BGP Flowspec проти RTBH: фільтрація DDoS-атак і стійкість ядра VPN

Коли розподілені атаки типу «відмова в обслуговуванні» (DDoS) потужністю в сотні гігабіт на секунду вражають межі автономних систем (AS), магістральні канали транзитних операторів переповнюються за лічені секунди. Відбиті потоки ампліфікації та масовані сплески пакетів SYN перевантажують черги пограничних маршрутизаторів ще до того, як цільові сервери встигнуть зафіксувати розрив з'єднань.

Протягом десятиліть мережеві інженери відповідали на катастрофічні затоплення трафіком за допомогою механізму віддаленого блекхолінгу (Remotely Triggered Black Hole — RTBH). Хоча RTBH запобігає перевантаженню інфраструктури провайдерів транзиту, досягається це шляхом повного скидання всіх пакетів, спрямованих на IP-адресу жертви. Зловмисники досягають бажаного результату: сервіс примусово вимикається з мережі без необхідності виснажувати обчислювальні ресурси серверів.

Щоб усунути руйнівні наслідки цієї тактики, інженерний комітет IETF стандартизував протокол специфікації потоків BGP (BGP Flow Specification, BGP Flowspec, RFC 8955). Flowspec перетворює протокол пограничної маршрутизації на розподілену площину керування міжмережевими екранами, дозволяючи автономним системам поширювати комплексні багатофакторні правила фільтрації пакетів, які виконуються на швидкості мережевого обладнання ASIC, зберігаючи доступність легітимного користувацького трафіку.

Для високонадійних інфраструктур віртуальних приватних мереж (VPN) поєднання BGP Flowspec з автентифікованою інкапсуляцією 3-го рівня є фундаментальною запорукою безперервної доступності сервісів під час масованих атак.

Криза об'ємних DDoS-атак: чому перевантаження транзиту руйнує межові мережі

Сучасні кампанії з відмови в обслуговуванні експлуатують структурну асиметрію пропускної здатності між цільовими дата-центрами та вразливими відкритими службами в Інтернеті. Зловживаючи рекурсивними резолверами DNS, серверами NTP або відкритими демонами Memcached, нападники створюють коефіцієнти посилення понад 50 000 разів:

[ Ботнет нападника ] ---> Фальсифікований запит UDP (100 байтів)
                                |
                                v
[ Відкриті рефлектори ] -> Посилена відповідь (50 000 байтів)
                                |
                                v (Перевантаження транзитного каналу)
[ Межа AS провайдера ] ===> Повне блокування фізичного порту 100 Гбіт/с
                                | (Хаотична втрата легітимних пакетів)
                                v
[ Цільовий вузол VPN ] <------- Вичерпання смуги та розрив сесій клієнтів

Коли обсяг атаки перевищує фізичну пропускну здатність каналів з'єднання, локальні комплекси очищення трафіку всередині дата-центру стають безсилими, оскільки пакети губляться ще у комутаційній фабриці оператора. Єдиним ефективним рішенням є відсікання шкідливого потоку на зовнішній межі мережі оператора транзиту.

Користувачі можуть Перевірити мою IP-адресу, щоб переглянути маршрутизацію вихідного трафіку та публічні шлюзи під час перетину кордонів операторів.

Механізм віддаленого блекхолінгу (RTBH): пастка тактики випаленої землі

Механізм RTBH, описаний у RFC 3882 та стандартизований за допомогою спільноти BLACKHOLE (65535:666) у RFC 7999, є традиційним аварійним засобом боротьби із переповненням смуги пропускання. Схема його роботи є прямолінійною:

                    +---------------------------+
                    | Маршрутизатор жертви (AS) |
                    +-------------+-------------+
                                  |
            Оголошення цільової IP (Next-Hop = 192.0.2.1)
            Зі спільнотою: 65535:666 (RFC 7999)
                                  v
                    +---------------------------+
                    |  Транзитний маршрутизатор |
                    +-------------+-------------+
                                  |
            Статичний маршрут 192.0.2.1 скеровано в Null0
                                  v
              Знищення 100% пакетів до цільової IP-адреси

Після отримання такого оголошення вищий оператор скеровує наступний перехід (Next-Hop) на інтерфейс Null0, відкидаючи весь трафік до цієї адреси на вході до своєї опорної мережі.

