AS203, принадлежащий к тому, что ранее называлось «Level3», приобретенным «CenturyLink» в 2016 году, а затем переименованным в «Lumen» в 2020 году, часто появляется в отчетах об инцидентах команды Qrator.Radar. Мы не должны никого винить, но такое возникновение инцидентов маршрутизации для отдельной организации вызывает беспокойство — мы надеемся, что эта статья поможет вам понять, как даже небольшое событие может иметь огромное влияние при соблюдении определенных предварительных условий.
21 октября 2020 года примерно в 14:11 по всемирному координированному времени AS203 начал анонсировать 158 префиксов, которые почти сразу же создали более 1100 конфликтов для более чем 1000 объявленных префиксов. Этот инцидент, который еще не прекратился, пока мы пишем этот конкретный отчет, затронул 31 интернет-провайдера в 19 странах, включая таких игроков, как AS9198 — KAZTELECOM-AS, AS35415 — WEBZILLA, AS7979 — SERVERS-COM и многие другие.
Вот график путей для одного из префиксов, которые были взломаны Webzilla:
Почему анонс такого умеренного набора префиксов привел к значительной аномалии, которая, по нашим оценкам, стоила законным владельцам потери значительной части их доступности — от 30% до 100% в зависимости от удаленности от магистрали Интернета?
Проще говоря — потому что «Люмен» — провайдер уровня 1. Объявления из такой автономной системы с обширным охватом на всех континентах легко побеждают в испытании пути BGP над исходными объявлениями. Что в дальнейшем позволяет им распространяться на другие автономные системы, достигая глобального покрытия. Объявления AS203 достигают мира в два прыжка, что имеет решающее значение для распространения префиксов.
Взгляните на следующую картину, которая прекрасно иллюстрирует, что даже меньшее или равное количество конкретных префиксов успешно распространяется по Интернету, захватывая трафик своих первоначальных владельцев в случае, если взлом происходит с Уровня-1:
Можно сказать, что в среднем этот инцидент унес 50% обычного трафика из легитимных автономных систем. Мы могли только предполагать, что причина воздействия этого инцидента заключается в том, что только 10% недействительных префиксов ROA сопровождали это событие.
«С большой силой приходит большая ответственность» — верна фраза, известная как принцип Питера Паркера. Когда вы являетесь крупным и заметным игроком на рынке интернет-провайдеров, даже незначительное действие может привести к катастрофическим последствиям для тех, кто у вас под ногами.
