ロシアのトラフィックをルーティングする中国のエラー

昨年9月、ロシアで3番目に大きい携帯電話事業者VimpelcomとChina Telecom は 、国際および長距離通信ネットワークの直接接続と相互接続の確立に関する契約に署名し 、この契約額は220万ドルでした。 ロシア側のこの取引の目的は、極東を達成することでした。



過去1年間、中国の電気通信事業者はイヴァン・スサニンを演じようと何度か試みました。 これについては、DynResearch社のブログでDoug Madoryが詳しく説明しています。



普通の人々の言語から専門家の言語に翻訳されたこの取引は、両社がBGPプロトコルを使用した動的ルーティングに関する情報を共有することに合意したと結論付けました。 また、このような状況で頻繁に発生するため、一方の当事者は他のプロバイダーからルーティングデータを発行できます。これにより、通信回線が2番目の会社のトラフィックの邪魔になります。 具体的には、これら2つの企業では、過去1年間でこれが12回以上発生しています。 この現象は発生しますが、BGPの文献にはあまり説明されていません。



一般に、ピアリングBGPは、大規模ネットワークプロバイダーの世界では頻繁に発生するものであり、このアクションにはいくつかの意味があります。 具体的には、この場合、いずれかの当事者による支払いなしに、トラフィックが自由に交換されるようなルーティングと理解されます。 トランジットプロバイダーがなければ、これらのピアツーピアスキームのサービスにお金を費やしても、多くを節約できます。



いずれにせよ、ピアリング契約の下でプロバイダーの1つが他のプロバイダーから受信したルーティング情報は、通常、このオペレーターのネットワーク内に残ります。 以下の例では、プロバイダーAは、そのクライアントのデータをプロバイダーBにルーティングすることに関する情報を送信します。その結果、プロバイダーBのクライアントからのトラフィックは、プロバイダーAのクライアントへのピアツーピア接続を通過します。これは正常な動作です。











いくつかの異なる方法で問題が発生する可能性があります。 プロバイダーBは、以下に示すように、プロバイダーAからルートを取得して他のプロバイダーに送信できます。 したがって、プロバイダーBは、プロバイダーA宛ての外部トラフィックのパスに自身を配置します。











プロバイダーBがプロバイダーAに接続されているプロバイダーから受信したルートを提供する場合、後者のトラフィックはプロバイダーBを経由しないはずですが、プロバイダーBを介してこれらのルートを経由します。











他の大規模で有名なインシデントとは異なり、上記の状況は頻繁に発生する可能性があり、その出現はそのような注意の急増を引き起こしません。 応答は増大し、パケットルートは変化しています。これは、ネットワークが完全に欠如していることよりも気づきにくいため、これらの問題は長い間解決されない可能性があります。 いずれにせよ、トラフィックは本来の場所に行きません。これは、ネットワークのパフォーマンスと情報セキュリティに悪影響を及ぼします。



そのため、過去1年間、China Telecomからの誤ったルーティング情報がVimpelComのネットワークに何度か入りました。 これは、たとえば、今年8月5日にChina Telecom（AS4134）がVimpelComにほぼすべてのBGPテーブル（326,622エントリ）を簡単に提供したときに起こり、ロシアのプロバイダーのユーザーの応答が急激に増加しました。 それでも-ロシアから中国への旅行でのみ、約120ミリ秒が必要です。 ロシア内でのルーティングも、China Telecomネットワークを介して行われました。











tracerouteの結果は次のようになりました。情報はバージニア州（米国）で始まった後、NTTネットワーク経由でカリフォルニアに送信され、China Telecomによって送信されました。 そこから彼女は上海、そしてフランクフルト、そしてロシア、そしてオムスクに行きました。







この状況の異常をより明確に説明するために、ドイツへのVimpelComトレースルートを見てみましょう。 トラフィックはVimpelComネットワークからフランクフルトに送られ、その後、中国電信ネットワークに入り、上海に送られてから、Chello BroadbandがロサンゼルスのChina Telecomとピアリング契約を結びます。 その後、Chello Broadbandは彼をニューヨークに連れて行き、そこから再びフランクフルトに、そしてドイツにだけ連れて行きます。 0.5秒間、トラフィックは少なくとも1回世界中を回ります。







通常はモスクワに向かうロシア国内の交通でさえ、中国電信機器を通過しました。 次の例では、モスクワからのトラフィックはフランクフルトに向けられ、その後同じ場所でChina Telecomによって処理され、その後Megafonネットワークに戻ります。 上海を経由しないでいただきありがとうございます。 （ヨーロッパの地図上のこの特定の状況の図は、katの前に示されています。）







もちろん、インターネット組織のネットワークレベルを計画するとき、彼らはそのセキュリティについてほとんど考えず、これらのピアツーピアリークはほとんど回避できません。 しかし、これはパフォーマンスの問題につながるだけでなく、セキュリティを非常に心配させます。



数週間前にロシア政府がロシアのインターネットセグメントのセキュリティをより強力に制御したいという願望について公式に知られるようになったことを思い出すと、これは少しおかしいです。 ネットワークのセグメントのセキュリティを構成しているのは特定の問題に対処することは本当に不可能ですか？