요약

  • 1997년 4월 25일, AS7007의 한 라우터가 인바운드 프리픽스 경계 없이 약 23,000개 경로를 수신한 뒤, 마치 AS7007이 직접 시작한 것처럼 수만 개의 더 세분화된 경로를 광고했습니다.
  • 잘못된 경로는 이웃 네트워크들이 이를 수용하고 전파했기 때문에 확산되었습니다. 더 세분화된 프리픽스가 정상적인 집계 경로보다 포워딩에서 우선했고, 반복된 철회와 댐핑(damping)이 복구를 더 어렵게 만들었습니다.
  • 지속 가능한 해법은 역할의 분리였습니다. 라우팅 레지스트리는 근거를 게시할 수 있지만, 운영자는 필터를 직접 작성하고 관계의 범위를 정의하며 자신의 라우터가 수용하는 내용에 대해 책임을 져야 합니다.

하나의 AS가 인터넷 전체를 시작한 것처럼 보였던 아침

1997년 4월 25일 금요일 동부 표준시 기준 오전 11시 30분경, 자율 시스템 7007에 속한 MAI Network Services의 보더 라우터는 나중에 운영자가 '거의 전체에 가까운 라우팅 뷰'라고 불렀던 것, 즉 다운스트림 고객으로부터 약 23,000개 경로를 수신했습니다. 그 고객이 광고할 것으로 예상되는 경로로 제한하는 인바운드 distribute 목록은 존재하지 않았습니다.

그 뒤에 벌어진 일은 고객이 단순히 테이블을 전달한 것보다 기묘했습니다. MAI가 공개한 사과문에 따르면, 라우터는 그 뷰를 디어그리게이트(deaggregate)하고 기존 AS 경로를 제거했습니다. MAI의 또 다른 보더 라우터는 73,000개가 넘는 항목을 목격했습니다. 먼 네트워크에서 보면 이제 수많은 더 좁은 프리픽스들이 AS7007을 시작점으로 하는 것처럼 나타났습니다.

이 수치들은 하나의 깨끗한 측정 결과가 아닙니다. Avi Freedman은 코어 라우터에서 약 60,000개 경로를 보았다고 보고했고, 같은 시대의 또 다른 수치는 부하를 72,000개로 잡았으며, MAI는 자체 관측점에서 73,000개 이상을 보고했습니다. 이것들은 서로 다른 관점과 시점을 기술합니다. 하나의 잘못된 글로벌 총계로 평균내서는 안 됩니다.

원인도 미해결 상태입니다. MAI는 AS7007 라우터에서 내부 라우팅 프로토콜이 실행되지 않았음을 강조하며 라우터 결함을 의심했습니다. 다른 운영자들은 재배포(redistribution) 실수, 소프트웨어 동작, 설정 지식 부족을 논의했습니다. 남아 있는 기록은 그 장치가 왜 그렇게 동작했는지보다, 변환 자체와 필터 부재를 더 확실하게 입증합니다.

이 구분이 중요합니다. 운영자에 따르면 이 사건은 우발적이었고 정확한 방아쇠는 여전히 논쟁 중입니다. 시스템 수준의 실패는 한 장비 내부의 책임 소재를 확정하지 않아도 성립합니다. 오류가 여러 행정 경계를 넘어 퍼진 것은, 그 경계들이 관계를 초과하는 주장을 거부하지 않았기 때문입니다.

왜 더 세분화된 경로가 정상적인 집계를 눌렀는가

AS7007은 모든 정상 경로를 지우지 않았습니다. 더 좁은 대안을 광고했습니다. 인터넷 포워딩은 이후의 우선순위를 고려하기 전에 가장 긴 일치 프리픽스(longest matching prefix)를 우선합니다. 한 유효한 공급자가 어떤 목적지를 포괄하는 집계 경로를 광고하는 동안 다른 경로가 그보다 세분화된 조각을 광고하면, 그 좁은 조각에 매칭되는 패킷은 후자를 따라갑니다.

이 규칙은 필수적입니다. 운영자가 주소 블록의 일부를 조정하고, 멀티호밍을 지원하고, 네트워크 간 토폴로지가 달라도 도달 가능성을 유지하게 해 줍니다. 그 금요일에는 바로 이 규칙이 피해를 증폭시켰습니다. 수천 개의 가짜 more-specific 경로가 정상적인 집계가 여전히 보이는 상황에서도 트래픽을 끌어당겼습니다.

BGP의 AS 경로는 원래 경로가 거쳐온 순서를 기록합니다. MAI에 따르면 생성된 경로는 이전 경로를 잃고 AS7007을 시작점으로 나타났습니다. 경로 길이 선호는 고객 세션 뒤에 있는 실제 원천을 드러내지 못했습니다. 더 중요한 것은, AS 경로가 시작점이 해당 프리픽스를 광고할 권한이 있음을 증명하지 않는다는 점입니다. 이는 라우팅 시스템이 제공하는 전파 기록일 뿐입니다.

