BGP

BGP nedir?

BGP (Border Gateway Protocol), internetteki bağımsız ağların (otonom sistemlerin) birbirine hangi IP adres bloklarına nasıl ulaşılacağını duyurduğu yönlendirme protokolüdür. İnternet servis sağlayıcıları, veri merkezleri ve büyük kuruluşlar paketlerin ağlar arasında doğru yolu bulması için BGP kullanır.

BGP’ye internetin yönlendirme omurgası denebilir. Güven esasına dayandığı için hatalı veya kötü niyetli duyurular trafiğin yanlış yere akmasına yol açabilir.

Nasıl çalışır?

Her ağ, otonom sistem numarası (ASN) ile tanımlanır. Komşu ağlar birbirleriyle eş (peer) olur ve sahip oldukları IP bloklarını (prefix) duyurur. Bir ağ başka ağlardan öğrendiği yolları da iletir. Her yönlendirici, birden fazla yol arasından politikalara ve yol uzunluğuna göre en iyisini seçer.

Bir blok için duyuru yapılmazsa veya çekilirse o adrese giden yol kaybolur ve ağ erişilemez olur. Bu nedenle büyük kesintilerin bazı örneklerinde BGP yapılandırma hataları rol oynamıştır.

Sunucu ve hosting ortamında

Çoğu hosting müşterisi BGP ile doğrudan ilgilenmez; bunu hosting sağlayıcısı veya veri merkezi yönetir. Ancak kendi IP bloğuna sahip kurumlar, birden çok sağlayıcıya bağlanan veri merkezleri ve DDoS koruma hizmetleri BGP ile çalışır. Bazı DDoS koruma servisleri, saldırı sırasında trafiği temizleme merkezine yönlendirmek için BGP duyurularını kullanır.

Güvenlik tarafında, yanlış duyuruları (route hijacking ve route leak) önlemek için prefix filtreleri, RPKI gibi kaynak doğrulama mekanizmaları ve izleme kullanılır. Hosting sağlayıcı seçerken ağ çeşitliliği ve yönlendirme güvenliği yaklaşımı da değerlendirme ölçütüdür.

Nelere dikkat edilmeli?

• Yalnızca sahip olduğunuz IP bloklarını duyurun.
• Komşulardan gelen duyuruları prefix filtreleriyle sınırlandırın.
• RPKI ile kaynak doğrulamayı destekleyin ve geçersiz duyuruları reddedin.
• Maksimum prefix sınırı koyarak aşırı duyuruların etkisini azaltın.
• Değişiklikleri kademeli ve izlemeyle birlikte yapın.
• Yönlendirme değişikliklerini ve duyurularını izleyen bir uyarı sistemi kullanın.

Sık yapılan hatalar

• Filtre koymadan komşulardan gelen her duyuruyu kabul etmek.
• Yapılandırma değişikliğini test etmeden tüm ağa uygulamak.
• Yalnızca tek bir yukarı akış sağlayıcıya bağımlı kalmak.
• Duyuru izlemesi yapmayıp hatayı geç fark etmek.