Патчкорд

Ещё раз подробно про BGP роли и как всё это настраивать на Cisco IOS XR.

Немного про Modbus и как выглядят его дампы в TCP исполнении.

Добрый вечер 👋 🚨 Как многие знают, 18 августа из-за отключения электричества на M9 перестала работать часть оборудования. Инцидент привел к проблемам с доступностью сетей некоторых AS. 🛠 Мы решили посмотреть на аварию через BGP-данные и оценить ее реальный масштаб. При помощи кластерного анализа выделили и отфильтровали инциденты, происходящие в то же время, но никак не относящихся к M9. 🤓 После фильтрации получили следующие данные: - с инцидентом удалось связать изменения видимости 2,546 префиксов принадлежащих 467 AS. - при этом для 165 AS были затронуты более 90% анонсируемых ими префиксов. 👀 В статье разбираем более подробно, насколько значима роль M9 и что авария 18 августа позволяет сказать об этом в цифрах.

Всё же на BGPlay более зловеще выглядит, чем просто графики, даже с одним префиксом 84.42.108.0/24.

Параметры TCP соединения с tcp4.ispfocus.net.br - размеры окошек, MSS, ECN, поддерживаемые технологии. На пинги лучше не смотреть, если вы не в западном полушарии.

История про дела минувших дней, которая напоминает нам про то что сети бывают очень разные и остаются разными до сих пор, просто некоторые из них на виду, а другие нет.

Программирование - это база, точнее инструмент. Есть задача, есть инструмент, берём инструмент и решаем задачу. IDE уже значительно упрощает процесс, до уровня - подставил, подсказал, вот тут можно вот так, не надо помнить константы и названия функций стандартной библиотеки. LLM - не надо помнить алгоритмы, паттерны, фишечки, уловки, на которых, собственно, и держится разработка и которые тягаются из проекта в проект. В статье, если подходит буквально, правится несколько строчек и по большей части заменой одних констант на другие, что в целом похоже на правку конфигурации. Суть конечно не в этом, суть в том чтобы взять и сделать, не обращая внимания, что это ПРОГРАММА - это всего лишь программа, её можно и нужно менять, если она не работает как надо, всё дело в понимании процессов, а не то в каком виде они описаны: в коде, конфигурации, спецификации или чём либо ещё. Да, скорее всего, не получится сделать так как у программиста, который делает это каждый день десять лет подряд, но задачу-то вы решите, разве не это главное? После переезда host-correct.ru я перевёз то что ещё оставалось на старом VPS - почту, и решил прикрутить отчёты DMARC. В OpenDMARC есть Perl скрипт opendmarc-reports который это умеет, но в нём используется MySQL, с которым мне совершенно не хотелось возиться, поэтому было принято решение переделать на SQLite. С Perl мне тоже совершенно не хотелось возиться, поэтому первый попавшийся репозиторий с Go версией opendmarc-reports был пущен в оборот. И для этого перехода мне хватило просто использование IDE даже без LLM. Поиск, замена, поиск, замена. Да, хорошая начальная абстракция играет роль, но, по большому счёту, единственная алгоритмическая, если её можно так назвать, правка это избавление от goroutine, чтобы исключить проблемы одновременной записи SQLite, хотя и их можно было решить, а также добавление пары полей в БД. Знаю лил я Go - нет, решил ли я задачу - да, хотя так и не прикрутил это решение к почте. Программировать сейчас проще чем когда либо, не стоит это обходить стороной.

Что такое и как работать с QEMU micromv. Достаточно подробный обзор, включающий конкретные шаги по запуску данного типа эмуляции.

Cloudflare теперь и про RFC9234 - роли BGP маршрутизаторов. Много и подробно про сам механизм, как он работает, от чего защищает и в каких случаях и, конечно, про то сколько участников Интернет включили поддержку ролей на своём оборудовании. Пока не много, но их количество растёт, усилиями в том числе и Cloudflare, которые не поленились и написали тем с кем заметили проблемы.

OSPFv3 должен анонсировать адреса loopback интерфейса только как /128 префиксы. Это вызывает вопросы не только у Ивана Пепельняка, разные производители по разному подходят к тому что делать с этим требованием протокола и часто позволяют его игнорировать. Не использовать OSPFv3 кажется радикальным, просто помните о такой особенности, коих не мало и в других протоколах.

Архитектурные подходы практические советы к тому как строить Интернет провайдера. В качестве выбранной базы MikroTik, но советы очень общие чтобы подходить ко всему, поэтому можете на выбранную платформу не обращать внимания. Единственный момент, что, наверное, не стоит сейчас выбирать PPPoE, хотя в нём много своих плюсов и сразу подумать про IPv6, потому что с IPv4 публичными адресами для нового провайдера будет тяжеловато. В любом случае, 50000 абонентов в провайдере, это, конечно, не микропровайдер, но и не такое большое число - построить такую сеть реально почти на любом вендоре и технологии которые есть вокруг.

История Tier 1 сетей с 1997 года, кто и когда к этому списку присоединялся.

Уровень сетей который мне ещё не встречался на практике - MACsec существует и где-то используется. Wireshark его поддерживает и может расшифровать, конечно, при наличии у вас ключей для этого. Имеет смысл в условиях тотального недоверия, но на уровнях повыше с шифрованием и его реализацией куда проще и разнообразнее.

Коротко о значимости ММТС-9 как узла.

Даже в случайных топологиях есть место для управления трафиком, когда случайные пути забьются и придётся выбирать из двух зол. Amazon конечно молодцы со своим Spraypoint, но автор предлагает добавить сверху MPTE, для распределение трафика для разных по весу путей. С другой стороны Spraypoint уже работает, а MPTE не факт что будет.

Интернет как взаимосвязь сетей друг с другом видимо уже не существует, остались только полуострова которые соединены с центральной частью и острова которые от неё отдалены. Понимание этого состояния позволяет принимать тот факт что недоступность между двумя случайно выбранными частями Интернет является нормальным явлением. Отдельный вопрос что считать ядром Интернет, у авторов это та часть которая не зависит от административных границ и где ещё выполняется принцип связности всех со всеми больше 50%. В публикации много и подробно как определяли что есть что, а в приложениях, которые сравнимы по объёму с публикацией, конкретные примеры.

NAT это не файрвол, но в данном случае речь про другое - natjack.io. Злоумышленник находясь за NAT вместе с жертвой, может манипулировать трансляциями таким образом, чтобы заблокировать работу NAT вообще, или подменив трансляции перенаправить трафик жертвы на себя. Страдают в первую очередь те кто разделяет общий сервис NAT для многих недоверенных хостов, например, облака. В остальном, наличие злоумышленника внутри вашего контура, само по себе не очень и NAT в этом случае не самая большая проблема. А исчерпание свободных мест для трансляций NAT может происходить без всякого злого умысла, просто потому что не выкрутили таймеры, не рассчитали нагрузку, взяли не ту реализацию, про это надо обязательно помнить и мониторить.

Генератор трафика на скорости интерфейса - Wireblast. Написан на Go, обходит медленные функции Linux ядра с помощью XDP, может воспроизвести трафик из дампа pcap, есть псевдографический интерфейс, автор смог выжать 100Gbitps и 120Mpps. Код забираем на GitHub.