Cloudflares mit OTC versehene BGP-Probes entlarvten zwei Tier-1-Netze, die den Leak-Schutz entfernten

Route Leaks lenken den Datenverkehr auf ungewollte Pfade und haben große Teile des Internets offline gebracht, doch ihre Verhinderung erforderte bislang handgeschriebene, fehleranfällige Routing-Richtlinien. RFC 9234 verlagert diese Absicht in BGP: Eine Role-Fähigkeit lässt Nachbarn ihre Beziehung zueinander vereinbaren, und das Attribut Only to Customer (OTC) kennzeichnet eine Route, die sich nur abwärts verbreiten darf, sodass ein konformer Router einen Leak ohne Betreiberrichtlinie zurückweist.

Die Messung der Verbreitung von RFC 9234 ist schwierig, weil OTC entweder vom Sender beim Egress oder vom Empfänger beim Ingress gesetzt werden kann; ein öffentlicher Pfad verrät daher nicht, wer es gesetzt hat. Die Zählung unterschiedlicher OTC-Werte in RouteViews und RIPE RIS ergab 361 Kandidaten, doch Füllwerte blähen diese Zahl auf; der Abgleich von OTC mit dem ersten AS des Pfads ließ neun übrig, und Heuristiken erhöhten die Schätzung auf 36. Cloudflares eigenes Netz beseitigt die Unklarheit: Mit Tausenden direkten Peers prüfte es BMP-Feeds auf Routen, deren OTC mit der ASN des Peers übereinstimmte, und fand in drei Monaten 67 ASes, die das Attribut setzten.

Um die Entferner zu finden, kündigte Cloudflare ein IPv4- und ein IPv6-Präfix mit auf die eigene ASN gesetztem OTC von allen Peering-Standorten an und zog sie dann zurück, um Path Hunting auszulösen. Jeder Pfad, der bei Cloudflares ASN ohne OTC endete, war vom vorangehenden AS entfernt worden, identifiziert durch die Auswertung von UPDATEs aus öffentlichen Collectors und den eigenen Routern. Der erste Durchlauf fand sechs Entferner, darunter zwei Tier-1-Netze, GTT (AS3257) und Arelion (AS1299); eine Iteration mit einer Trusted-Set-Methode fand neun weitere. Die beiden Tier-1-Netze erschienen in 96,6 % der IPv4- und 92,9 % der IPv6-Pfade ohne OTC; insgesamt verloren 33,1 % der IPv4- und 17 % der IPv6-Pfade das OTC.

Das Entfernen ist bedeutsam, weil OTC ein optionales transitives Attribut ist: Selbst Router ohne RFC-9234-Unterstützung müssen es weitergeben, und seine Entfernung deaktiviert die Leak-Prävention für konforme ASes mehrere Hops entfernt. GTT und Arelion erklärten Cloudflare, sie hätten das Attribut als defensive Praxis nach früheren BGP-Fehlerbehandlungsvorfällen entfernt, darunter ein Fall, in dem fehlerhaftes OTC Sitzungen zurücksetzte. Cloudflare teilte die Ergebnisse beiden mit: Arelion führte kurz darauf Konfigurationen ein, die OTC erhalten, was in öffentlichen Daten überprüfbar ist, während GTTs Konfiguration es weiterhin entfernt.

Mit OTC versehene Testpräfixe ankündigen; beobachten, wer sie entfernt

Tausende direkte Peers verschaffen Cloudflare einen Beobachtungspunkt, an dem OTC einem einzigen AS zugeordnet werden kann, wodurch die Ingress/Egress-Mehrdeutigkeit beseitigt wird, die öffentliche RIB-Dumps verfälscht.

Das Ankündigen von Testpräfixen mit auf Cloudflares eigene ASN gesetztem OTC und deren anschließender Rückzug erzeugte einen Strom von Pfaden, bei denen ein fehlendes OTC auf dem letzten Hop nur bedeuten konnte, dass der genannte Nachbar es entfernt hatte.

Die Auswertung von UPDATE-Nachrichten statt RIB-Snapshots erfasste sowohl die Ankündigungs- als auch die Rückzugsphase und brachte weit mehr Routen für den Zuordnungsalgorithmus ans Licht.

Da OTC optional transitiv ist, brachen einige wenige entfernende Tier-1-Netze stillschweigend die Leak-Prävention für konforme ASes hinter ihnen, was die Kontaktaufnahme mit den beiden Netzen lohnenswert machte.

Die Vorlage von Belegen gegenüber jedem Netz verwandelte Messung in Veränderung: Arelion begann innerhalb von Tagen nach dem Gespräch, OTC zu erhalten.

Wenn öffentliche Daten nicht erkennen lassen, wer ein Protokoll befolgt, senden Sie Ihr eigenes Testsignal von vielen Beobachtungspunkten aus und beobachten Sie, wer es verwirft: Direkte Beobachtung verwandelt Mehrdeutigkeit in Namen und Namen in Korrekturen.

Arelion begann kurz nachdem Cloudflare die Ergebnisse geteilt hatte, das OTC-Attribut zu erhalten, und die Änderung ist in öffentlichen Collector-Daten über Monocle-Abfragen zum Testpräfix von Cloudflare überprüfbar. GTTs Konfiguration entfernt OTC weiterhin, was laut Cloudflare die RFC-9234-Route-Leak-Prävention über AS3257 behindern wird, bis das Netz das Attribut erhält oder BGP Roles konfiguriert. Cloudflare hat begonnen, Role-Konfigurationen schrittweise auf seinen eigenen Routern auszurollen, und plant, die Verbreitungsdaten im Routing-Bereich von Cloudflare Radar zu veröffentlichen.