Qrator Labs, специализирующаяся на противодействии DDoS-атакам и обеспечении доступности интернет-ресурсов, уведомила об ошибке конфигурации сетей российских провайдеров, которая привела к сбою при доступе к популярным сервисам для большого числа пользователей в России.

Протокол BGP (Border Gateway Protocol) служит для управления трафиком на уровне операторов связи, и ошибки в его настройке приводят к нелегитимному перехвату трафика. Если вышестоящие операторы не осуществляют проверку того, что получают от своих клиентов, такая аномалия способна повлиять на доступность в масштабах национального сегмента. 25 ноября 2018 года подобная ошибка произошла и в России.

В 16:00 по московскому времени небольшой оператор Krek Ltd начал анонсировать сети между своими провайдерами, таким образом перенаправив значительную часть трафика «Ростелекома» на свою сеть. Справиться с такой нагрузкой сеть Krek не могла, в результате сделав недоступными тысячи сервисов для пользователей «Ростелекома». В число пострадавших попали известные компании, такие как Amazon, Youtube, «Вконтакте», онлайн-кинотеатр IVI и многие другие. По оценке Qrator Labs, аномалия могла затронуть от 10% до 20% пользователей в РФ.

Для более чем 5000 сетей этот сбой стал глобальным, перенаправив в черную дыру трафик из других регионов.

Произошедшая аномалия стала результатом двух связанных между собой ошибок: сети Krek, допустившей ошибку в конфигурации BGP и ставшей источником проблемы, и сети «Ростелекома», который стал переносчиком, не настроив корректную фильтрацию на стыке с этим клиентом. Из-за ошибок настройки протокола BGP эти операторы не только «подвесили» свои сети, но и создали проблемы для других сервисов, чей трафик оказался перехвачен. Общая продолжительность аномалии составила более часа.

«Существует распространенное мнение, что бороться с подобными аномалиями, возникающими за границей своей сети, практически невозможно. Однако, если известен источник перехвата трафика (в данном случае сеть Krek), то возможна эксплуатация защиты BGP от циклов для разрыва перехвата. Другими словами, при наличии мониторинга в реальном времени возможно активное противодействие подобным аномалиям», — прокомментировал Александр Азимов, сетевой архитектор Qrator Labs.