ENOG 15: "Warum ist das Internet noch online?"

    Hallo Habr! Dies ist sowohl eine Transkription als auch eine teilweise Übersetzung der stündlichen Sitzung mit dem Titel "Warum ist das Internet immer noch online?" Vom fünfzehnten Treffen der eurasischen Gruppe von Netzbetreibern.

    Qrator Labs dankt allen Teilnehmern an der Diskussion: Alexey Semenyaka, RIPE NCC; Ignas Bagdonas, Equinix; Martin J. Levy, Wolkenbruch; Alexander Azimov, Qrator Labs und Moderator Alexei Uchakin vom LinkmeUp- Podcast- Team für die Erlaubnis, diesen Text zu veröffentlichen.

    Netzwerkforschungsingenieure sind an dieser Diskussion beteiligt, daher wird hauptsächlich über das domänenübergreifende Routing gesprochen. Video am Ende der Veröffentlichung. Viel Spaß beim Lesen.

    Alexey Uchakin : Hallo an alle, mein Name ist Alexey. Das LinkmeUp-Team ist der erste Podcast für Telekommunikationsbetreiber. Für mich hat ein Kollege von Qrator Labs viel darüber geredet, wie man sich gegen Spoofing verteidigt, aber ich würde gerne weiter reden. Da das Internet definitiv dezentral ist und unter anderem dafür geschaffen wurde, nach einer Atomexplosion zu überleben, aber wie die Praxis zeigt, billiges Equipment zu haben und nicht das Recht hat, BGP zu konfigurieren, können Sie alles sehr erfolgreich brechen. Deshalb wollte ich heute mit Experten diskutieren, wie man sich dagegen wehren kann, wie man es überwacht und was man damit alles anfangen soll.

    Heute gibt es: Alexander Azimov - Qrator Labs, Alex Semenyaka - RIPE NCC, Ignas Bagdonas - Equinix und Martin J. Levy - Cloudflare. Eigentlich, meine Kollegen, möchte ich zunächst die erste Frage stellen: Wie sicher ist das Internet jetzt vor der Tatsache, dass ein bedingt kleiner regionaler Betreiber plötzlich die Präfixe von bedingtem Google, Yandex oder irgendjemand ankündigt. Gibt es eine Einschätzung, wie das jetzt ist?

    Alexander Azimov: Nun, dann lass mich mit dieser traurigen Geschichte beginnen, denn es ist wirklich traurig. Leider haben große Betreiber, auch in Russland, Ausnahmen, d. Sie richten manchmal Filter ein und manchmal nicht. Ich möchte nicht den ganzen großen Markt für Betreiberbetreiber in Russland mit dem Finger berühren, sondern einen erheblichen Teil derer, bei denen wir Tier-1-Betreiber für solche Ausnahmen halten. Diejenigen, für die diese Ausnahmen implementiert werden, haben daher die Möglichkeit, alles und irgendetwas anzukündigen, und dies ist bereits geschehen. Eigentlich haben wir beobachtet, wie Corbin letztes Jahr geflossen ist, wie VimpelCom geflossen ist. Es gibt diejenigen, denen der Donner noch nicht geschlagen hat, aber es gibt Potenzial.

    Alexey Uchakin : Also jetzt ist alles wirklich schlecht, oder?

    Alexey Semenyaka: Also, lassen Sie uns nicht die Spannung erhöhen - das ist wahrscheinlich etwas überflüssig. Nun, was heißt schlecht? Ja, da gibt es Löcher. Sasha hat zu Recht gesagt: jemand filtert, jemand filtert nicht, d.h. Alles auf dieser Ebene. Beginnen wir mit der Tatsache, dass das Internet auf Prinzipien aufgebaut ist, sagen wir gegenseitiges Verständnis, und in ausreichendem Maße existiert es auf diesen Prinzipien. Es wird davon ausgegangen, dass dies nicht nur ein technischer Entwurf ist, sondern auch einige Unternehmen, die einige Mitarbeiter beschäftigen, die bewusst handeln. Wenn eine ähnliche Sache im Internet erscheint, reagieren alle anderen irgendwie auf diese ganze Sache, so etwas. Obwohl in der Tat regelmäßig Unfälle passieren. Eine wunderbare Geschichte über Vertrauen - wenn alle Google vertrauten und Japan mitnahmen und verließen ... kurz gesagt, nicht so sehr mit dem Internet. Die Geschichte ist wieder letztes Jahr, aber das ist ein großartiges Beispiel. Ich möchte lieber über die technische Seite sprechen und nicht über die Formulierung: Ist alles gut / ist alles schlecht. Nun, das ist ein zu unprofessioneller Ansatz.

    Alexander Azimov : Nun gut, wenn Sie diesen unprofessionellen Ansatz fortsetzen, würde ich die Frage stellen: Kann das Netzwerk des kollektiven Vertrauens nicht zu einem Netzwerk kollektiver Probleme werden, wenn es 55.000 Objekte gibt? Dazu gehört, aber nicht nur, das Thema BGP-Sicherheit ist aktiv. Es ist zu hoffen, dass sich die Situation aus technischer Sicht verbessern wird, wodurch es möglich wird, einen erheblichen Teil der Lücken im BGP-Protokoll zu bereinigen und vor allem für Anfänger sicherer zu machen. Damit haben sie weniger Gelegenheit, sich und andere zu töten.

    Alexey Uchakin : Müssen die Rechte zur Konfiguration des BGP vergeben werden?

    Alexey Semenyaka : Ich glaube, Ignas hat etwas zu sagen.



    Ignas Bagdonas: Ich würde sagen, dass es zwei verschiedene Teile des Problems oder zwei Gruppen von Problemen gibt.

    Zum einen sind es die Gesichter und andere Dinge, die als Folge eines Fehlers auftreten, ein unbeabsichtigter Fehler. Dicke, dicke Finger - so etwas. Einerseits bewegen wir uns in Richtung Automatisierung, und dies ist gewissermaßen eine Lösung, aber alle Automatisierungssysteme arbeiten mit Daten. Wenn unsere Daten fehlerhaft oder fehlerhaft sind, werden sie genauso viel effizienter.