따라서 이 사건은 AS7007에게 모든 사람의 주소에 대한 권리를 부여하는 데이터베이스의 존재를 드러낸 것이 아니었습니다. 소유자들이 수용하기로 선택한 도달 가능성 정보에 따라 라우터가 동작하고 있음을 드러낸 것입니다. 권한은 분산되어 있었지만, 안전장치는 불완전했습니다.

국지적 실패가 수용의 사슬이 되기까지

MAI의 타임라인에 따르면, 회사는 11시 45분경 영향을 받은 세션을 비활성화하고, 정오에 라우터를 재부팅하고, distribute 필터를 설치한 뒤 12시 15분경 자체 장비를 연결 해제했습니다. 그러나 운영자들은 다른 공급자를 통해 AS7007 경로가 계속 도착하는 것을 목격했습니다. 최초의 광고 주체를 제거한다고 해서 이미 유통 중인 모든 사본이 즉시 사라지지는 않았습니다.

당시 기록들은 엔지니어들이 BGP 세션을 클리어하고, 긴급 필터를 설치하고, 자신의 고객에 대해 더 세분화된 경로를 광고하여 도달 가능성을 회복했다고 전합니다. 라우트 플랩 댐핑은 시스템에 기억을 더했습니다. 경로가 안정된 뒤에도 반복된 변경 때문에 일정 기간 억제될 수 있었고, 결함이 해결되었다는 신뢰할 만한 근거가 있을 때 수동 클리어가 필요할 수 있었습니다.

이것은 한 제어실이 글로벌 정지 버튼을 누르지 못한 사건이 아니었습니다. 그런 버튼은 존재하지 않았습니다. 각 네트워크는 자기 에지에서 경로를 거부하고, 자기 전파를 철회하고, 이웃에 연락하거나 세션을 끊을 수 있었습니다. 어떤 이들은 신속히 그렇게 했고, 어떤 이들은 그렇지 않았습니다.

Curtis Villamizar의 5월 15일 기록은 짧아지는 비교를 제공했습니다. 일부 공급자는 15~20분 안에 필터를 설치했습니다. 일부는 끝내 설치하지 않았습니다. 그는 업스트림이 출발점에서 광고를 차단하는 데 2시간 반 이상 걸렸다고 보고했습니다. 하나의 시작점 오류는, 수용한 운영자 각자가 서로 다른 제어 상태에 있었기 때문에 가변적인 장애 집합이 되었습니다.

사과를 필터로 바꾸기

MAI는 하나의 구체적 책임을 인정했습니다. 다운스트림의 인바운드 광고를 경계짓지 않았다는 것입니다. 사건 이후 회사는 피어에게 전면 distribute 목록을 적용했습니다. 이는 사고가 다시 일어날 수 없다고 가장하는 것보다 훨씬 유용한 제도적 행동이었습니다.

이후의 모범 관행(best current practice) 문서들은 이 규칙을 명시했습니다. 고객 BGP 세션에서는 운영자가 고객 자신의 프리픽스만 수용하고 나머지는 폐기해야 하며, 예외는 신중히 이해된 경우에 한합니다. 최대 프리픽스(maximum-prefix) 한도는 갑작스러운 테이블 폭발을 막을 수 있습니다. AS 경로 및 bogon 필터가 또 다른 경계를 더합니다. 모니터링은 세션이 살아 있다는 사실만 확인할 것이 아니라 수신 경로를 계약과 예상 토폴로지와 비교해야 합니다.

이 제어들은 모두 국지적입니다. 공급자가 범위 밖의 경로를 거부하기 위해 고객 회사에 대한 권한이 필요한 것은 아닙니다. 정의된 서비스 관계, 정확한 프리픽스 집합, 검증된 설정, 예외에 대해 책임질 사람만 필요합니다.

이것이 라우팅 집행의 좁은 정당성입니다. 운영자는 자기 라우터를 통제하고, 그럴듯하지 않은 주장을 전파하면 외부 비용을 부담합니다. 이 권한은 설정이 실제로 실행되기 때문에 실재합니다. 그 권한의 한계는 운영자 자신의 수용과 광고 결정에서 끝나기 때문에 유지됩니다.

유용하지만 불완전한 라우팅 대장

1997년의 대응은 분산형 Internet Routing Registry에 대한 관심도 강화했습니다. route 및 autonomous-system 객체는 어떤 AS가 어떤 프리픽스를 시작하고 어떤 정책을 적용할 의도인지 기술할 수 있었습니다. 도구는 이러한 레코드를 라우터 필터로 변환할 수 있었습니다.

