09.07.2024 | DNS не отвечает: одна ошибка BGP повлияла на весь интернет |
На прошлой неделе Cloudflare сообщила о проблемах с доступностью своего сервиса DNS -резолвера 1.1.1.1 . Сбой был вызван комбинацией перехвата протокола BGP и утечкой маршрута, что привело к ухудшению или полному отключению сервиса для некоторых пользователей. Инцидент произошел 27 июня, когда компания Eletronet S.A. (AS267613) начала неправильно объявлять IP-адрес 1.1.1.1/32 своим партнерам и провайдерам. Ошибочная информация была принята несколькими сетями, включая одного из крупнейших провайдеров первого уровня (Tier-1-оператор), который рассматривал маршрут как Remote Triggered Blackhole (RTBH). В результате трафик, предназначенный для DNS-резолвера Cloudflare 1.1.1.1, был перенаправлен и отклонен, что сделало сервис недоступным для некоторых пользователей. Перехват произошел из-за того, что маршрутизация BGP отдает предпочтение наиболее специфичному маршруту. Объявление Eletronet о 1.1.1.1/32 было более специфичным, чем объявление Cloudflare о 1.1.1.0/24. Это привело к тому, что сети неправильно направляли трафик на Eletronet. Ситуация усложнилась через минуту, когда Nova Rede de Telecomunicações Ltda (AS262504) ошибочно передала маршрут 1.1.1.0/24 своему провайдеру AS1031, который затем распространил его дальше, повлияв на глобальную маршрутизацию. Такое изменение маршрутов BGP вызвало дополнительные проблемы с доступностью и задержкой трафика. На данный момент захват маршрутов устранен. Cloudflare быстро отреагировала на инцидент, связываясь с вовлеченными сетями и отключая сеансы пиринга с проблемными сетями, чтобы уменьшить воздействие и предотвратить дальнейшее распространение неверных маршрутов. Cloudflare также отметила, что внутренние маршруты сети не пострадали благодаря использованию инфраструктуры публичных ключей ресурсов (Resource Public Key Infrastructure, RPKI ), что автоматически привело к отклонению неверных маршрутов. В своём отчете о происшествии Cloudflare предложила несколько долгосрочных решений для предотвращения подобных инцидентов в будущем:
Cloudflare подчеркивает важность применения указанных мер для обеспечения безопасности и стабильности сети, призывая других участников рынка следовать установленным нормам и рекомендациям. DNS-резолвер (рекурсивный DNS-сервер) является неотъемлемой частью интернета, обеспечивающей связь между удобным для чтения человеком адресом и фактическим расположением в интернете (IP-адресом). Когда пользователь заходит на сайт, предположим, на securitylab.ru, DNS ищет IP-адрес этого доменного имени (осуществляет резолвинг) и загружает сайт.
В чем отличия? Адреса 1.1.1.1/32 и 1.1.1.0/24 отличаются своей спецификой и размером охватываемого диапазона IP-адресов. 1.1.1.1/32
1.1.1.0/24
Разница в маршрутизации
|
Проверить безопасность сайта