협조해야 했습니다. Airtel의 피어들은 경로를 수용하고 선호할지 결정해야 했습니다. 공개 컬렉터를 사용하는 네트워크 운영자는 증거를 얻었지만 내부 원인은 얻지 못했습니다. 고객은 실질적 통제 표면이 자율 시스템 간 경로 정책에 있었음에도 결과를 서비스 중단으로 체험했습니다.

책임성 기준

Hathway의 마감 증거는 Google 경로를 학습한 세션과 그것을 내보낸 세션에서 시작되어야 합니다. 라우트 맵, 프리픽스 목록, 관계 분류, 예외 기록, 라우트 객체 확인, 철회 타임라인이 제시되어야 합니다.

Airtel의 마감 증거는 Hathway로부터의 수입 정책, 로컬 프리퍼런스 처리, 피어 방향 내보내기 정책, 경로 유출 경보에서 시작되어야 합니다. Airtel이 이 경로를 고객 도달성으로 취급하고 광범위하게 내보냈다면, 그 분류가 허용된 이유와 인시던트 후 무엇이 바뀌었는지 증거로 보여주어야 합니다.

영향받은 피어의 증거에는 Airtel 경로가 직접 또는 정상 Google 경로보다 선호된 이유가 포함됩니다. BGPMon은 고객 경로에 대한 로컬 프리퍼런스를 가능한 이유로 제시했습니다 [1]. 이는 소프트웨어 버그 그 자체가 아니라 사업-라우팅 상호작용입니다. 책임성 쟁점은 선호 정책이 모니터링이 잡기 전에 비정상 경로를 증폭할 수 있는지입니다.

Google의 경우, 증거에는 외부 경로 모니터링, 상위 및 피어 네트워크와의 연락 경로, 사용자 영향 상관 분석이 포함됩니다. Google이 유출 정책을 소유하지 않을 수 있지만, 주요 플랫폼으로서 자기 프리픽스가 예상 밖 경로로 전달될 때 이를 탐지할 복원력 이해관계를 갖습니다.

Heng.lu의 교리 표면은 BGP/라우팅 및 네트워크 자원 근거입니다. 레지스트리는 프리픽스나 자율 시스템의 소유자를 알려줄 수 있지만, 실제 경로 정책이 트래픽이 실제로 이동하는 곳을 결정합니다. 따라서 경로 원장은 레지스트리 권리, AS 관계, 라우터 정책, 운영 연속성을 연결해야 합니다. 경로가 의도된 관계를 위반하면 올바른 발원만으로는 부족합니다.

다음에 주시할 것

첫 번째 신호는 운영자가 실패한 경로 계열을 명명할 수 있는지입니다. "라우팅을 수정했다"는 막연한 성명으로는 부족합니다. 공개 기록은 문제가 고객 프리픽스 필터링, 피어 경로 내보내기, 로컬 프리퍼런스, 라우트 객체 생성, max-prefix 설정, 또는 경계가 없는 임시 예외 중 무엇이었는지 밝혀야 합니다.

두 번째 신호는 관계 인식형 통제가 배치되었는지입니다. RFC 7908이 문제 정의를 기술했습니다. 이후 BGP Roles와 Only-to-Customer, ASPA 방식의 경로 승인 같은 통제는 이 인시던트가 요구하는 방향, 즉 기억과 수동 필터에만 의존하지 않고 사업자/고객/피어 범위를 표현할 수 있는 경로 정책으로 나아갑니다.

세 번째 신호는 공개 컬렉터와 내부 텔레메트리의 대조 가능성입니다. 이벤트가 16분간 관측되었다면 운영자는 컬렉터 경로를 라우트 로그, 플로우 데이터, 인터페이스 카운터, 경보, 고객 보고와 비교할 수 있어야 합니다. 공개 경로가 사라졌는데 지원 영향이 계속되면 경로 유출이 인시던트 전체가 아니었던 것이고, 공개 경로는 나타났는데 트래픽이 그 경로를 선택하지 않았다면 심각도는 낮춰져야 합니다.

네 번째 신호는 반복 이벤트가 더 강한 통제로 이어지는지입니다. 경로 유출은 흔히 발생하므로 각 이벤트가 경로 위생을 개선해야 합니다. 위험한 패턴은 한 번의 짧은 인시던트가 아니라, 반복되는 관대한 수용, 광범위한 전파, 공개 경로 증거의 부재, 검증 가능한 복구의 부재입니다.

시나리오 변화

증거가 경로가 명백한 프리픽스 승인 불일치에도 수용되었음을, 경보가 발생했으나 무시되었음을, 같은 관계 계열이 다시 유출되었음을, 또는 사용자 가시 피해 후 공개 소통이 AS 경로와 프리픽스 증거를 생략했음을 보여주면 평가는 더 심각해집니다.

운영자가 짧은 지속 시간, 제한된 트래픽 선택, 자동 억제, 라우트 맵 복구, 명확한 피어 통지, 실패한 경로 계열이 더 이상 전파되지 않는다는 외부 컬렉터 확인을 보여줄 수 있다면 평가는 완화됩니다.

평가가 일반적인 Google 장애 이야기로 흐른다면 평가는 실패합니다. 경로 유출 기록의 가치는 정확히 책임을 네트워크 통제 표면에 묶는 데 있습니다. 어느 AS가 경로를 수용했는지, 어느 AS가 내보냈는지, 어느 피어가 선호했는지, 그리고 어떤 증거가 다음 동등한 경로가 fail-closed할 것임을 증명하는지입니다.