    Bei der anderen Gruppe handelt es sich um gezielte vorsätzliche Angriffe, und aus meiner Sicht werden die meisten dieser Angriffe ausgeführt, und sie sind erfolgreich, nur weil das gesamte Netzwerk eine ziemlich große Ebene hat, seien wir ehrlich, ein Chaos. Dies ist Betriebshygiene, die sich nur dann ergibt, wenn alle Teilnehmer oder die Mehrheit der Teilnehmer daran beteiligt sind und dies mehr oder weniger richtig machen. Dies ist eine Frage der Erziehung. Sie sind hier, in diesem Raum, Sie wissen, was Filterung ist, Sie wissen, wie es funktioniert, aber Sie repräsentieren einen kleinen Teil der Menschen, die technische Arbeit und Unterstützung leisten, und Sie können daraus nicht schließen, dass alle das gleiche Verständnis haben . Natürlich gibt es Situationen, in denen jemand die Dokumentation von einem Anbieter gelesen hat, der das Team ausfüllt, und Sie werden glücklich sein. Sie tun es und bekommen Glück, Nur in diesem Prozess schädigen sie andere, nicht absichtlich und ohne es zu verstehen. Das Thema Lernen ist in dieser Situation sehr wichtig. Ich sehe, dass es sich in eine gute Richtung bewegt, aber dies ist kein schneller Prozess.

    Alexey Semenyaka: Ein kleiner Hinweis zu Bildung - Bildung ist hier wirklich eine sehr kritische Sache und genau das gleiche wie in dem Teil der Probleme, den wir nach dem Sasha-Bericht gerade besprochen haben. Es gibt so ein anschauliches Beispiel, das unsere Organisation RIPE NCC betrifft. Wir sind, wie Sie wissen, die RIPE DB-Datenbank. Wir haben dort Objekte geplündert, ich erinnere mich gut an die Zeit, vor kurzem - vor 20 Jahren - war es ein guter Ton, Filter auf RIPE DB zu erstellen. Das ist absolut nicht wahr - es gibt Organisationen, die dies auf eigene Gefahr und auf eigenes Risiko tun, aber einige beschweren sich, wenn Sie nur glauben, was in der RIPE-Datenbank steht, dann können Sie sich erschießen. Wir sind nur führend, wir sind technische Betreiber von RIPE DB, wir können Sie nicht zwingen, die Wahrheit zu schreiben, d. H. Es gibt keine Rechte, Sie haben uns solche Rechte nicht gegeben Sie haben uns nicht gesagt: "Bitte stellen Sie sicher, dass dort etwas richtig geschrieben ist." Und Sie, liebe Teilnehmer, schreiben dort regelmäßig Unsinn. Ja, das ist das Problem der Skalierung und des Problems der Bildung, die einander überlagert sind. Nicht, weil Sie dumm sind oder nicht, weil Ihnen die Ausbildung im BGP-Protokoll fehlt. Nein, das ist wirklich sehr unordentlich. Sie bekommen es nicht in die Hände, Sie haben keine Zeit, um es herauszufinden, Sie verstehen nicht, warum es notwendig ist, und bilden eine wachsende Anzahl von Teilnehmern. Es ist wirklich eine sehr große Herausforderung, die heutzutage in meiner Praxis effektiv ist Blick nicht gelöst. Dies ist wirklich ein Bildungsproblem, aber nicht im Sinne eines Bildungsproblems, das jemand hätte tun können und nicht getan hätte, es ist wirklich nicht klar, wie es im Zusammenhang mit dem wachsenden Internet zu tun ist. eine wachsende Anzahl von Teilnehmern usw. usw. Dies ist mehr oder weniger ein Systemproblem. Martin

    Martin-Abgabe: Sie haben mich ein wenig vom ursprünglichen Thema abgeworfen - ich gehe zuerst zurück. Ich habe schon graue Haare, verstehst du? Das liegt daran, dass ich schon sehr lange vernetzt bin. Und als Grundlage des gesamten Internets verfügen wir über Protokolle, die lange vor dem heutigen Maßstab erstellt wurden. Wer weiß schon, wer zuerst in Russland eine Internetverbindung anbietet? Es spielt keine Rolle, wer es war, wie viele Leute es wissen, und was Sie wissen, ist wichtig. Und wenn Sie das Telefon abnehmen und irgendwo anrufen mussten, wussten Sie, wen Sie anrufen sollten. Und wer unter den Anwesenden kontrolliert den ASN und kennt mich nicht oder kennt keine anderen Personen, die ihre Hände erhoben haben? Das Protokoll hält mit einer solchen Wachstumsrate einfach nicht Schritt. Und alles, worüber wir in früheren ENOGs und vor 10 Minuten oder auf anderen Konferenzen gesprochen haben, war auf eine Sache bezogen. Informationen zum Aufholen der Wachstumsrate.

    Es gibt einen Satz wie "erlaubnislose Innovation" (Innovation ohne Erlaubnis) - die bestehenden Protokolle "haben keine Erlaubnis verlangt" von Telekommunikationsbetreibern oder Internetanbietern. Sie wurden von Menschen geschaffen, die heute hier sind - und diese Dinge funktionieren. Vieles, was Sie hier gesagt haben, bezieht sich darauf, wie wir den Fortschritt einholen können, was fehlt oder was wir alle vereinbaren müssen. Die Dinge sind von philosophischer Ordnung, und ich möchte auf der Erde bleiben. Und in diesem Moment muss ich sagen, dass Sie sich irren. Ich werde es erklären: Die moderne Funktionsweise des modernen Internets besteht nur darin, diese Datenbankdatenbanken zu unterstützen, die wir faul sind. Ich wiederhole es noch einmal - faul benutzen wir es, damit niemand die normale Konnektivität eines anderen stören kann. Heute mittags besprachen wir: Ich bin der Besitzer des Netzwerks, das jemand nicht weiter manipulieren wollte, als vor 5 Tagen. Obwohl der Router nur 30 oder 40 Sekunden dauerte, dauerte er einige Tage bei Twitter und anderen sozialen Netzwerken. Ich habe also ein echtes voreingenommenes Interesse, Sie und alle anderen Anwesenden davon zu überzeugen, dass dies ein sehr wichtiges Thema ist. Lassen Sie mich erklären, wo Sie meiner Meinung nach falsch lagen und warum ich so reagiert habe. Jemand sollte zu einem bestimmten Zeitpunkt dafür verantwortlich sein, dass er genau solche Daten besitzt, die es erlauben, eine legitime oder unrechtmäßige Ankündigung geltend zu machen. Denn gerade in dieser Umgebung funktioniert „ohne Erlaubnis“ nicht besonders gut. Und da Sie das RIR-Mitglied dieser Diskussion sind, rolle ich zu Ihnen zurück und frage Sie: „Ist es für Sie schwierig, den IRR in einem sauberen und korrekten Zustand zu erhalten?“ Es ist für jeden schwierig. Jemand muss aufstehen und sagen: „Genug. Ich werde Wege finden, das Problem zu beheben und es besser zu machen. “ Der zweite Teil meiner Antwort ist, dass einige der Anwesenden diesen Prozess starten müssen, und jetzt werde ich Sie als RIR für diese Aufgabe auswählen. Mal sehen, wohin diese Diskussion geht.



