Кратко

  • Holterbach объяснил на RIPE 93, что обычные BGP-сессии сбора на IXP пропускают отфильтрованные пути и события соседства. BMP способен показать стадии до и после политики, запасные пути и изменения состояния сессий при поддержке соответствующих функций сервером маршрутов.
  • В октябре 2026 года он сообщил о потоках BMP с серверов трёх небольших IXP и примерно 60 сессиях участников. Расширение обзора требует места для данных, быстрых запросов и решения, что открывать другим.

У пропавшего префикса несколько подозреваемых

Участник мог изменить экспорт. Сервер маршрутов мог отбросить объявление. Сессия могла разорваться; мог победить другой путь. Итоговый экран показывает одну пустоту для всех четырёх случаев. В официальной стенограмме RIPE 93 Holterbach объяснил, что обычный коллектор получает только объявления, отправленные ему через BGP. Некоторые looking glass системы напрямую опрашивают сервер маршрутов. Его задача — сохранять поток промежуточных состояний для разбора последовательности событий.

BMP даёт такую возможность по мере поддержки конкретной реализацией. RFC 7854 определяет наблюдение входящих путей до и после политики, а также сообщения о подъёме и падении соседа. RFC 8671 добавляет исходящие пути. Описание доклада выделяет фильтрованные и невыбранные маршруты. В расследовании важно точно назвать экспортируемую стадию: красивая панель не добавит данных, которых сервер не послал.

Больше наблюдений — больше байтов

По словам Holterbach, три небольших IXP тогда подключили BMP на серверах маршрутов: один с FRRouting и два с BIRD. Около 60 сессий участников давали видимость примерно 200 соединений с серверами и более 1 000 двусторонних пиринговых сессий. Это показатели его проекта на дату выступления. Основную сложность он видел в хранении объёма и скорости поиска. Вопрос из зала напомнил, что наблюдение исходящих маршрутов для 1 500 соседей может резко умножить поток обновлений при колебании одной сессии.

Открытость тоже имеет цену. Holterbach признал, что подробные данные помогут защитникам искать инциденты, но могут подсказать атакующему устройство чужой политики. Оператор выбирает, какие сессии экспортировать, а платформа — что хранить. Этот выбор одновременно устанавливает предел будущего доказательства. BMP не возвращает пропавшую маршрутную запись; он может показать, на каком шаге её потеряли.

Источники: доклад RIPE 93; стенограмма; RFC 7854; RFC 8671.