Jedno błędne ogłoszenie BGP może skierować ruch przez zupełnie niewłaściwą sieć
BGP opiera się na tym, że autonomiczne systemy ogłaszają sobie osiągalność prefiksów IP. Gdy sieć przypadkowo rozpropaguje trasę poza jej zamierzony zakres, powstaje route leak. RFC 7908 opisuje takie wycieki jako systemową podatność routingu i podaje historyczne incydenty obejmujące dziesiątki lub setki tysięcy prefiksów. Skutkiem może być skierowanie ruchu niezamierzoną drogą, przeciążenie pośredniej sieci, utrata łączności albo możliwość obserwacji ruchu. Globalny problem może więc zacząć się od lokalnego błędu polityki routingu.
Internet wierzy ogłoszeniom o osiągalności
Sieć nie wysyła do sąsiada mapy wszystkich swoich kabli. W BGP ogłasza raczej: „te prefiksy są osiągalne przeze mnie” wraz z atrybutami trasy. Sąsiednie systemy podejmują własne decyzje, a następnie mogą przekazać informacje dalej. Dzięki temu routing skaluje się globalnie, ale oznacza to też, że źle przygotowane ogłoszenie może rozprzestrzenić się poza pierwotny obszar.
Route leak często nie jest atakiem
RFC 7908 definiuje route leak jako propagację ogłoszenia poza jego zamierzony zakres i podkreśla, że wiele takich zdarzeń jest przypadkowych. Powodem może być błąd filtrowania, eksport trasy do niewłaściwego sąsiada albo naruszenie polityki wynikającej z relacji biznesowych między sieciami. Pakiety mogą wtedy nadal docierać do prawdziwego celu, lecz przechodzić przez sieć, która nigdy nie miała przenosić takiego wolumenu.
Dlaczego bardziej szczegółowa trasa jest groźna
Forwarding IP zwykle preferuje najbardziej szczegółowy pasujący prefiks. Jeśli ktoś ogłosi bardziej szczegółową trasę do fragmentu przestrzeni adresowej, może ona zostać wybrana nawet wtedy, gdy istnieje prawidłowe, szersze ogłoszenie. RFC 7908 opisuje przypadki wycieków wewnętrznych, w których chwilowo przekierowywano ruch wskutek pojawienia się bardziej szczegółowych prefiksów.
Skala może rosnąć automatycznie
Najciekawsze jest to, że sieć powodująca problem nie musi kontaktować się z każdym operatorem osobno. Jej sąsiad przyjmuje ogłoszenie, następnie może je rozgłosić swoim sąsiadom, a oni kolejnym. Każdy wykonuje zwykły proces BGP. Właśnie dlatego błąd w jednej konfiguracji może przestać być lokalny, jeśli filtry i polityki innych sieci go nie zatrzymają.
Bezpieczeństwo routingu to filtracja i weryfikacja
RFC 7454 opisuje praktyki operacyjne ograniczające przypadkowe i celowe zakłócenia BGP. Obejmują one filtrowanie prefiksów i tras oraz kontrolę tego, co wolno przyjmować i ogłaszać. Współczesny Internet rozwija też mechanizmy kryptograficznej walidacji pochodzenia tras, ale nawet one nie rozwiązują automatycznie każdego rodzaju wycieku polityki. Bezpieczeństwo międzydomenowe jest więc zarówno problemem protokołu, jak i codziennej dyscypliny operatorów.
Pakiety robią dokładnie to, co mówi routing
Dla użytkownika awaria może wyglądać tajemniczo: adres domeny się zgadza, serwer istnieje, lokalne Wi‑Fi działa, a mimo to usługa znika albo opóźnienia nagle rosną. Powód może leżeć daleko poza obiema końcówkami — w informacji routingu przekazanej między autonomicznymi systemami. To dobry przykład, że Internet zależy nie tylko od fizycznych kabli, ale również od poprawności rozproszonej warstwy informacji o tym, dokąd te kable prowadzą.
Dlaczego filtr po drugiej stronie ma znaczenie dla twojego błędu
Rozproszony charakter BGP sprawia, że bezpieczeństwo nie kończy się na poprawnej konfiguracji jednego operatora. Jeśli sieć omyłkowo ogłosi trasę, sąsiedzi mogą ograniczyć skutki przez filtry określające, jakie prefiksy i ścieżki wolno zaakceptować. Jeśli tego nie zrobią, informacja może przejść dalej. RFC 7454 traktuje filtrowanie importu i eksportu jako podstawową praktykę operacyjną. Współczesne mechanizmy takie jak RPKI mogą pomagać sprawdzać, czy dany system autonomiczny jest uprawniony do ogłaszania prefiksu, ale nie każda pomyłka jest prostym przypadkiem fałszywego originu. Route leak może wykorzystywać prawdziwe prefiksy i prawdziwe AS-y, tylko propagowane wbrew zamierzonej polityce. Dlatego ochrona routingu jest kombinacją kryptograficznej walidacji, filtrów i poprawnych relacji między operatorami.