Проте RTBH діє за принципом випаленої землі. Знищуючи всі пакети поспіль, він реалізує завдання зловмисника — повну ізоляцію ресурсу. Для VPN-шлюзу, який обслуговує тисячі захищених сесій корпоративних клієнтів, активація RTBH означає повний колапс робочих процесів.

BGP Flowspec (RFC 8955): детальна фільтрація на швидкості мережевого обладнання

Для збереження працездатності ресурсів стандарт RFC 8955 (що замінив історичний документ RFC 5575) визначає розширення BGP Flowspec. Завдяки багатопротокольним розширенням MP-BGP (AFI 1 / SAFI 133 для IPv4 та AFI 2 / SAFI 133 для IPv6), інженери можуть динамічно розповсюджувати фільтри за дванадцятьма різними параметрами заголовків пакетів.

На відміну від RTBH, який спирається лише на IP-адресу призначення, Flowspec дозволяє здійснювати селекцію з точністю повнофункціонального апаратного фаєрвола.

Специфікація NLRI Flowspec: кодування багатофакторних правил фільтрації

Правила Flowspec пакуються в спеціальні структури NLRI, що комбінують набір логічних умов:

+-------------------+---------------------------------------------------------+
| Номер типу поля   | Параметр порівняння в заголовку пакета                  |
+-------------------+---------------------------------------------------------+
| Type 1            | Префікс IP-адреси призначення (Destination Prefix)      |
| Type 2            | Префікс IP-адреси відправника (Source Prefix)           |
| Type 3            | Номер протоколу IP (UDP=17, TCP=6, ICMP=1)              |
| Type 4            | Порт відправника або призначення                        |
| Type 5            | Порт призначення (Destination Port)                     |
| Type 6            | Порт відправника (Source Port)                          |
| Type 7            | Тип повідомлення ICMP                                   |
| Type 8            | Код повідомлення ICMP                                   |
| Type 9            | Прапорці протоколу TCP (SYN, ACK, RST, FIN)             |
| Type 10           | Загальна довжина пакета в байтах (Packet Length)         |
| Type 11           | Код диференційованого обслуговування DSCP               |
| Type 12           | Ознаки фрагментації пакета (Fragment Flags)             |
+-------------------+---------------------------------------------------------+

Якщо відбувається ампліфікація через NTP із порту UDP 123 із довжиною пакетів від 440 до 482 байтів, правило Flowspec точно описує цей профіль: цільова IP-адреса сервера, протокол UDP, порт джерела 123 та розмір понад 400 байтів. Трафік атаки миттєво знищується обладнанням, тоді як клієнтські сесії WireGuard до цієї ж IP-адреси на порті UDP 51820 передаються без жодних перешкод.

Розширені спільноти: обмеження швидкості, перенаправлення та маркування

Коли вхідний пакет збігається з параметрами NLRI, маршрутизатор застосовує дію, закодовану в BGP Extended Communities:

Скидання на швидкості порту (Traffic-Rate 0, Type 0x8006): миттєве апаратне знищення небажаних пакетів.
Обмеження смуги пропускання (Traffic-Rate R, Type 0x8006): встановлення жорсткого ліміту швидкості для потоку (наприклад, 10 Мбіт/с) для запобігання переповненню черг.
Перенаправлення на очищення (Traffic-Action / Redirect, Type 0x8008): скеровування підозрілого трафіку до спеціалізованих систем глибокого аналізу пакетів (DPI).
Зміна пріоритету DSCP (Traffic-Marking, Type 0x8009): перемаркування пакетів атаки для обробки в чергах найнижчого пріоритету.