    Alexey SemenyakaA: Erstens kann ich nicht mit Meinungsverschiedenheiten einverstanden sein, da dies in keiner Weise widerspricht, was ich gesagt habe. Ich habe nicht gesagt, dass unsere Daten absoluter Unsinn sind, ich habe darüber gesprochen, dass es viele Fälle gibt, in denen Unsinn geschrieben wird. Zum Glück nicht immer. Der Rauting-Teil der Datenbank ist ziemlich wichtig, aber irgendwie funktioniert er. Besonders dort, wo es Zwangsmaßnahmen gibt - insbesondere das Aktualisieren dieser Daten funktioniert besonders gut, insbesondere wenn wir von einem verantwortlichen Betreiber sprechen, der mit seinen Downlinks arbeitet. Oder fast immer funktioniert es - diese Aufzeichnungen sind für Verkehrsvermittlungsstellen relevant, da Verkehrsvermittlungsstellen sehr sorgfältig darauf achten, was in ihrer Datenbank geschrieben wird. Sagen wir zum größten Teil. Es gibt ein Durcheinander dort - ein Durcheinander leider nicht genau, es ist mehr oder weniger verteilt, aber Glücklicherweise ist dies ein Problem, keine Katastrophe. Martin, ich entschuldige mich, sagen wir, dies ist eine gestohlene Fortsetzung des Gesprächs. Ich stimme absolut zu, dass wir dieses Geschäft aufnehmen sollten. Also will Sasha mir einfach das Mikrofon wegnehmen und sagen, dass er die Person ist, die das tut, verstehe ich das richtig? Ich stimme trotzdem zu. Ein anderer Sasha aus dem Publikum deutet an, dass es noch jemanden gibt. Das ist richtig, aber in der Internet-Community funktioniert der Druck durch die RIR nicht. Wenn das RIR einfach beginnt, die Teilnehmer unter Druck zu setzen und zu sagen: "Nun, alle standen schnell in einer Reihe und begannen mit dem Bau" - nichts wird passieren. Die Diskussion funktioniert, die Kristallisierung der Problemarbeit, die Schaffung von Bewusstseinsarbeit. Dies ist in gewissem Sinne derselbe Teil der Ausbildung, und wenn sie abgeschlossen ist, erscheinen genau die Leute, mit denen Sie arbeiten können und mit denen wir als RIR arbeiten können. Wir werden unser Bestes geben, um zu helfen. Wir haben ein System, mit dem Sie den Überblick behalten können. Wir sind bereit, dieses Problem zu fördern, aber wir können die Community nicht ersetzen. Wir können mit der Community arbeiten - wir können, wir werden und wir sind bereit, aber wir können die Community nicht ersetzen - wir können nicht diejenigen schaffen, die es tun werden.

    Alexander Azimov: Lass uns zurückgehen - du musst doch die Wurzel des Bösen finden und versuchen zu beweisen, dass es sich um eine RIR handelt. Wenn Sie Ihrem SET eine autonome Systemnummer hinzufügen, tun Sie dies normalerweise, wenn Sie gerade unterwegs sind. Um sie mit Service zu versorgen. Nicht, um sie morgen zu schützen oder so, dass alles gut für sie funktionierte, sondern für die höheren, um dem SET ihren Präfix hinzuzufügen und die Arbeit fortzusetzen. Und wie oft löschen Sie, was dort von Ihrem SET hinzugefügt wurde? Erheben Sie bitte Ihre Hand, die das nicht oder selten tun? (hebt ihre Hand) Ich werde hier ehrlich sein. (Frage aus dem Publikum: "Selten selten?") Ja, gelegentlich. In der Tat, wenn wir auf AS-SETs Schutz vor Gesichtern, Flugzeugentführungen und Verlegungen legen, haben wir uns alle vermischt. Dieser Mechanismus wurde zu einem anderen Zweck entwickelt. Sie sind miteinander verbunden, aber sein Fall ist anders. In diesem Fall, Im Wesentlichen wird die Sicherheit delegiert, da Ihre Nummer von anderen Benutzern hinzugefügt werden kann. Das BGP-Protokoll kann nur dann strukturell korrigiert werden, wenn es auf das, was Martin gesagt hat, nur dann gilt, wenn Ihre Sicherheit nur von Ihren Handlungen abhängt. Und von jedem anderen. Meiner Meinung nach sollte sich das Protokoll und seine Änderung in diese Richtung entwickeln.

    Martin Levy : Protokoll - es hängt nur von den Daten ab. Wenn sich die Senkgrube im Inneren befindet, befindet sich die Senkgrube außerhalb. Mist drin, Mist raus, das ist alles.



    Alexander Azimov : Ich bin verwirrt. Das Problem ist, dass Sie immer Müll erstellen können, aber ich möchte in einer Situation leben, in der nur ich selbst Müll für meine Netzwerke erstellen kann. Ich werde für die Erstellung des Mülls verantwortlich sein. Die Situation, wenn andere Spieler Müll für mein Netzwerk erzeugen, ist eine Sackgasse. Und zurück möchte ich für die Sicherheit meines Netzwerks verantwortlich sein.