ANS는 ANS, CANET, MCI, RIPE, RADB 데이터베이스에 걸쳐 등록된 route 객체로 필터링하겠다고 발표했습니다. 그러나 그 감사는 심각한 의존성을 드러냈습니다. 2,829개의 광고된 프리픽스가 등록되지도 않았고 어떤 집계로도 포괄되지 않는다는 사실을 발견한 것입니다. 통지는 2,108개 프리픽스를 포괄하는 312개의 시작 AS에 전달되었고, 나머지 721개 프리픽스를 포괄하는 151개 시작 AS의 연락처는 찾을 수 없었습니다.

수정 이후에도 333개 시작 AS의 2,096개 미등록 프리픽스가 남았습니다. 불완전한 대장을 기준으로 엄격히 필터링하면 가짜 주장과 함께 정상적인 도달 가능성도 제거될 수 있었습니다. 필터링을 거부하면 네트워크는 노출된 채로 남았습니다. 레지스트리를 권위적이라고 선언한다고 문제가 해결되지 않았습니다.

이후 RPSL은 route, origin, 정책 객체에 대한 더 풍부한 언어를 제공했습니다. RFC 2622는 정확한 채움이 부정확한 라우팅 정보에 저항하는 구성을 생성하는 데 도움이 될 수 있다고 했습니다. 그 문구는 절제되어 있었습니다. 정확성은 도움이 될 수 있으며, 등록 절차는 명세의 범위 밖이었습니다.

RFC 2725는 레코드의 추가와 변경에 대한 인가를 강화했습니다. 동시에 레코드가 낡는 이유도 문서화했습니다. CIDR 집계가 오래된 세분화 경로를 대체하고, 네트워크가 사라지고, 고객이 origin 데이터를 갱신하지 않은 채 공급자를 바꾸는 것들이 그 이유였습니다. 인증은 대장 거래를 보호할 수 있습니다. 그러나 대장을 완전하게 만들거나 라우터가 그것을 사용하게 만들 수는 없습니다.

따라서 유용한 구조는 계층화되어 있습니다. 주소 레지스트리는 할당에 관한 근거를 지원합니다. 라우팅 정책 저장소는 운영 의도를 기록합니다. 도구는 후보 필터를 컴파일합니다. 네트워크 운영자는 이를 검토하고 설치합니다. 관측자는 실제 광고를 측정합니다. 이들 어떤 계층도 다른 계층을 대신해서는 안 됩니다.

추론된 관계에서 명시적 역할로

수십 년 동안 누출 방지는 주로 운영자가 각 BGP 이웃의 상업적 역할을 올바르게 설정하는 데 의존했습니다. 공급자로부터 배운 경로를 마치 중간 네트워크가 트랜짓인 것처럼 다른 공급자에게 제공해서는 안 됩니다. 고객이 임의의 글로벌 경로를 업스트림으로 보내서는 안 됩니다. 이러한 관계는 계약과 설정에 존재했지만, BGP 스피커가 양쪽 끝이 역할에 대해 일치하는지 검증할 필요는 없었습니다.

RFC 9234는 2022년에 이 누락된 악수(handshake)를 다루었습니다. BGP Roles는 이웃들이 provider, customer, peer, route-server, route-server-client 관계를 선언하게 합니다. Only-to-Customer 속성은 전파 경계를 실어, 일부 누출을 국지적으로 거부하거나 더 먼 곳에서 탐지할 수 있게 합니다.

이는 1997년의 교훈에 대한 놀랄 만큼 늦은 답입니다. 모든 네트워크가 이 기능을 배치했다는 뜻이 아니며, 모든 가짜 origin이나 정책 실패를 잡아내지도 못합니다. 그러나 이동 방향을 보여 줍니다. 신뢰의 범위가 프로토콜 안에서 명시되고 실행 지점에서 검증 가능할 때, 신뢰는 더 안전해집니다.

AS7007의 역사적 의의는 여기에 있습니다. 인터넷은 모든 경로를 승인할 글로벌 공무 기관을 요구하지 않았습니다. 각 참여자가 열린 세션을 무제한 권한으로 취급하는 것을 멈추는 것을 요구했습니다. 분산 운영은 국지적 자유가 국지적 책임을 포함할 때만 작동합니다.

출처와 근거의 한계

시각이 기록된 사건 서술은 MAI Network Services의설명과 사과문에서 옵니다. Avi Freedman의같은 날의 운영 기록은 외부 관점을 제공하며, Curtis Villamizar의ANS 필터링 통지는 즉각적인 레지스트리 대응과 누락된 레코드를 문서화합니다.

포워딩 메커니즘은RFC 1812, 댐핑은RFC 2439, 정책 기술은RFC 2622, 저장소 인가는RFC 2725, 필터링 관행은RFC 7454, 이후의 관계 신호는RFC 9234에 근거합니다.

완전한 글로벌 영향 분모는 남아 있지 않습니다. 장치 원인, 경로 총계, 복구 시간은 관측자에 따라 다릅니다. 근거는 광범위한 우발적 누출, 인정된 필터 부재, 분산된 복구를 지지합니다. 정확한 전 세계 장애 건수나 이후 안전장치의 보편적 채택까지 지지하지는 않습니다.