Resumo

  • Datado de 2 de novembro, draft-ietf-idr-fsv2-content-filter-00 propõe comparação de conteúdo fixo do pacote para FlowSpec v1 e v2. É um Internet-Draft do grupo IDR do IETF.
  • A regra indica base, deslocamento, bytes e máscara. Em FSv2 o componente é obrigatório; se o dispositivo não consegue aplicá-lo, a rota inteira não pode ser instalada localmente.
  • Apagar a condição de conteúdo e manter a ação ampliaria o filtro. A escolha dos pares BGP confiáveis, a autorização, os limites de recursos e o alcance da propagação ficam com o operador.

O atalho que transforma precisão em estrago

FlowSpec distribui regras de filtragem por BGP. Seus componentes IP básicos observam sobretudo cabeçalhos, como endereços e portas. O novo texto do grupo IDR acrescenta um teste de bytes em posição definida no pacote. A intenção é reconhecer padrões fixos de ataques volumétricos com equipamento capaz de fazer essa comparação. A pequena sequência de bytes é o que separa uma resposta precisa de um bloqueio largo demais.

A regra escolhe um ponto inicial com OType: cabeçalho IP, carga IP, carga UDP ou carga TCP. Offset conta a distância; Content e Mask definem os bits relevantes. O exemplo do documento busca dois bytes no início da carga TCP, combinado com um prefixo de destino. Não se trata de interpretar a conversa de uma aplicação, mas de comparar bits em uma posição específica.

Há um limite que um arquivo de configuração não pode fazer desaparecer. O formato codifica comprimentos de um a 255 bytes; um equipamento pode suportar menos por restrição de hardware. Em FSv2, o componente de conteúdo tem de ser obrigatório. Quando o dispositivo não consegue instalá-lo, a rota inteira fica inelegível para instalação local. Ele não pode omitir o teste e instalar as demais condições. Se uma ação de descarte, desvio ou limitação continuar sem o teste, tráfego fora do padrão original pode receber o mesmo tratamento.

O próprio endereço dos bytes merece conferência. Na opção de carga IP em IPv6, cabeçalhos de extensão entram na contagem; uma alteração no caminho pode mover o conteúdo esperado. Um túnel pode fazer o dispositivo contar a partir do pacote externo errado. O rascunho recomenda olhar o pacote IP interno após a desencapsulação quando couber, ou definir uma base inequívoca. Se o equipamento não encontra a carga UDP ou TCP, não há correspondência.

Os autores recomendam locais de filtragem controlados, condições adicionais de cabeçalho, pares BGP confiáveis e propagação restrita. Entradas ACL, UDF e TCAM custam capacidade. O texto relata testes com OpenBGPD, FRRouting e switches programáveis; não apresenta implantação comercial medida nem incidente. A linha prática está escrita: sem a condição que torna o filtro específico, a ação não pode ganhar um público maior por conveniência.

Fontes originais