    Martin-Abgabe: Ich stimme dem zu, ich verstehe es gut. Lassen Sie uns dann etwas Neues ausprobieren und kommen wir auf diese Frage. Wo kann ich eine Rechnung oder Vorauszahlungsanforderung senden, wenn etwas zu meinem Netzwerk kommt? Und es kommt dort - etwas, nach dem ich nicht gefragt habe, etwas, das viele Spieler durchlaufen hat und für mich keinen Wert hat. Ich kann viele Zahlungsaufforderungen selbst senden. Wie werde ich das gesamte Volumen verarbeiten? Dies ist gewissermaßen eine rhetorische Frage, weil wir wissen, dass es nicht existieren kann. Dies ist jedoch gleichzeitig ein hervorragendes Argument. Wir befinden uns jetzt alle in einem Boot, da die Anzahl und die Qualität der Filter begrenzt ist. Und dies ist eine ziemlich große Menge an Verkehr, die nicht existieren könnte. Wir können es auch nicht mit Daten besprechen,

    Alexey Uchakin : Nun, das ist eine andere Frage. Aber wir haben eine RIPE-Datenbank, wir haben eine Datenbank mit anderen LIRs, und wir geben einen ehrlichen Wegbereiter, dass wir uns gut benehmen und die richtigen Daten dort schreiben werden. Und wie Sie sich vor Spoofing schützen können - von der Tatsache, dass wir die autonome Nummer eines anderen Benutzers und die gleichen Adressen angeben können, die für diese Autonomie gültig sind, jedoch für bestimmte Zwecke. Kann uns BGPSec mit RPKI oder so etwas dabei helfen?

    Alexander Azimov : BGPSec kann uns nicht helfen, sorry.

    Alexey Uchakin : Also wird es mit DNSSec so sein, dass die Idee gut ist, aber niemand trifft zu?

    Alexey Semenyaka: Ich denke über BGPSec sollten wir den Vertreter der Zukunft, das heißt Ignas, fragen. Hier, wer für die Zukunft verantwortlich ist, geht es um die Gegenwart. BGPSec plant derzeit keinen Support für einen Anbieter. Ich spreche nicht von Hardware - bisher hat noch kein Anbieter einen Roadmap-Anbieter hinzugefügt. Wir, die mehr oder weniger mit der gegenwärtigen BGPSec verwandt sind, finden es wahrscheinlich schwierig zu diskutieren. Nehmen wir in einer idealen Welt an, wir haben RPKI, es gibt eine absolut genaue Datenbank, und jeder überprüft alles - jeder prüft RPKI und jeder prüft die Konsistenz dessen, was in der Datenbank angezeigt wird. Dann wird alles funktionieren. Ich bezweifle, dass dies eine Frage war - aber ich stimme zu, dass alles in einer idealen Welt funktionieren wird.

    Alexey Uchakin : Und wenn nicht im Idealfall?

    Alexey Semenyaka: Und wenn es in der Realität nicht geht.

    Alexey Uchakin : Warum dann RPKI?

    Ignas Bagdonas: Als ich in die Zukunft schaue, werde ich kurz antworten: "Die Zukunft wird glänzend sein." Aber bis zu diesem Moment wird es viel Dunkelheit, Durcheinander und andere Dinge geben. BGPSec und andere damit zusammenhängende Angelegenheiten? Nichts Schlechtes, wenn man von der akademischen Gemeinschaft spricht, ist BGPSec zum größten Teil ein akademisches Experiment. Ja, es sieht so aus, als wäre es vollständig, es kann theoretisch funktionieren und theoretisch kann es die Probleme lösen, die ihm auferlegt wurden, aber wenn wir von der praktischen Seite aus schauen, sieht alles etwas anders aus. Ein sehr einfacher Aspekt: ​​Wenn beispielsweise Leistungstests durchgeführt wurden, einfache Leistung, wie funktioniert die Validierung schnell. Wenn ich 50 Präfix-Updates pro Sekunde überprüfen kann, erhalte ich vollen Feed. Ich werde viel mehr Zeit brauchen, bis ich alles auffüllen kann, und in dieser Zeit hat sich die Hälfte von allem bereits mehrmals verändert. Ja, es ist fast perfekt, alle Auflösungsmechanismen. Brauchen wir ihn? Wahrscheinlich Andererseits, wenn wir einen Mechanismus hätten, der mindestens 80% von allem lösen würde, na ja, 85%, zumindest 85,5% der Probleme derjenigen, die wir praktisch haben, aber in einigen schwierigen und außergewöhnlichen Fällen nicht funktionierten . Ich denke, dass ein solcher Mechanismus und Ansatz viel praktischer sein würde, und die Anbieter würden alles umsetzen und alles nutzen. Wenn wir von Anbietern sprechen, ist ihre Antwort sehr einfach: „Sind Sie bereit, als Produkt so viel zu zahlen, wie es kostet, wenn wir es tun?“ Und die Antwort derselben Betreiber ist sehr unklar. Ich hörte jemanden in der Halle "Ja" sagen, aber viele sagen "Natürlich nicht". "Denken Sie nicht einmal darüber nach - dies ist Ihr Problem, Sie und Sie erkennen es, wir werden Ihre Plattform kaufen, und Was macht sie - warum sollten wir etwas bezahlen? Wir denken nur, dass dies alles sein sollte. “ Es stellt sich ein Teufelskreis heraus. Ja, wir haben alle Protokolle, alle Mechaniken und andere Dinge. Wir haben Datenbanken - sie sind Müll. Wenn wir all das hinzufügen, scheint die Lösung vorhanden zu sein, aber rein technisch kann es nicht funktionieren, wenn alle Komponenten miteinander verbunden sind. Und selbst wenn es mit den im System vorhandenen Daten arbeiten kann, wird es auch hier kein positives Ergebnis geben. Dies ist ein solcher Zyklus, und es ist nicht sehr offensichtlich, wie man aus ihm herauskommt. Ja, die IETF und andere Organisationen arbeiten seit mehr als einem Jahrzehnt an BGPSec, und es stellt sich heraus, dass viele Menschen viel Zeit und Mühe aufgewendet haben, aber es stellte sich als eine Art Halbzeug heraus, wenn ich sagen darf, das scheint zu funktionieren, aber es kann nicht verwendet werden. Was jetzt zu tun Versuchen Sie, BGPSec in den Sinn zu bringen,



    Martin Levy : Wenn Sie die 50 Sekunden, die Sie angerufen haben, berücksichtigen, haben Sie ungefähr 4-5 Stunden, um die vollständige Tabelle zu bestätigen. Dies ist bei einem Operator einfach nicht akzeptabel.