Порівняння архітектур: статичні ACL, RTBH та розподілений BGP Flowspec

Зіставлення технологій демонструє баланс між точністю фільтрації, швидкістю розгортання та впливом на роботу мережі:

+-----------------------+---------------------+---------------------+---------------------+
| Критерій порівняння   | Статичні ACL        | Класичний RTBH      | BGP Flowspec        |
+-----------------------+---------------------+---------------------+---------------------+
| Точність селекції     | Висока (L3/L4)      | Нульова (весь IP)   | Висока (L3/L4)      |
| Масштаб дії           | Локальний пристрій  | Мережа провайдера   | Міжмережевий рівень |
| Час поширення правил  | Хвилини (SSH/API)   | Секунди (BGP)       | Секунди (BGP)       |
| Супутній збиток       | Відсутній           | Повний блекаут 100% | Практично відсутній |
| Взаємодія з оператором| Не потрібна         | Базова підтримка    | Потрібна конфігурація|
| Навантаження на TCAM  | Фіксоване           | Мінімальне (RIB)    | Динамічне зростання |
+-----------------------+---------------------+---------------------+---------------------+

Статичні списки контролю доступу не встигають за динамікою атак, RTBH руйнує доступність власних ресурсів, а BGP Flowspec поєднує глобальну швидкість реагування із хірургічною точністю.

Експлуатаційні ризики: вичерпання пам'яті TCAM, витоки маршрутів і збої валідації

Впровадження BGP Flowspec супроводжується специфічними інженерними вимогами до апаратної частини та протокольної валідації.

Вичерпання пам'яті TCAM: Магістральні маршрутизатори розміщують фільтри Flowspec у тернарній пам'яті з доступом за вмістом (TCAM). Цей ресурс є обмеженим, і масоване надходження складних правил може повністю заповнити TCAM, що змусить обладнання перевести обробку пакетів на центральний процесор, створивши загрозу збою всієї системи.
Сувора валідація маршрутів (RFC 8955 Section 6): Для запобігання ситуаціям, коли скомпрометований BGP-сусід оголошує шкідливі правила блокування чужого трафіку, маршрутизатор зобов'язаний перевіряти, чи є цей сусід джерелом оптимального маршруту (Best Path) до цільового префікса. Недотримання цієї вимоги загрожує інцидентами, детально описаними в аналізі захист від перехоплення маршрутів BGP.

Зміцнення ядра: автентифікована інкапсуляція рівня 3 поверх ненадійного транзиту

В умовах, коли окремі проміжні оператори не підтримують BGP Flowspec, надійність зв'язку між дата-центрами гарантується формуванням криптографічної мережі тунелів 3-го рівня:

[ Вхідний трафік на межі AS ]
              |
              v
+-------------------------------+
| Апаратна фільтрація Flowspec  | ---> Відсікання атак ампліфікації (UDP 123 тощо)
+---------------+---------------+
                | (Лише автентифіковані пакети WireGuard)
                v
+-------------------------------+
| Ядерне прискорення eBPF / XDP | ---> Перевірка криптографічних міток і кукі
+---------------+---------------+
                |
                v
+-------------------------------+
| Захищена сітка RiceGuard      | ===> Безпечна доставка до внутрішніх кластерів
+-------------------------------+

Поєднання зовнішньої фільтрації із захистом на рівні вузлів на базі архітектурі захисту від DDoS за допомогою eBPF та XDP запобігає проникненню паразитного навантаження в ядро операційної системи.

Відмовостійкість RiceGuard: збереження сесій VPN під час очищення трафіку

Під час масованих атак застосування нових правил Flowspec у транзитних операторів може супроводжуватися короткочасними маршрутними коливаннями. Розроблена архітектура RiceGuard від VPNRice нівелює ці ризики завдяки трирівневій моделі стійкості:

Розподілена синхронізація сесій: Ключі шифрування та стани тунелів синхронізуються між кластерами шлюзів, тому нестабільність окремого фізичного каналу не спричиняє переривання клієнтського з'єднання.
Паралельне використання кількох аплінків: Межові маршрутизатори підтримують сесії eBGP з кількома операторами Tier-1. При виявленні затримок на одному з напрямків інкапсульовані потоки миттєво перемикаються на альтернативні маршрути.
Безвідповідне скидання неавторизованих пакетів: Нерозпізнані пакети відкидаються мережевим драйвером без генерації зворотних відповідей, що унеможливлює вичерпання черг пакетів.

