Bölüm 45: Alanlar Arası Routing

Bir ağın içinde herkes aynı yönetime bakıyordu; güven de oradan geliyordu. Sınırın ötesinde ikisi de yok, kimsenin elinde bütün ağın haritası da yok.

Yine de paket yolunu buluyor. Peki tam haritayı kimsenin görmediği bir yerde o yol nasıl seçiliyor?

Sınırı çizen şey coğrafya mı?

Şimdiye kadar anlattığım routing iki varsayıma yaslanıyordu: bütün router’lar birbirinin aynı ve ağ düz bir yüzey. İkisi de gerçek değil.

Düzlüğün bedelini hemen görürsün. Her router herkesle tablo alışverişi yapsaydı o alışverişin kendisi hatları doldurur ve veri paketine yer kalmazdı. Ölçek sorununun asıl yüzü de burası.

İkinci kırılma noktası ölçekle ilgili değil. Her ağ yöneticisi kendi ağındaki routing’i kendi denetlemek ister ve kimseye hesap vermek istemez.

İnternetin cevabı router’ları bölgelere toplamak oldu. Bu bölgeye otonom sistem deniyor; aynı yapının bir adı da alan (domain). Otonom sistem, tek bir kuruluşun yönettiği router’lar ve ağlar kümesi; çoğu zaman o kuruluş bir servis sağlayıcı oluyor. Sınırı coğrafya çizmiyor, yönetim çiziyor.

İki şartı var. Birincisi içeri bakar: bir otonom sistem kendi içinde bağlı olmak zorundadır, yani içindeki herhangi iki düğüm arasında en az bir yol bulunur. İkincisi dışarı bakar. İçeride birden çok iç protokol ve birden çok metrik koşsa bile, dışarıya tek ve tutarlı bir routing planı gösterilir.

Eski tanım daha katıydı: bir otonom sistemin bütün router’ları tek bir iç protokol koşardı. Şart zamanla dışarıya bakan yüze taşındı. Bugün iç protokolü her otonom sistem kendi seçer, komşusu bambaşkasını koşar ve kimse kimseye sormaz. 42. bölümde link state ile uzaklık vektörü aynı ağda yakınsıyordu; o karar sınırın içinde kalır.

Dış protokolde serbestlik yok: iki otonom sistem konuşacaksa aynı dış protokolü koşmak zorundadır. İnternette o protokol tek: BGP (Border Gateway Protocol). İlk sürümü 1989’da bir IETF toplantısında iki mühendisin öğle yemeğinde peçetelere çizdiği taslaktan doğdu; bu yüzden “iki peçete protokolü” diye de anılır. Dördüncü sürümü RFC 4271’de tanımlı ve otonom sistemler arası fiili standart.

Sınırda duran cihaza geçit router denir. Başka otonom sistemlerdeki router’lara doğrudan hattı vardır.

Kim kime para ödüyor?

Sınırdaki bir hat çoğu zaman bir sözleşmenin fiziksel karşılığı, internetin şeklini de o sözleşmeler çiziyor. Evine hat çeken şirkete kitapta operatör ya da servis sağlayıcı dedim; ders kitaplarında adı internet servis sağlayıcı (ISP). ISP’ler tek bir düzlemde durmuyor, basamak basamak dizilmiş bir merdiven oluşturuyorlar.

En alttaki erişim ISP’si dünyadaki her ağa kendi hattıyla ulaşamaz. Bir üstündeki sağlayıcıya müşteri olur ve ona para öder. Satın aldığı hizmetin adı geçiş (transit): üst sağlayıcı müşterisinin trafiğini internetin geri kalanına taşır ve oradan getirir. Aynı ilişki her basamakta tekrarlanıyor ve para çoğunlukla yukarı doğru akıyor.

Kademe numaraları bir standarttan gelmiyor, bir ağa numarayı kimse vermiyor. Bir ağın hangi basamakta durduğunu kime para ödediği ve kimden para aldığı belirliyor.

Eşleme (peering), iki ağın birbirinin müşterilerine giden trafiği karşılıklı taşıması ve kimsenin kimseden para almaması demek. Birinci kademeler birbirine para ödemez, çünkü ikisi de internetin tamamına ulaşmak için öbürünün müşterilerine muhtaç ve kimse kimsenin müşterisi değil. Böyle bir eşleme koparsa, başka yolu olmayan müşteriler öbür ağın müşterilerine ulaşamaz. Eşleme iki ağın arasına doğrudan bir hat çekilerek ya da internet değişim noktasında (IXP) kuruluyor. Az önceki fotoğraf böyle bir noktanın içi: çok sayıda ağın hattı ortak bir switch altyapısına bağlanıyor ve her ağ tek bir bağlantıyla oradaki öbür ağlarla eşlenebiliyor.