    Ignas Bagdonas : Ja, ja. Dies sind die Daten, die bei der IETF - BGPSec-Leistungstests mit modernen Geräten durchgeführt wurden.

    Alexey Semenyaka: Moderne Ausstattung! Es gab eine Frage, die keine Antwort erhielt. Ich werde es kurz sagen. Ich stimme absolut mit dem überein, was Ignas über die Tatsache gesagt hat, dass dies sehr nützlich ist, wenn Sie viele einfache Fälle herausfiltern können. Eine Silberkugel zu suchen ist in der Branche keine Methode, sie funktioniert nicht. Praktische Ansätze arbeiten. Die Geschichte von RPKI ist genau diese Geschichte. Dies ist eine Geschichte, um Fälle herauszufiltern, die durch das Thick-Finger-Syndrom verursacht werden. Natürlich kann ein Angreifer den RPKI-Schutz nicht umgehen, ungefähr nichts. Aber in der überwiegenden Mehrheit der Fälle sitzen Leute, die dies messen, die die Zahlen kennen, zu meiner Rechten und zu meiner Rechten. Ich werde Sasha Azimov jetzt ein Mikrofon geben, Martin wird, denke ich, auch dazu Stellung nehmen. Die Anzahl der Vorfälle, die wir im BGP-Protokoll sehen und die durch das Fettfinger-Syndrom verursacht wird, ist enorm. Wenn es möglich ist, es zu reduzieren, sollte es getan werden. Tatsächlich war es genau dieser Ansatz, der RPKI unterlag - es ist keine Silberkugel und kein Versuch, die Integrität vor einem Angreifer zu schützen, d. H. eine Person, die versucht, etwas konkret zu tun. Wenn Sie jedoch auf jeden Fall einen ganzen Müllcontainer oder eine kleine Kiste reinigen müssen, um nach etwas Beweismitteln zu suchen, ist der zweite Fall viel einfacher. Dies kann insbesondere dazu beitragen, Fälle zu identifizieren, in denen vorsätzlich etwas getan wird, wenn die Anzahl der unbeabsichtigten Fälle in uns abnimmt, da sie im aktuellen Heap sehr schwer zu erkennen sind. Die Zuteilung einiger Raubangriffe begann vor kurzem. Ich bin mir sicher, dass es sie früher gab, aber einige nachgewiesene Fälle von Attribution sind ziemlich neu. Als klar war, dass es ja ein Angriff war, was wirklich von Eindringlingen ausgeführt wurde und sie bekamen dies und das. In den letzten Jahren waren solche Fälle bereits die n-te Zahl, aber früher war dies meist nur auf der Ebene des Verdachts.

    Alexander Azimov: Ich werde jetzt weitermachen, was Alexey und Martin gesagt haben. Vor kurzem beschuldigten sie mich, einen sehr deprimierten Blick auf BGP zu haben. Zum Teil ist das vielleicht wahr. In diesem Jahr ist jedoch ein Ereignis eingetreten, das meiner Meinung nach für die Branche von sehr großer Bedeutung sein wird. Seit vielen Jahren gibt es Versuche, die ROA-Validierung, die wir RPKI nennen, massiv zu starten. Warum ist das wichtig? Da es das Problem von Gesichtern nicht lösen kann, kann es das Problem böswilliger Aktivitäten nicht lösen - es löst nur das Problem versehentlicher Entführungen. Dies löst das Problem des sehr statischen Lecks, das ständig auftritt. Was vor nicht allzu langer Zeit in Russland passiert ist, was Cloudflare jetzt an ihren DNS-Dienst gebunden hat, glücklicherweise nicht für lange. Und dies ist ein Weg, um zu kämpfen. Und die gute Nachricht ist nicht, dass RPKI selbst schon lange auf dem Markt ist. Das Problem ist nicht nur dass eine Anomalie auftritt, aber dass sie sich ausbreitet. Wenn sich die Anomalie nicht ausbreitet, nimmt der Katastrophengrad dramatisch ab. Und schließlich ist die gute Nachricht, dass große europäische IXs, wie MSK-IX, einschließlich DEC-IX, einschließlich AMS-IX, laut ROA in naher Zukunft mit dem Ablegen ungültiger Routen beginnen werden. Was bedeutet das? Wenn Sie also Ihren Adressraum unterzeichnen, dh über Ihre eigene Sicherheit nachdenken, erhöhen Sie die Wahrscheinlichkeit, dass das nächste Mal, wenn eine Anomalie auftritt, der gesamte oder ein erheblicher Prozentsatz Ihres Datenverkehrs nicht oder nur zu einem gewissen Grad lokalisiert wird. Daher empfehle ich dringend, dass Sie Ihren Adressraum signieren - es ist nicht schwierig. Heute, mit Alexey Semenyaka, werden wir nach diesem Abschnitt eine Werkstatt durchführen und versuchen, denjenigen zu helfen, die technische Probleme haben. wie kann man das machen. Ja, wir werden hier ausschließlich für die RIPE-Region arbeiten. Tatsächlich hat RIPE einen tollen Job gemacht und es ist sehr, sehr einfach zu erledigen, ich habe 10 Minuten gebraucht. Ich denke, du kannst es schneller machen.

    Alexey Semenyaka : Der Workshop ist auf jeden Fall für diejenigen gedacht , die das LIR-Portal betreten können. Wenn Sie keinen Zugriff auf Ihr LIR-Portal haben, tut es mir leid. Du kannst auch mitkommen, aber dann musst du leider nur von hinten zusehen. Für diejenigen, die Zugang zum LIR-Portal haben, ist dies eine Gelegenheit, dies heute, hier und jetzt richtig zu machen.



    Martin Levy : Ich habe nichts weiter als zu unterstützen - das ist die richtige Richtung. Update für Sie - AMS-IX filtert Ankündigungen jetzt zu 100% nach RPKI, zwei Wochen gerne. Alle IX-Operatoren sollten dies auch wissen, diejenigen, die die Routenbasis in ihrem IX beibehalten. Sie können dies am Beispiel von AMS-IX tun: Zuerst müssen Sie Daten auf sanfte Weise sammeln und analysieren und anschließend eine Filterung der RPKI- und RIR-Daten in Hardware implementieren.