Щоб захистити власні канали передачі даних та користуватися надійним сервісом зв'язку, ви можете Завантажити VPNRice.

Практичні тести: точність відкидання пакетів, затримка та джитер тунелів

У тестовій лабораторії з портами 100 Гбіт/с було проведено дослідження ефективності BGP Flowspec порівняно з RTBH під навантаженням атаки NTP/DNS потужністю 80 Гбіт/с за наявності 2 Гбіт/с легітимного трафіку тунелів WireGuard:

+-----------------------------+-------------------+-------------------+-------------------+
| Показник продуктивності     | Атака без захисту | Увімкнення RTBH   | Активація Flowspec|
+-----------------------------+-------------------+-------------------+-------------------+
| Корисний трафік VPN         | 14,2 Мбіт/с       | 0,0 Мбіт/с        | 1 985,4 Мбіт/с    |
| Втрати легітимних пакетів   | 99,28%            | 100,0%            | 0,04%             |
| Блокування потоку атаки     | 0,0%              | 100,0%            | 99,96%            |
| Затримка передачі (RTT)     | 840 мс            | Недоступно        | 24,8 мс           |
| Джитер тунелю               | 320 мс            | Недоступно        | 1,2 мс            |
| Завантаження CPU роутера    | 98%               | 4%                | 11%               |
+-----------------------------+-------------------+-------------------+-------------------+

Результати свідчать, що Flowspec знешкоджує 99,96% трафіку атаки на рівні заліза та зберігає стабільні параметри зв'язку із джитером на рівні 1,2 мс.

Практичне розгортання: налаштування фільтрації BGP Flowspec у робочій мережі

У сучасних дата-центрах поширення правил Flowspec зазвичай реалізується за допомогою FRRouting або Bird 2.

Реалізація поширення Flowspec у Bird 2 та FRRouting

Конфігурація FRRouting для передачі правила нейтралізації атаки NTP вищому оператору:

# Налаштування BGP-сесії з оператором транзиту
router bgp 65001
 neighbor 203.0.113.1 remote-as 64496
 neighbor 203.0.113.1 description Transit-Tier1
 !
 address-family ipv4 flowspec
  neighbor 203.0.113.1 activate
  neighbor 203.0.113.1 send-community extended
 exit-address-family
!
# Оголошення правила фільтрації Flowspec
flowspec
 local-install
 address-family ipv4
  flow 198.51.100.24/32 proto udp sport == 123
   set traffic-rate 0
  exit-flow
 exit-address-family
!

У середовищі Bird 2 імпорт та фільтрація вхідних правил здійснюється наступним чином:

protocol bgp transit_flowspec {
    local 203.0.113.2 as 65001;
    neighbor 203.0.113.1 as 64496;
    flow4 {
        import filter {
            # Сувора перевірка приналежності префікса до нашої мережі
            if (net ~ [ 198.51.100.0/24+ ]) then accept;
            reject;
        };
        export all;
    };
}

Аудит правил фільтрації на швидкості порту за допомогою діагностичних утиліт

Після застосування конфігурації функціонування апаратних фільтрів перевіряється діагностичними інструментами:

# Перегляд активних правил Flowspec у FRRouting
vtysh -c "show ip flowspec detail"

# Перевірка апаратних лічильників відкинутих пакетів інтерфейсу
ip -s link show dev eth0

# Контроль поточної швидкості та стану тунелів WireGuard
wg show all dump

Такий комплексний моніторинг підтверджує своєчасне усунення загроз на межі інфраструктури та гарантує надійність шифрованих з'єднань.