國際互聯網協會呼籲IXP協助解決網路路由問題

國際互聯網協會（Internet Society）是一個非政府、非盈利的國際性組織，成立於1992年，在推動互聯網全球化，加快網路互連技術、應用軟體發展，提高互聯網普及率等方面發揮重要的作用。

2014年，國際互聯網協會推出了一項名為「MANRS」的倡議（即路由安全性的相互商定規範，Mutually Agreed Norms for Routing Security）。基於MANRS的倡議，網路運營商會員——主要的互聯網服務提供商（ISP）們將致力於實現互聯網安全控制，以確保不正確的路由器信息不會通過其網路進行傳播。

如今，國際互聯網協會進一步擴大了其「MANRS」倡議，從只包含自治系統網路到包含互聯網交換中心（IXPs）。

一個自治系統（AS）即一個有權自主地決定在本系統中應採用何種路由協議的小型單位。這個網路單位可以是一個簡單的網路，也可以是一個由一個或多個普通的網路管理員來控制的網路群體，它是一個單獨的可管理的網路單元（例如一所大學，一個企業或者一個公司個體）。

而所謂「互聯網交換中心」（IXP），亦稱為IX，它是不同電信運營商之間為連通各自網路而建立的集中交換平台，一般由第三方中立運營，是互聯網的重要基礎設施，國外知名IX有AMS-IX、HKIX、Equnix IX等，國內知名的第三方IX有位於上海的We IX（馳聯網路）、位於北京的CNISP等。

為了實現網路路由最基本的安全性，國際互聯網協會於2014年正式推出這項MANRS倡議，最開始只有9家網路運營商（ISP）自願參與該倡議計劃，而到了現在，其會員數量已經發展到了56家，互聯網上的AS也有大約60,000個。國家互聯網協會技術項目經理Andrei Robachevsky介紹稱，我們目前設定的目標是發展700-800名積極合規的成員。由於大約80%的網路都是末梢網路（stub networks），其沒有必要知道整個網路的具體拓撲，只是負責將所有流向外部的流量轉發到下一跳（next-hop）路由器上去即可。Robachevsky 認為，700-800個ISP成員足以提供必要的臨界點，以便大幅改善網路路由的安全性。

這在目前是一個關鍵問題。每個自治系統（AS）都會「通知」其客戶到其他網路，以便流量能夠到達其預定的目的地。其使用的協議是邊界網關協議（BGP）——它是唯一一個用來處理像網際網路大小的網路的協議，也是唯一能夠妥善處理好不相關路由域間的多路連接的協議。其開發於20世紀90年代中期，具有適應性、簡單性和已於部署的特點。BGP系統的主要功能是和其他的 BGP 系統交換網路可達信息。網路可達信息包括列出的自治系統（AS）的信息。這些信息有效地構造了AS互聯的拓樸圖並由此清除了路由環路，同時在AS級別上可實施策略決策。

但是該協議並不具備內置的安全性，雖然有可以驗證信息的帶外數據（out-of-band，簡稱OOB）權威資料庫，但是由於這些數據並不完整，所以也並非經常使用。

不同自治系統（AS）之間路由驗證的基本缺失是導致意外和惡意網路路由問題的根本原因。針對網路路由主要有以下三個主要問題：路由劫持；IP地址欺騙以及路由泄漏——值得注意的是，僅2017年就發生了14,000起網路路由相關事件。

關於「路由劫持」最經典的案例發生在2008年，當時造成YouTube宕機了大約2個小時。當時安全研究人員普遍認為，這是一起有意為之的安全事故：由於當時YouTube上出現了反伊斯蘭教的視頻，巴基斯坦政府要求本國ISP「封殺」這一網站，業內人士認為，正是為了阻止本國人訪問YouTube，巴基斯坦電信「劫持」了YouTube網路伺服器的IP地址。這些信息隨後被傳遞至巴基斯坦的ISP，當巴基斯坦人訪問YouTube時，會被重定向到另一個地址。隨後，有關IP地址劫持的信息泄漏給了服務範圍更廣的電訊盈科（PCCW），受此影響，YouTube被全球多家ISP錯誤地封殺，所有用於YouTube的流量都被發送到了巴基斯坦電信。

