요약

  • RFC 6666은100::/64를 IPv6 전용 디스카드 전용 주소 블록으로 지정합니다. 운영자는 이를 자율 시스템(AS) 내부에서 운반하고 널 인터페이스로 해석할 수 있지만, 제3자 AS와는 교환하지 않아야 합니다.
  • 이 프리픽스는 피해 경로도, BLACKHOLE 커뮤니티도, 패킷 접수증도 아닙니다. 트리거가 증거가 되려면 대상 프리픽스가 승인되고, 수용되고, FIB로 해석되고, 의도된 경계에서 폐기가 관측되며, 그 범위 안에 유지되어야 합니다.
  • Nick Hilliard와 David Freedman이 이 Informational RFC를 공동 집필했습니다. 그들의 유용한 기여는 협력적 운영 명확성입니다. 엄격히 경계 지어진 행동에 전역적으로 고유한 이름을 부여한 것이지, 전역 서비스도 배포 의무도 아닙니다.

너무 일찍 수용된 경로

볼류메트릭 공격을 받는 IPv6 서비스를 상상해 보십시오. 승인된 운영자가 대상 주소에 대한/128을 iBGP에 주입하고, 다음 홉을100::/64내부로 지정한 뒤, 모든 보더 라우터에서 경로가 수용되는 것을 확인합니다. 자동화는 인시던트를 “블랙홀 활성”으로 종결합니다.

그 결론은 접수증 하나가 너무 이른 것입니다. 세 경계에서는 재귀가 널 인터페이스로 가는 정적 경로에 도달해 피해 트래픽이 멈춥니다. 네 번째 경계에서는 정적 폐기 경로가 없어 BGP 경로가 결코 사용 가능한 포워딩 항목이 되지 못합니다. 다섯 번째에서는 익스포트 정책이 디스카드 프리픽스를 이웃으로 새어 나가게 합니다. 컨트롤러는 일관성 있는 컨트롤 플레인 객체를 보았지만, 패킷은 세 가지 다른 결과를 맞았습니다.

여기서 실제 인시던트를 묘사하는 것은 아닙니다. 이 예시는 RFC 6666이 가능하게 만드는 계약과, 그것이 스스로 제공하지 않는 증거를 분리해 보여줍니다.

지역 행동을 위한 전역 고유 주소

목적지 기반 원격 트리거 블랙홀링은 공격받는 호스트나 네트워크의 경로를 변경하여 트래픽이 더 깊은 링크와 시스템을 소모하기 전에 폐기되도록 합니다. 초기 IPv4 배포는 흔히 피해 경로를, 모든 에지가 이미 널 인터페이스로 보내는 사설 주소 공간으로 지정했습니다. 운영적으로는 작동했지만, 다른 목적을 위한 네임스페이스를 빌려 쓴 것이었습니다. 문서화 공간을 재사용하는 것은 더 나빴습니다. 예시 주소는 예시로 남아야지 운영 제어 의존성이 되어서는 안 됩니다.

그래서 RFC 6666은 IPv6 전용 블록을 요청했습니다. IANA는100::/640100::/64의 정규화 형태—를 디스카드 전용 주소 블록으로 기록합니다. 이 블록에서 할당받은 최종 사용자는 없습니다. 현재 레지스트리는 이를 소스·목적지로 사용 가능하고 전달 가능하다고 표시하면서 동시에 전역 도달 불가능하다고도 표시합니다.

이 열들은 서로 모순되지 않습니다. “전달 가능”은 통제된 도메인 내부의 라우터가 일반 포워딩 및 재귀 조회 기계를 통해 주소를 운반할 수 있도록 허용합니다. “전역 도달 불가능”은 의도된 외부 경계를 선언합니다. 주소는 라우팅 기계가 사용할 수 있을 만큼 유니캐스트처럼 보이면서, 도메인 간 목적지로는 부적합하게 남아 있어야 합니다.

이것은 레지스트리가 좁은 작업을 하는 유용한 예입니다. IANA는 운영자에게 하나의 명확한 코드포인트를 제공합니다. 정적 경로를 설치하거나, 인그레스 에지를 선택하거나, 피해 프리픽스를 승인하거나, 패킷을 폐기하거나, 부수 손실에 대한 책임을 지지 않습니다. 레코드는 의미를 조율하고, 운영자가 실행을 통제합니다.

