Кратко

  • FlowSpec распространяет критерии пакетов и действия фильтрации; видимый маршрут подтверждает состояние управления, а не результат пересылки.
  • Внешние правила обычно проверяются по маршрутам unicast и требуют повторной проверки при изменении лучшего маршрута.
  • Правила и действия могут пересекаться или конфликтовать, а ограничения IPv6-парсера и оборудования могут помешать применению.
  • Для закрытия нужны точный NLRI, состояние программирования устройств, счётчики, образцы пакетов и измерения атакуемого и легитимного трафика.

Представим, что контроллер защиты от DDoS создал правило для конкретного адреса и порта. Через несколько секунд оно видно на route reflector и в плоскости управления трёх пограничных устройств, а индикатор инцидента становится зелёным. Однако одна входящая линия продолжает пропускать поток: её линейная карта не смогла скомпилировать условие верхнего уровня. Наблюдение BGP было верным. Вывод о фильтрации — нет.

Это гипотетический сценарий, а не сообщение о конкретной сети или платформе. Он отделяет доставку инструкции от её исполнения над пакетами.

Что на самом деле переносит маршрут

RFC 8955 кодирует Flow Specification как n-кортеж в BGP NLRI. Компоненты описывают префиксы источника и назначения, протокол, порты, флаги TCP, длину пакета, DSCP и фрагменты. Пакет совпадает с правилом только при выполнении пересечения всех компонентов. Поэтому сохранять нужно декодированное выражение, а не только название в интерфейсе.

Расширенные сообщества BGP переносят ограничение скорости по байтам или пакетам, выборку, перенаправление по route target и маркировку. По умолчанию совпавший пакет принимается согласно обычной пересылке. Нулевая скорость означает отбрасывание. Полученное правило без ожидаемого действия может ничего не блокировать.

Один поток может совпасть с несколькими правилами. Стандарт задаёт порядок, не зависящий от времени прихода BGP, но действия всё равно могут противоречить друг другу. Если конфликт доходит до пересылки, реализация выбирает действие сама. Одинаковое распространение поэтому не гарантирует одинаковое локальное поведение.

Проверка зависит от изменяющегося unicast

Без иной явной настройки внешнее правило должно содержать префикс назначения, иметь того же инициатора, что и лучший покрывающий маршрут unicast, и не затрагивать более специфичный маршрут от другого соседнего AS. Первое требование можно ослабить настройкой, поэтому политика проверки также входит в доказательство.

Лучший маршрут unicast может меняться независимо от FlowSpec. RFC 8955 требует повторной проверки. Правило, допустимое до переключения, может стать недопустимым, оставаясь видимым в коллекторе. Нужно фиксировать место проверки и состояние unicast, на котором она основана.

RFC 8956 расширяет механизм на IPv6 с AFI 2 и SAFI 133 или 134. Для проверки offset префикса назначения должен быть равен нулю. Необычные цепочки IPv6-заголовков и ограничения маршрутизаторов могут сделать применение условий верхнего уровня невозможным. Приём правила в плоскости управления не отменяет это ограничение.

Результат подтверждают пакеты

RFC 8955 рекомендует журналы заголовков и счётчики совпадений по каждому правилу. Для устройства, VRF, интерфейса и линейной карты следует записывать, было ли правило скомпилировано, отклонено или упрощено, какие действие и приоритет сохранились и согласуются ли счётчики с образцами атаки.

Отдельно измеряются трафик у жертвы, потери легитимного трафика, ёмкость перенаправления и результат отзыва. Рост счётчика отбрасывания может относиться к неверному агрегату; снижение атаки может скрывать чрезмерный побочный ущерб. Маршрут FlowSpec не отвечает на эти вопросы.

Источники