    Alexander Azimov: Das sind einfach großartige Neuigkeiten! Es ist eine Sache zu sagen, dass sie nur sein werden, und eine andere, wenn es bereits begonnen hat. Hier ist ein weiterer wichtiger Punkt, dass zusammen mit dem Beginn der aktiven Nutzung Erfahrungen mit der operativen Nutzung der ROA-Validierung gemacht werden. Nach den IXs, nach den ersten Fehlern, werden die Transite also enger - ich möchte wirklich daran glauben.

    Martin-Abgabe: Und das ist ein entscheidender Punkt. Sie haben Leute zum Lernen eingeladen und sagten, es sei einfach. Lass mich dir die andere Seite zeigen. Für jedes Netzwerk in dieser Region, in dem Transitanbieter verwendet werden, die in anderen Städten Europas wie Amsterdam, Frankfurt oder London eine gewisse Rolle spielen, werde ich jetzt über Amsterdam sprechen, da ich glaube, dass jedes große Netzwerk eine Verbindung herstellt Amsterdam irgendwann. Wenn ein solches Netzwerk keinen gültigen IRR-Datensatz oder, was noch wichtiger sein kann, einen RPKI-Datensatz besitzt, wird die Route nicht durch den Routenserver geleitet. Deshalb erhalten Sie nicht den optimalen Verkehrsweg. Heute können Sie durch Frankfurt fahren, aber das wird sich bald ändern. Jemand hier im Publikum kann wahrscheinlich sagen "wann". Vielleicht geht der Verkehr durch London, Warschau - das ist schon ein Trend. Selbst wenn wir nur einen zusätzlichen Punkt haben, können wir bereits sagen, dass dies ein Trend ist. Genauere Daten über die Routen im Interesse eines solchen Netzwerks zu erhalten, ist daher viel mehr als noch vor zwei Wochen. Ich hoffe, dass dies auch in Zukunft so bleibt, aber die Motivation zu sagen: "Hey, das ist einfach, komm und wir werden es zeigen" - das ist eine Sache. Meiner Meinung nach ist es besser, wenn Sie sagen: "Wenn Sie nicht zur Meisterklasse kommen, wird Ihr Netzwerk nicht effektiv genug funktionieren."

    Alexander Azimov : Im Allgemeinen ist es immer gut, wenn wir motiviert sind. Ich fürchte, Martin wird diesen Witz nicht verstehen, aber wenn wir vorne und hinten eine Karotte haben. In unserer Region funktioniert es besonders gut.

    Alexey Uchakin : Nun, dann diese Frage: Ich verstehe richtig, dass im Grunde dieselbe RPKI- und ROA-Bestätigung und alles andere gilt - ist das so eine unvermeidliche Sache? Das BGP-Protokoll, das zunächst vertrauensbasiert ist und anfangs so schnell gewachsen ist, ist tatsächlich auch deshalb so groß, weil das Protokoll auf gegenseitigem Vertrauen basiert, da sich die Mitglieder der Gemeinschaft gegenseitig vertrauen. Und jetzt reden wir über Dinge, die im Allgemeinen die Freiheit einschränken, sozusagen. Wird dies die Entwicklung des Internets im Allgemeinen nicht bremsen oder ist es eine direkte Notwendigkeit, die schon lange vorbei ist

    Alexey Semenyaka: Nun, sagen Sie mir, schränken die Türschlösser die Besucher stark ein?

    Alexey Uchakin : Nein, ich verstehe.

    Alexey Semenyaka: Nun, genau darüber reden wir. Über die Mechanismen, die sich nicht auf Personen auswirken, die eine normale Aktivität ausüben, bauen Sie Netzwerke auf. Was wir besprechen, ist eine ziemlich billige Technologie. BGPSec und was Ignas gesagt hat - in der Zukunft und für die Gegenwart ist es zu schwere Technologie. Was wir jetzt besprechen, ist billige Technologie, die einem Türschloss ähnelt. Ja, um einen Besuch zu machen, müssen wir zuerst hier rausgehen, das heißt, das Schloss öffnen, das Schloss schließen, kommen, das Schloss rufen - dort werden sie es für uns öffnen, dann werden sie uns schließen. Es ist billig im Vergleich zur gesamten Trekkinggeschichte, oder? Über Unvermeidlichkeit - ich würde gerne glauben. Verzeihung, Arnaud Sniper, ist er jetzt im Publikum oder fehlt er? Er möchte wie ein Vertreter von DE-CIX wissen, ob es Pläne gibt? Nein? Nun, MSK-IX, sie sind definitiv hier. MSK-IX sag es mir



    Alexander Ilyin , Technischer Direktor von MSK-IX: Wir führen diese Experimente seit letztem Jahr durch, wir haben einfach die Aufgabe, es richtig zu definieren, nicht nur unter dem Gesichtspunkt der Validierung, sondern auch, was mit denen zu tun ist, die entweder falsch unterschrieben oder überhaupt nicht unterschrieben haben. Wir möchten ein Toolkit erstellen, das sofort erklärende Arbeiten ausführt, wie wir es jetzt für alle Fehler tun, die in Routenobjekten auftreten. Wenn es jetzt Unstimmigkeiten gibt, wird sofort automatisch ein Brief mit der Aufforderung zur Korrektur dieser Angelegenheit gesendet. Neulich fanden wir sogar eine Schleife in der Beschreibung von AS-SET unter den Teilnehmern, das heißt, solche Dinge sind sehr wichtig. Dies ist meiner Meinung nach nicht weniger wichtig als die Validierung - und führt auch erklärende Arbeiten mit denen durch, die das nicht tun oder falsch machen.

    Alexey Semenyaka: Nur eine Frage zur Genauigkeit der Informationen in RIPE DB. Vielen Dank. Hier erleben wir Geschichte, wenn es jemanden gibt, der kontrolliert werden kann, wo er kontrolliert wird - die Genauigkeit ist irgendwie gewährleistet. Insbesondere aufgrund dieser lokalen Mechanismen tragen sie wesentlich zur Genauigkeit der Routing-Teile der RIR-Datenbanken bei. Ja, der Ansatz hier sollte meiner Meinung nach natürlich systematischer sein. Meiner Meinung nach "soweit es unvermeidlich ist" - ich denke, dass die Penetration zunehmen wird, aber zu erwarten, dass diese Technologie in den nächsten 1-3 Jahren eine Penetration von nahezu 100% erreichen wird, ist dies sehr naiv.