붕괴되어서는 안 되는 세 가지 통제

첫 번째 구분은 목적지 RTBH와 소스 RTBH 사이입니다. 목적지 블랙홀링은 공격받은 주소로의 도달 가능성을 희생하여 공격 트래픽을 인그레스 근처에서 차단합니다. 소스 RTBH는 라우팅 상태와 유니캐스트 역방향 경로 포워딩을 결합하여, 주장하는 소스가 폐기 경로를 통해 해석되어야 하는 패킷을 거부합니다. 목표와 실패 모드가 다릅니다. 하나의 접수증이 다른 하나를 인증하지는 못합니다.

두 번째 구분은 디스카드와 싱크홀 사이입니다. 널 인터페이스는 패킷을 파괴합니다. 싱크홀은 트래픽을 분석 시스템으로 우회시키며, 설계에 따라 선택된 트래픽을 정상 포워딩으로 재삽입할 수 있습니다. 둘 다 “블랙홀”이라고 부르면 증거가 보존되었는지, 정상 트래픽에 진행 경로가 있었는지가 지워집니다.

세 번째 구분은100::/64와 RFC 7999 BLACKHOLE 커뮤니티 사이입니다. 주소 블록은 라우팅 도메인 내부에서 일관된 재귀 다음 홉을 제공합니다. 커뮤니티는 피해 프리픽스에 붙는 고문(advisory) 레이블입니다. 이웃은 합의된 정책 하에서, 그리고 광고 네트워크가 해당 프리픽스에 대해 승인되었음을 확인한 후에만 이를 존중할 수 있습니다. 장비는 비트 패턴이 나타났다는 이유만으로 폐기해서는 안 되며, 명시적 운영자 구성이 여전히 필요합니다.

따라서 커뮤니티 접수증은 신호가 도착했음을 증명할 수 있습니다. 그러나 수신자가 경로를 수용했거나, 폐기 조치를 설치했거나, 전파를 멈췄음을 증명하지는 못합니다. 반대로 라우터는 외부 이웃에게 BLACKHOLE 커뮤니티를 요구하지 않고 내부적으로100::/64를 사용할 수 있습니다. 하나는 관계를 가로질러 정책 의도를 전달하고, 다른 하나는 지역 재귀 포워딩을 결정론적으로 만듭니다.

프리픽스는 동시에 존재하고 부재해야 한다

AS 내부에서는100::/64의 일부 또는 전체가 IGP나 다른 동적 프로토콜로 광고되고, 일부 또는 모든 라우터에서 널 인터페이스로 해석될 수 있습니다. 그 “일부”가 중요합니다. 어떤 설계는 인그레스 에지에서만 폐기를 의도할 수 있고, 다른 설계는 일관된 내부 폴백을 원할 수 있습니다. 토폴로지, 하드웨어, 인시던트 목표가 결정합니다.

도메인 간 경계에서는 결과가 반전됩니다. RFC 6666은 프리픽스와 그 서브넷을 제3자 AS에 광고하거나 수용해서는 안 되며, 이를 향한 트래픽은 그 경계를 넘지 말아야 한다고 말합니다. 누출은 이미 공격을 처리 중인 바로 그 네트워크 쪽으로 트래픽을 끌어들일 수 있습니다. 부하를 제거하도록 설계된 메커니즘이 부하를 위한 새 경로가 될 수 있습니다.

따라서 건강한 상태는 비대칭적입니다. 정책이 필요한 곳에서는 내부적으로 해석 가능하고, 외부에서는 모든 곳에서 필터링됩니다. 단일 전역 “경로 존재” 표시등은 그 상태를 나타낼 수 없습니다. 같은 경로가 경계의 한쪽에서는 요구되고 다른 쪽에서는 금지됩니다.

여섯 개 접수증의 증거 사슬

첫 번째 접수증은 권한입니다. 누가 블랙홀을 승인했는지, 정확한 피해 프리픽스, 허용된 범위, 이유, 시작 시각, 만료를 명시합니다. 고객이 무관한 네트워크를 폐기할 수 없어야 하고, 내부 시스템이 낡은 경보를 무기한 경로로 바꿀 수 없어야 합니다.

두 번째는 컨트롤 플레인 수용입니다. 트리거 경로, 커뮤니티, 다음 홉, 수신 라우터, 정책 결정을 기록합니다. 여기서 형식이 잘못된 속성, 프리픽스 길이 필터, RPKI 정책, 오리진 검사가 의도된 활성화를 막을 수 있습니다. 수용은 필요하지만 여전히 RIB 이벤트에 불과합니다.