Bu fatura düzeni BGP kararlarına da yansıyor. Bir sağlayıcı için müşteriden öğrenilen yol para getirir, eşten öğrenilen yol bedelsizdir, üst sağlayıcıdan öğrenilen yol para götürür. Birazdan göreceğin yerel tercih değerini yönetici çoğu zaman bu sıraya göre koyar.

Sınırda ne konuşuluyor?

BGP oturumu iki router arasında yarı kalıcı bir TCP bağlantısıdır. Bir kez kurulur, sürekli açık tutulur ve bütün ilanlar bu tek borudan akar. Dinleyen taraf 179 numaralı TCP portunu açar. Taşıma olarak TCP kullandığı için parçalama, yeniden iletim, onay ve sıralama BGP’nin işi olmaz.

Oturum fiziksel bir hatla birebir örtüşmez: iki uç arasında doğrudan kablo olmayabilir. Üstünden dört mesaj geçer.

Dördünün de başı aynı. BGP başlığı 19 bayttır: 16 baytlık Marker, 2 baytlık Length, 1 baytlık Type. Bir mesaj en çok 4.096 bayt olabilir; 2019’dan beri iki taraf anlaşırsa bu sınır 65.535 bayta çıkıyor (RFC 8654). En kısa UPDATE 23 bayt, KEEPALIVE ise yalnızca başlıktan ibaret: 19 bayt.

Marker alanı bir zamanlar kimlik doğrulama taşıyordu. Bugün yalnızca geriye uyumluluk için duruyor ve tamamı bir yapılmak zorunda.

Canlılığı iki zamanlayıcı yönetir. Hold Time ya sıfır olacak ya da en az 3 saniye; iki taraf OPEN mesajında kendi değerini önerir ve küçük olan kazanır. Önerilen varsayılan 90 saniyedir. KEEPALIVE aralığı bunun üçte biri, yani 30 saniye. Oturum düşmeden önce üç mesajlık pay kalıyor. Alt sınır da konmuş: KEEPALIVE saniyede birden sık gönderilemez.

Hold Time dolarsa oturum düşer ve o komşudan öğrenilen bütün yollar tablodan silinir. Kopan oturumu yeniden kurmak için önerilen bekleme 120 saniyedir. 90 saniye bugünün gözüyle çok uzun; sahada BGP’nin yanına bu yüzden kopukluğu milisaniyeler içinde fark eden ayrı bir protokol (BFD) ekleniyor.

İlanın kendisi de bir ritme bağlı. Aynı öneke ait iki ilan arasında dışarıya doğru en az 30 saniye, kendi sınırının içinde 5 saniye bırakılır. Bir hat saniyede on kez inip kalksa bile bu titreme komşuya aynı sıklıkta aktarılmaz.

BGP’nin iki yüzü var. Komşu otonom sistemlerden erişilebilirlik bilgisi almak eBGP’nin işi; o bilgiyi kendi sınırının içine yaymak iBGP’nin. Geçit router’lar ikisini birlikte koşar.

Böyle bir router üç ayrı tablo tutar: komşuluk tablosu, bütün komşulardan gelen yolların biriktiği BGP tablosu ve elemeden sonra kalanların yazıldığı IP routing tablosu. 39. bölümde routing tablosu en uzun önek eşleşmesiyle okunuyordu; BGP oraya yalnızca kazanan satırı yazar. Satırın önündeki harf kaynağını söyler: doğrudan bağlı ağ C, elle yazılan satır S, BGP’den öğrenilen yol B.

İlan edilen şey mesafe mi, güzergâh mı?

BGP bir path vector protokolüdür ve adı ne gönderdiğini söyler. Komşuya mesafe sayısı değil, geçilen otonom sistemlerin listesi gider. İlan edilen şey çıplak bir önek de olmuyor: önek artı öznitelikler gidiyor ve ikisi birlikte yol diye anılıyor. Belirleyici iki öznitelik var: güzergâhı taşıyan AS_PATH ve sonraki durağı veren NEXT_HOP.

AS_PATH somut olarak numaralardan oluşan bir dizidir. İlan dışarıya çıkarken router kendi AS numarasını listenin başına ekler. Liste böylece yolun kendisi olur.

Döngü denetimi tek satırlık bir iş. Router gelen yolun listesini tarar ve kendi numarasını görürse o yolu eler. Path vector’ın uzaklık vektörüne üstünlüğü burası: sayarak sonsuza gitmenin yerini tek bir liste taraması alıyor. Tek bir AS_SEQUENCE parçasına en çok 255 otonom sistem sığar, taşarsa yeni bir parça açılır.

