Кратко

  • В воскресенье 24 февраля 2008 года в 18:47 UTC AS17557 Pakistan Telecom начала объявлять 208.65.153.0/24; AS3491 PCCW Global распространила объявление, маршрутизаторы по всему миру его приняли, и трафик, предназначенный YouTube, ушёл в Пакистан.
  • Событие закончилось в 21:01 UTC, когда AS3491 отозвала все префиксы, происходящие от AS17557, — через два часа и четырнадцать минут после начала, по той же коммерческой связи, которая вынесла несанкционированный маршрут в мир.

Хронология умещается в одной ладони. Согласно собственному разбору RIPE NCC, в 18:47 UTC AS17557 Pakistan Telecom начинает объявлять 208.65.153.0/24. AS3491 PCCW Global распространяет объявление, маршрутизаторы по всему миру его принимают, и запросы, адресованные YouTube, попадают в Пакистан.

Восемьдесят минут спустя отвечает пострадавшая сторона. В 20:07 UTC AS36561, автономная система YouTube, объявляет тот же префикс 208.65.153.0/24. В 20:18 UTC она объявляет две более конкретные половины: 208.65.153.128/25 и 208.65.153.0/25.

Этот шаг заслуживает большего уважения, чем обычно получает, и меньшей заслуги, чем ему обычно приписывают. По правилу самого длинного совпадения /25 выигрывает у /24 везде, где принимающая сеть это допускает, — и ровно здесь приём исчерпан. Он работал потому, что несанкционированный /24 оставался в таблице, будучи менее конкретным, чем лекарство. Это была самопомощь внутри правила, которым мог воспользоваться и нападавший: она не убрала чужой источник и не обязала ни одну сеть предпочитать версию YouTube. Пострадавшая сторона могла соперничать с захватом. Прекратить его она не могла.

Прекратил его отзыв. В 21:01 UTC AS3491 PCCW Global отзывает все префиксы, происходящие от AS17557 Pakistan Telecom, и захват заканчивается. Два часа четырнадцать минут с первого объявления.

Тот, кто распространил плохой маршрут, его же и убрал. Это тот факт, который дело не устаёт преподавать, а пересказы не устают обходить. Распространение и прекращение шли через одну коммерческую связь: клиент объявляет, транзит экспортирует, и тот же транзит перестаёт экспортировать. Ни одна регистратура не была опрошена, чтобы решить, поедет ли объявление. Ни один регулятор не отдал распоряжения за эти два часа. Презентация NANOG 42 февраля 2008 года подтверждает ту же последовательность — транзитный провайдер распространил маршрут по миру, а инцидент завершился отзывом после давления и согласования между операторами. И стоит сказать прямо: это подтверждение ролей, а не цитата времени.

Тот вечер породил две разновидности власти, и держали их разные стороны. Мониторинг маршрутов сделал сбой читаемым, пока он шёл; RIPE NCC фиксирует, что его Routing Information Service и инструменты вроде BGPlay использовались для обнаружения и анализа события, и называет исходное объявление несанкционированным. Читаемость стоит многого. Именно она превращает инцидент в документированный факт, а не в слух, позволяет пострадавшей стороне доказать ущерб и делает поведение оператора подотчётным записи. Но монитор — это датчик. Датчики не отклоняют маршруты.

Действующим механизмом стало операционное решение транзитного провайдера. Для тех, кто предпочёл бы, чтобы безопасностью маршрутизации управлял орган с рубильником, это неудобная фраза. Это не так. Адресные регистратуры описывают, кто держит блок; они не управляют тем, какие маршруты принимают другие сети. Этот разрыв не скандал, а архитектура: маршрутизация — добровольное соединение независимо управляемых сетей, и ни одна из них не может приказать другой перестать нести префикс. В феврале 2008 года существовавший рычаг находился на стороне транзита, внутри коммерческих отношений, и его привела в действие компания, которой он принадлежал.

Ответственность здесь распределена, и описывать её нужно так. Источник объявил блок, на который не имел прав. Транзит принял это объявление и экспортировал его в мир. Принимающие сети его допустили. Каждый из этих трёх шагов был местом, где событие могло остаться меньшим. Называть только первый, как делают почти все пересказы, значит превратить системный отказ в национальный конфуз и оставить механику ровно как была.

Отсюда — вопрос надолго. Починка, зависящая от усмотрения посредника, применённого через два часа после начала сбоя, — не контроль, а удача с правдоподобным сюжетом. Устойчивая починка делается заранее и распределённо: проверяемая авторизация источника, фильтрация клиентских префиксов на границе провайдера, валидация источника на стороне оператора, оповещения, подключённые к заранее согласованному пути эскалации, и отрепетированный аварийный отзыв. Это возможные меры контроля, а не описание того, что было развёрнуто в 2008 году.

Важно направление: сдвинуть решение раньше, разделить его между большим числом рук, сделать проверяемым — чтобы суждение одной компании не оставалось единственным между ошибкой конфигурации и мировым сбоем.

Одна граница по проверенным материалам. В документах, прочитанных для этого обзора, нет зафиксированного случая, когда регистратура, регулятор или автоматическая система проверки остановили бы объявление; там нет и сырых выгрузок коллекторов, переписки сторон или транзитного договора. Решающее действие, которое они называют, — отзыв транзитным провайдером. Там, где вопрос зависит от документов, не охваченных этой проверкой, честный ответ: он открыт, а не «стороны бездействовали».