세 번째는 재귀 해석과 FIB 설치입니다. 의도된 각 인그레스는 피해 프리픽스가100::/64의 선택된 주소를 통해 예상된 폐기 인터페이스로 해석됨을 보여야 합니다. 컨트롤러, 라우트 리플렉터 또는 RIB에 보이는 경로는 선택에서 지거나, 재귀에 실패하거나, 포워딩 플레인에서 거부될 수 있습니다.

네 번째는 패킷 결과입니다. 인터페이스, 포워딩 또는 플랫폼 카운터가 지명된 에지에서 공격 트래픽이 폐기되고 있음을 보여야 합니다. 클린 카나리아 테스트는 하나의 프로브가 모든 소스를 대표한다고 주장하지 않고 피해 주소에 대한 예상 손실을 보여야 합니다. 카운터가 0이면 트래픽이 도착하지 않았거나, 잘못된 에지가 선택되었거나, 텔레메트리가 고장 났거나, FIB 조치가 설치되지 않았을 수 있습니다.

다섯 번째는 봉쇄입니다. eBGP Adj-RIB-Out, 적절한 경우 라우트 컬렉터, 이웃 정책, 프리픽스 필터가100::/64도 의도하지 않은 트리거도 승인된 도메인을 벗어나지 않았음을 입증해야 합니다. 공개 컬렉터 하나에서의 침묵은 전역 부재의 증거가 아니므로, 운영자는 자체 익스포트 증거를 유지해야 합니다.

여섯 번째는 복구입니다. 트리거 철회, FIB에서의 제거, 일반 도달 가능성의 복원, 권한 기록의 만료는 각자의 타임스탬프가 필요합니다. 과거의 폐기 카운터는 패킷이 한때 죽었음을 증명할 뿐, 블랙홀이 여전히 활성인지, 서비스가 깨끗하게 복구되었는지는 증명하지 못합니다.

부수 손실은 결정의 일부다

목적지 블랙홀링은 대상 주소를 공격자와 정상 사용자 모두에게 도달 불가능하게 만들어 더 넓은 시스템을 보호합니다. 숨겨진 부작용이 아닙니다. 그것이 바로 트레이드입니다. 가장 좁은 방어 가능한 프리픽스가 부수 손실을 줄이지만, 경로는 여전히 이를 운반하는 내부 정책과 하드웨어에 의해 수용되어야 합니다. RFC 7999는 블랙홀 경로가 공용 인터넷에서 일반적으로 수용되는 프리픽스보다 흔히 더 구체적인 이유를 설명합니다. 정책은 제한 없는 우회를 만들지 않으면서 예외적 목적을 인식해야 합니다.

따라서 운영자는 활성화 후 무엇이 계속 작동했는지 기록해야 합니다. 공유 접속 링크는 복구되었는가? 같은 애그리게이트 내의 이웃 서비스는 도달 가능하게 남았는가? 공격이 다른 주소로 옮겨갔는가? 트리거는 목적지 트래픽만 억제했는가, 아니면 예상치 못한 소스 기반 규칙이 손실을 넓혔는가? 메커니즘 자체가 설계상 트래픽을 파괴할 때 “트래픽이 감소했다”만으로는 부족합니다.

Hilliard의 기여는 소유가 아니라 정밀성이다

Nick Hilliard의 IETF 프로필은 RFC 6666을 여섯 개 RFC 중 하나로 기록합니다. 이 문서는 David Freedman과 공동 집필되었고, IETF 검토를 거쳐 Informational로 발표되었습니다. 개인 표준이나 보편적 명령으로 재해석되어서는 안 됩니다.

지속 가능한 아이디어는 더 작고 더 유용합니다. 운영 통제는 문서화 주소나 사설 목적 주소를 빌리는 대신 자신의 네임스페이스를 가져야 합니다. 이름은 또한 행동의 경계를 노출해야 합니다.100::/64가 가치 있는 이유는 모두가 그 의미를 알 수 있고, 누구도 그것을 전역 도달 가능한 서비스로 취급해서는 안 되기 때문입니다.

이것은 장부를 네트워크와 분리해 두는 더 큰 규율에 가깝습니다. 레지스트리 행은 통제를 판독 가능하게 만들 수 있습니다. 실행 중인 시스템, 명시적 권한, 패킷 증거가 그것이 작동했는지를 결정합니다.

출처