Bir ilan teknik bir bilgi değil, bir söz. İlan eden taraf o öneke giden paketleri hedefe doğru ileteceğine söz verir. İlanı geri çekmek bu sözü geri almaktır.

Sözün kapsamı genişletilebilir. Bir otonom sistem ilanında önekleri birleştirir, komşuya tek satır göndererek onlarca alt ağı kapsar ve genel tablo bu sayede şişmez.

Numaranın kendisi de bir kez dara düştü. Temel tanımda AS numarası 2 baytlıktı; tükeneceği görülünce 4 bayta çıkarıldı. Eski yazılımlar yeni numaraları okuyamadığı için 23456 numarası AS_TRANS adıyla ayrıldı ve gerçek bilgi AS4_PATH ile AS4_AGGREGATOR özniteliklerine taşındı. Kazanç büyük: 65.536 numaralık uzay 4.294.967.296’ya çıktı.

En kısa yol neden her zaman kazanmıyor?

İlanı alan geçit router onu bir alma politikasından geçirir ve yolu kabul ya da reddeder. Politika tek bir otonom sistemi tümüyle dışlayabilir: onun üstünden geçen her yol elenir. Aynı politika o yolun komşulara ilan edilip edilmeyeceğine de karar verir.

Aynı hedefe birden çok yol öğrenildiğinde eleme sırası sabittir.

1. Yerel tercih değeri: saf politika kararı, sayıyı yönetici koyar.
2. En kısa AS_PATH: listedeki durak sayısı.
3. En yakın NEXT_HOP: iç maliyeti en düşük çıkış.
4. Kalan ölçütler: yukarıdakiler eşit çıkarsa bakılır; komşunun önerdiği giriş kapısı (MED), dış komşudan gelen yolun iç komşudan gelene tercihi ve en sonda router kimliği.

Gerçek router’lardaki liste daha uzun, ama ruhu bu dört satırda.

Yerel tercihe AS_PATH’ten önce bakıldığı için politika kısa yolu geçersiz kılabilir.

Vakayı kuralım. 203.0.113.0/24 önekini AS 64500 ilan ediyor. Karar veren geçide bu önek iki yoldan geliyor: AS 64501’den gelen yolun AS_PATH uzunluğu 2, AS 64502 ile AS 64503 üstünden gelenin 3. Yerel tercih eşitse kısa olan seçilir. Ama AS 64502’den gelen yola daha yüksek bir yerel tercih verilirse uzun yol kazanır. Paket üç otonom sistem atlayarak gider.

Aynı önek için gelen ilanların hangi ölçütle elendiğini izleyelim:

Seçim bittiğinde bir soru kalıyor: paket kendi ağından hangi kapıdan çıkacak? Sıcak patates routing’i aynı hedefe birden çok çıkış varsa iç maliyeti en düşük geçidi seçer. Kaç otonom sistem atlanacağı hesaba hiç katılmaz. AS 64500’ün iç maliyeti 30 ve 45 olan iki çıkışı varsa ucuz olan kazanır, toplam uçtan uca yol daha uzun olsa bile. Bunun bir yan etkisi var: iki ağ da trafiği bir an önce komşuya atmak istediği için gidiş ile dönüş çoğu zaman farklı yollardan geçiyor. İnternette yolların asimetrik olması istisna değil, kural.

İlana kim kefil?

BGP’nin bilinen açığı şu: bir öneki ilan eden otonom sistemin gerçekten yetkili olup olmadığı protokolün kendisinde denetlenmiyor.

Bedeli 1997’de görüldü. AS 7007 numaralı küçük bir servis sağlayıcıdaki arızalı bir router ulusal omurga router’larına hatalı routing bilgisi verdi. Diğerleri trafiği o cihazın üstüne boğdu ve internetin büyük bölümleri birkaç saate varan sürelerle koptu. 2008’de Pakistan Telekom, ülke içinde YouTube’u engellemek için yazdığı daha özgül bir öneki yanlışlıkla dünyaya ilan etti; YouTube iki saat kadar bütün dünyada erişilemez oldu. Ekim 2021’de ise Facebook’un kendi yaptığı bir yapılandırma hatası, ağının ilanlarını geri çektirdi ve şirket altı saat kadar internetten silindi.

Aradan geçen yıllar bu mekanizmayı hiç değiştirmedi. AS 64510, kendisine ait olmayan 203.0.113.0/24 alanını 203.0.113.0/25 ve 203.0.113.128/25 diye ikiye bölüp ilan ediyor. En uzun önek eşleşmesi yüzünden bu iki satır, /24 satırını her yerde yeniyor ve trafik sorgulanmadan yön değiştiriyor. Bu işe rota kaçırma deniyor.