2017年4月，Robachevsky在國際互聯網協會的博客中寫道，「大量屬於萬事達卡、Visa以及20多家金融服務公司的網路流量被俄羅斯電信劫持。幾分鐘後，俄羅斯最大的電信運營商Rostelecom為許多其他自治系統（AS）發起50個前綴，劫持它們的網路流量。」

IP地址欺騙可以用於不同的惡意目的。其中最具戲劇性的是反射/放大DDoS攻擊。攻擊者通過欺騙目標地址，然後使用放大和反射將大量數據導向受害者。今年，memcached就已被用於放大DDoS攻擊，並造成足以刷新記錄的「戰績」——開始的峰值為1.3Tbps，沒過幾天峰值達到了1.7Tbps。

如果有足夠多數量的自治系統（AS）採用了MANRS原則，則反射/放大DDoS攻擊將不再是一個問題，因為地址欺騙將能夠被識別和拒絕。

MANRS倡議試圖讓網路提供商只遵守四項基本原則：過濾公告以確保其準確性；防止IP地址欺騙；改善網路之間的協調；對每個網路而言要確保自己的全球驗證網路部分是準確無誤的。現在的問題是，國際互聯網協會將其MANRS社區成員從目前的56個擴大到700-800個（也就是Robachevsky所謂的「臨界點」），真正地為保障網路路由安全性發揮作用。

為了實現這一目標，近日，國際互聯網協會與10位IXP創始成員共同推出了一項「MANRS IXP」計劃。該計劃的宗旨是希望IXP（其中一些擁有多達600個與之相連的自治系統）能夠協助提升網路路由的安全性，同時，IXP也將擔任該計劃的推廣大使。

Robachevsky評論稱，「如果我們能夠讓他們擔任大使，並在其社區中推廣MANRS倡議，這將不失為一種擴大MANRS規模的好方法。當然，它們也可以大力地促進路由安全，它們運行所謂的「路由伺服器」，每個成員都可以連接到IXP的代理網路以獲取路由信息，而不需要每個人都連接到每個人。這也就意味著，路由伺服器本身可以進行驗證，因為每個路由伺服器都已經知道它的用戶網路。此外，安裝其中的過濾器可以識別配置錯誤或錯誤的公告，並且可以阻止錯誤、無效的公告。可以說，我們正在創建一個非常安全的對等環境，這是整個互聯網路由安全性邁出的重要一步。」

對於國際互聯網協會而言，目前的挑戰在於簽署MANRS——無論是作為單獨的自治系統（AS）還是作為IXP——都沒有制定任何措施來直接地保護其會員。它有助於保護其他網路，並且每個網路都非常依賴保護它們的其他網路。為了使IXP儘可能簡單地加入該計劃，只有三個要求：兩個基本要求以及從三個可選要求中至少選擇一個。

其中，兩個基本要求是有效地阻止錯誤路由信息的傳播，以及將MANRS推廣到IXP自己的會員中。三個可選要求（每個IXP必須至少從中選擇一項）包括保護對等平台；促進網路運營商之間的全球運營溝通和協調；以及為會員提供監控和調試工具。

「

MANRS IXP計劃的創始參與者能偶夠理解擁有更具彈性和安全的互聯網路由系統的重要性。IXP社區是互聯網生態系統的組成部分，而且通過參與MANRS計劃，他們正在逐步發展成為一個致力於使全球路由基礎設施更加安全的安全思維網路運營商社區。

如果電訊盈科（PCCW）已經實施了MANRS，那麼巴基斯坦電信對YouTube的劫持是不可能發生的。而如果電訊盈科沒有實施MANRS，但IXP已經這樣做了，那麼劫持就會在對等連接點（peering points）停止。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！