Кратко

  • RFC 7999 определяет известное сообщество BLACKHOLE, зарегистрированное как 65535:666, чтобы исходная сеть могла попросить соседа отбрасывать трафик к указанному префиксу.
  • Метка носит рекомендательный характер: эффект допустим лишь после соглашения, в пределах пространства, которое сосед вправе анонсировать, через явную локальную политику и с ограничением распространения.

Сигнал просит о намеренном отказе

Большинство сигналов маршрутизации поддерживает доступность. BLACKHOLE просит об обратном. Если атака заполняет вышестоящий канал, недоступность одного атакуемого адреса может сохранить ёмкость для соседних сервисов. Вместе с вредоносным потоком теряется и законный трафик к цели: это управляемая жертва, а не восстановление.

IANA регистрирует BLACKHOLE как 0xFFFF029A, обычно записываемое 65535:666. Исходная AS добавляет значение к префиксу, охватывающему жертву; участвующий сосед может истолковать его как просьбу отбрасывать пакеты к этому назначению.

Общий код не означает общих полномочий. Отправитель называет адрес, который можно пожертвовать, но принимающая сторона управляет оборудованием отбрасывания. Безусловная команда позволила бы пиру превращать обычный анонс в дистанционное управление потерями. RFC 7999 такой власти не даёт.

Сначала соглашение, затем действие

При двустороннем пиринге сети должны договориться об использовании BLACKHOLE до его объявления. Без явной команды оператора оборудование не должно отбрасывать трафик только из-за метки. Распознавание стандартного значения не равно согласию исполнить его.

Принимающая сторона может учитывать анонс лишь тогда, когда префикс покрыт равным или более коротким префиксом, который сосед уполномочен объявлять, и конкретная сессия допущена к механизму. Соглашение не разрешает отключать чужое адресное пространство.

Точность ограничивает цену

Префикс должен быть максимально конкретным — обычно /32 для IPv4 или /128 для IPv6. Широкий агрегат способен сделать недоступными непричастные адреса. Жертва, вышестоящий канал и соседние сервисы могут выиграть, но выбранное назначение теряет весь поток, включая легитимный.

Источники не измеряют сэкономленную ёмкость, длительность или распространённость внедрения и не подтверждают использование конкретным оператором. Сообщество само не удостоверяет факт атаки. Реальное разрешение задают BGP-сессия, фильтры префиксов и политика получателя.

Распространение нужно удерживать локально

Получатель должен добавить NO_ADVERTISE, NO_EXPORT или аналогичное локальное ограничение. Утечка специфического маршрута отбрасывания способна затронуть сети, которые никогда не соглашались на эту возможность. Поэтому RFC 7999 рекомендует хранить обновления BLACKHOLE для анализа и аудита.

Доказательство связывает запросившего пира, префикс, покрывающий разрешённый маршрут, соглашение сессии, применённое действие, ограничение распространения, активацию и отзыв. Успех требует подтвердить и нужное отбрасывание, и отсутствие неразрешённого охвата.

Доказательства и границы

RFC 7999 поддерживает эти условия; RFC 1997 задаёт семантику сообществ, RFC 4271 — контекст BGP, IANA — код. Вывод о BLACKHOLE как об узко делегированной аварийной возможности является управленческой интерпретацией. Он не доказывает внедрение, атаку или результат у названного участника и не содержит обвинений.

Источники