Önek kaynağı doğrulaması boşluğu kapatmak için sonradan eklendi ve RFC 6811’de tanımlı. Kayıtların kaynağı RPKI: bölgesel kayıt kuruluşlarının imzaladığı, “bu öneki şu otonom sistem ilan edebilir” diyen belgeler (ROA). Her yola üç durumdan biri veriliyor: kayıt yoksa NotFound, kayıt varsa ve ilan eden uyuyorsa Valid, kayıt varsa ama ilan eden uymuyorsa Invalid. 2020’lerde büyük operatörlerin çoğu Invalid yolları düşürmeye başladı.

Yöntemin sınırı da belli: yalnızca ilk halkayı, yani ilanı başlatanı denetliyor. Yolun ortasına sokulmuş bir yalanı yakalamak için tasarlanan ve yolun tamamını imzalayan BGPsec 2017’de standartlaştı ama sahada neredeyse hiç kullanılmıyor; daha hafif bir yöntem olan ASPA üzerinde çalışılıyor.

İşletme tarafında iki ucuz savunma daha var. Birincisi bir sayaç. Bir komşudan kabul edilecek yol sayısına tavan konur; komşu bir anda bütün tabloyu ilan etmeye kalkarsa oturum kapanır ve hata yayılmadan durur. İkincisi oturumun kendisini korur (GTSM): paketler TTL 255 ile gönderilir ve alıcı tam 255 bekler, çünkü birkaç router ötedeki biri bu değeri üretemez; her router TTL’i bir azaltıyordu.

Aynı öneki birden çok yerden ilan etmenin meşru bir kullanımı da var. 16. bölümde içerik dağıtım ağı aynı içeriği birden çok kenar sunucudan sunuyordu; anycast’in routing tarafını buraya bırakmıştım. O ilanı taşıyan şey BGP. Kendi ağının içindeki anycast’ten farkı denetimde: küresel ölçekte routing sistemi başkalarının elinde. Hangi düğümün hizmet vereceğine o sistem karar verir, ölçüt de isteğin ağın hangi noktasından doğduğudur. Sunucu seçimi application layer’da yapılmaz, yol seçiminin yan ürünü olarak çıkar.

Böylece omurga sorularından üçüncüsünü kapatabiliriz.

Omurga sorusu 3: Kimsenin yolun tamamını bilmediği bir ağda paket yolunu nasıl buluyor?

Yolu tek parça hâlinde gören kimse yok. Her otonom sistem yalnızca komşusunun ilettiği güzergâh listesini biliyor ve kendi payına düşen tek adımı seçiyor. Bütün yol, o tek adımlık kararların uç uca eklenmesinden çıkıyor.

Bir öneki kimin ilan ettiğini kendi makinenden sorabilirsin.

curl -s 'https://stat.ripe.net/data/prefix-overview/data.json?resource=1.1.1.0/24'

Cevaptaki iki alan yetiyor.

"announced": true
"asns": [ { "asn": 13335, "holder": "CLOUDFLARENET - Cloudflare, Inc." } ]

Birincisi önekin şu anda ilan edildiğini, ikincisi ilan edenin kim olduğunu söylüyor. Aynı servisten ilanın kaynak doğrulamasından geçip geçmediğini de sorabilirsin:

curl -s 'https://stat.ripe.net/data/rpki-validation/data.json?resource=13335&prefix=1.1.1.0/24'

Cevaptaki "status": "valid", bu öneki 13335’in ilan etmesine izin veren imzalı bir kaydın bulunduğunu söylüyor.

Özet

• Otonom sistem bir yönetim sınırıdır: tek bir kuruluşun elindeki router ve ağ kümesidir, kendi içinde bağlıdır ve dışarıya tek bir routing planı gösterir.
• Para merdivenden yukarı akar: erişim ISP’si ikinci kademeye, ikinci kademe birinci kademeye geçiş ücreti öder; birinci kademeler kimseye ödemez ve birbirine bedelsiz eşlenir.
• BGP oturumu tek borudur: 179 numaralı portta yarı kalıcı bir TCP bağlantısı kurulur, dört mesaj hep oradan geçer ve sessizliği KEEPALIVE doldurur.
• Path vector güzergâhı taşır: komşuya bir maliyet sayısı gitmediği için döngü denetimi listede kendi numaranı aramaya iner.
• Politika kısa yolu ezebilir: yerel tercihe AS_PATH’ten önce bakılır, çıkış kapısını da sıcak patates seçer.
• İlan kendiliğinden denetlenmez: protokol ilan edenin yetkisini sormaz, o boşluğu kaynak doğrulaması ile yol sayacı sonradan kapatır.

Paket sınırdan çıktı ve yolunu kimsenin tek başına çizmediği bir haritada buldu. Geri dönecek cevabın da bir adrese ihtiyacı var. Peki paket eve dönerken kendi adresini nasıl bulacak?