    Martin AbgabeA: Ja, fast 100% sind unwahrscheinlich, Sie müssen nicht einmal zielen. Ich kann nur Gutes über MSK-IX sagen. Dies ist eine schwierige Reise - Sie wissen, und ich weiß, aber wenn Sie nicht anfangen, werden Sie nie sehen, wie dieser Pfad endet und wohin er führt. In der Realität, zurückgehend zu den sehr frühen Teilen des Gesprächs, war das Netzwerk, nachdem es sehr leicht war, der Weltgemeinschaft beizutreten, nun viel schwieriger geworden. In den späten 1990ern. Als Sie BGP zum ersten Mal einrichteten, war es so einfach und in den meisten Fällen nur angekündigt und funktionierend. Jetzt sind wir gewachsen und dieses „naive Kind“ sollte wachsen und viel komplexere Systeme bauen. Verkehrsvermittlungen, große Teile davon, sind wichtige Portale zum Netzwerk und werden gleichzeitig getestet. Wenn Sie zum Beispiel Mitglied von IX'a sind, erhalten Sie einen Brief, in dem Sie sagen: "Ihr Routing hier ist nicht sehr korrekt, die Basis der Pfade oder die RPKI-Einstellungen." Das ist heute sehr einfach. Sie sehen Fehler oder Sie sehen Erfolg. In diesem Fall haben Sie im Allgemeinen gute Chancen für eine effektive Kommunikation mit dem Publikum. Bei großen Verkehrsvermittlungsstellen ist dies ebenso wichtig wie bei kleinen - manchmal kleinen - einfach aufgrund der Skalierung, bei der es einfacher ist, alle Börsenteilnehmer zu kontaktieren. Aber lassen Sie uns ein bisschen zurückrollen und über Technologie sprechen. Ich hatte noch keine Gelegenheit zu sagen, was ich über BGPSec denke, aber Ignas drückte sich ganz aus. Dies ist ein hervorragendes akademisches Protokoll, aber als Netzwerkbetreiber werde ich es niemals verwenden - es ist zu komplex und nicht für echte Betreiber gedacht, sondern als akademische Übung. Nun müssen wir als Gemeinschaft verstehen, was als nächstes passieren wird was wir auf der IETF tun werden. Wir haben nur ein Problem - Zeitmangel. RPKI ist bereits zehn Jahre alt, wenn wir von den ersten Entwürfen ausgehen - Ende dieses Jahres werden es zehn sein. Jetzt haben wir keine zehn Jahre, um Verbesserungen vorzunehmen - wir müssen uns irgendwie mit den Problemen beschäftigen, die wir haben. Ich habe es etwas früher gesagt, vielleicht in einem ironischen Ton, jetzt werde ich es ernsthaft wiederholen: "Es kostet uns alle etwas", so ein Ansatz. Es gibt Standardzählmethoden für den E-Commerce. Nehmen wir an, Sie sind eine Art Bank- oder Zahlungsbetreiber. Sie gehen online und sind für 5 Minuten nicht erreichbar. Das sind absolut reale Verluste, in jeder Währung und an jedem Ort der Welt - das ist Geld. Daher ist es unser Bedürfnis, als Gemeinschaft von Netzwerktechnikern zu der Erkenntnis zu wachsen, dass das Internet heute nicht mehr der unschuldige Spielplatz ist. was sie vor 30 Jahren war Jetzt gibt es fast alle Menschen auf der ganzen Welt, fast alle Unternehmen der Welt. Wir können uns darin nicht mehr spielerisch verhalten - wir müssen ernsthafter werden und den Verbrauchern erklären, warum sich etwas für 5 Minuten ausgeschaltet hat. Und wir wollen das nicht.

    Ignas Bagdonas: Ungefähr 100% und Streben nach 100%. Ist das notwendig und nicht böse? Angenommen, wir versuchen, ein Problem mit BGPSec zu lösen oder einen neuen BGPSec zu erstellen, der 100% der Probleme löst, die ihm auferlegt werden. Und wenn wir nicht dasselbe bekommen, was wir bereits haben, funktioniert es auch ähnlich? Ganz offensichtlich nicht. Wenn es einen Mechanismus gab, der die meisten, gut 80% der grundlegenden Probleme löst, aber das, was bleibt, wird irgendwie gelöst. Wenn dies jedoch im gesamten globalen Netzwerk so ist, nennen wir es die "kritische Masse", die die meisten Netzwerkbetreiber validieren, filtern - im Allgemeinen tun sie die Betriebshygiene, die befolgt werden muss - es würde die Wahrscheinlichkeit von Problemen erheblich reduzieren und die, die das nicht tun. Und die Angriffe, sie wären potenziell mit weniger Bedrohung lokalisiert, mit weniger Schaden und anderen Dingen. Ein weiterer Kommentar zu den Änderungen in den BGP-Protokollen, Architekturen und anderen Dingen: Das aktuelle Internet ist zu groß, um irgendetwas zu ändern, ohne alles andere zu beschädigen. Ja, vor 30 Jahren wäre es möglich, BGP durch etwas anderes zu ersetzen, das alle Probleme löst. Erstens, damals wussten wir nicht, haben nicht einmal all diese Probleme vorausgesehen. Zweitens, jetzt, um BGP durch etwas anderes zu ersetzen, fühle ich mich persönlich nicht machbar, da wir uns zu sehr auf BGP verlassen. zu dieser zeit wussten wir nicht alle diese probleme. Zweitens, jetzt, um BGP durch etwas anderes zu ersetzen, fühle ich mich persönlich nicht machbar, da wir uns zu sehr auf BGP verlassen. zu dieser zeit wussten wir nicht alle diese probleme. Zweitens, jetzt, um BGP durch etwas anderes zu ersetzen, fühle ich mich persönlich nicht machbar, da wir uns zu sehr auf BGP verlassen.



    Alexey Uchakin : Was tun mit denen, die keine Einrichtungen in RIPE haben? Mein Uplink funktioniert in Europa, hat aber keine Objekte in der RIPE-Datenbank - er verwendet sie nicht als alternative Datenbank. Was tun mit denen, die RIPE DB aus verschiedenen Gründen nicht verwenden?

    Martin Levy : Wie heißt auf Russisch "Name und Schande"? "Name und Schande". Weil es die einfachste Antwort darauf ist. Wir müssen die Community nutzen, um die Community von der Notwendigkeit einer Verbesserung zu überzeugen. Dies ist ein kollektives Internet - stecken Sie einen Finger, damit sich jemand schämen kann. Vielleicht ist dies der einzig richtige Weg, um voranzukommen - zu sagen, wer schlecht ist und wer gut ist und wie man sich daran hält.

    Alexander Azimov : Eine Gegenfrage: Ist Ihr Vorgesetzter aus dem europäischen Raum?

    Alexey UchakinJa, formell ja, aber es funktioniert in Europa und in Amerika.

    Alexander Azimov : Nein, er hat überhaupt keine Gegenstände? Oder hat es keine Objekte in der RIPE-DB?

    Alexey Uchakin : Er hat ein Objekt in AS, aber keine Routenobjekte in RIPE DB.

    Alexander Azimov : Hat er Objekte in anderen Basen?

    Alexey Uchakin : In RADB.

    Alexander Azimov : Nun, dann ist es tatsächlich keine so dramatische Situation, wie es auf den ersten Blick schien.

    Alexey Uchakin : Nein, er verwendet RIPE DB einfach nicht.

    Alexander Azimov: RIPE DB ist bemerkenswert für seine Autorisierung. Es hat nur eine Berechtigung für Mitglieder. Es gibt keine Berechtigung für externe Netzwerke. Tatsächlich stellt sich heraus, dass auf dem Zaun dieselbe Inschrift steht - Objekte jeglicher Art, jedermann usw. erstellen. Und diese Diskussion findet bei RIPE-Meetings innerhalb der Datenbankgruppen statt: "Was machen wir mit Fremdobjekten?", Fährt jetzt fort. Wir haben uns darauf geeinigt, sie zumindest separat zu kennzeichnen, so dass sofort klar war, dass diesen Objekten nicht so viel vertraut werden sollte wie den übrigen. Und RADB ... in einer Situation, in der verschiedene Registrare in verschiedenen Regionen unterschiedliche Regeln für was und nicht haben, und es eine so große und schnell wachsende Region wie LACNIC gibt, in der überhaupt keine Routenobjekte vorhanden sind, ist RADB gut. Und die Anwesenheit von Gegenständen dort - na gut, lassen Sie Gegenstände sein. Sicher besser als nichts.

    Alexey Semenyaka : Die Frage war zuerst an mich, es ist sehr angenehm für mich, genau zu sehen, was das perfekte Beispiel für die Interaktion zwischen der Community und dem RIR ist. Zuerst erbrach die Community ein Mikrofon und sagte: "Was meinst du damit, sie haben sich überhaupt überlistet?" Und dann kann ich wie das RIR das Mikrofon nehmen und sagen: "Ja, ich stimme völlig zu." Im Allgemeinen wäre es schön, die Frage zu stellen, warum die Objekte, die zur RIPE-Region gehören, warum sie nicht in der RIPE-DB enthalten sind. Ist das ein religiöser Grund oder warum?

    Alexey Uchakin : Nur aus ihrer Erfahrung wird viel Müll in die RIPE- Datenbank geschrieben, und sie trauen dem einfach nicht zu.

    Alexey Semenyaka : Warten Sie, d.h. Vertrauen sie sich?

    Alexey Uchakin : Nein, sie vertrauen RIPE DB nicht.

    Alexey Semenyaka: Schau mal, die Position "Ich schreibe nichts zu meinem Objekt, weil ich RIPE DB nicht vertraue" - das klingt ehrlich gesagt schizophren.

    Alexey Uchakin : Ich möchte jetzt nicht für einen anderen sprechen, aber so wie es ist.

    Alexey Semenyaka : Lassen Sie uns diese Diskussion jetzt aufschieben , aber im Allgemeinen wäre es schön, sich hinzusetzen , vielleicht uns anzurufen und alles miteinander zu besprechen, wie es sich herausstellt. Dies ist ein Diskussionspunkt, aber nicht für die gesamte Halle.

    Alexey Uchakin : Noch ein zweiter Punkt: Sollte das RIR Interceptions und die korrekte Verwendung von Objekten in seiner Region überwachen, oder sollte es für jemand anderen eine Notiz für BGPMon, Qrator.Radar setzen?

    Alexey Semenyaka: Nun sieh mal. Genau das, was ich gesagt habe, müssen wir tun, was uns tatsächlich von unseren Mitgliedern anvertraut wurde. Grob gesagt, was wir machen, kostet etwas Geld, dieses Geld wird irgendwie von der Mitgliedschaft berücksichtigt - wir tragen etwas Verantwortung. Als RIR sehen wir, dass dieses Problem heiß ist, und wir sind bereit, unsere Aktivitäten in diese Richtung auszuweiten. Wir brauchen zum Beispiel die Gemeinschaft aufzuwärmen und einige Reaktionen unserer Arbeitsgruppen, unserer Mitglieder, die sagen: „Ja, Jungs, das ist eine wichtige Frage - lasst uns hier mehr arbeiten. Wir - Ihre Mitglieder - stimmen zu, dass Sie dafür Geld ausgeben werden. Wir, die Arbeitsgruppe, sind bereit, entsprechende Richtlinien dafür zu erstellen. “ Und wir sind bereit. Aber hier kann es keine Stimme sein, die in der Wildnis weint, es kann keine RIR-Organisation geben, keine Organisation von 150 Menschen, das RIPE NCC. das ist im niederländischen Recht eingetragen, das plötzlich alles zu tun beginnt und sich herausstellt. Es wird nicht funktionieren.

    Alexey Uchakin : Okay, dann sind meine Themen im Allgemeinen vorbei, vielleicht hat jemand aus dem Publikum Fragen?


    Russisch


    Englische Sprache

    Jetzt auch beliebt: