Патчкорд

Традиционные отчёты Geoff Huston о состоянии таблиц маршрутизации Интернет за прошедший год по количеству и по динамике. Стабильно замедляемся, IPv6 теперь линейно растёт, а IPv4 уже не линейно, а всё медленее и медленнее, но Geoff тут оставляет надежду и выбор из вариантов для возобновления роста. В динамике апдейтов всё стабильно, ещё год должны пройти.

https://csrc.nist.gov/pubs/sp/800/189/r1/ipd
"This document provides technical guidance and recommendations to improve the security and resilience of Internet routing based on BGP. Technologies recommended in this document for securing Internet routing include Resource Public Key Infrastructure (RPKI), Route Origin Authorization (ROA), ROA-based route origin validation (ROA-ROV), and prefix filtering. Additionally, the technologies recommended for mitigating DDoS attacks focus on the prevention of IP address spoofing using source address validation (SAV) with access control lists (ACLs) and unicast Reverse Path Forwarding (uRPF). Other technologies are also recommended as part of the overall security mechanisms, such as remotely triggered black hole (RTBH) filtering and flow specification (Flowspec)."

Пока у нас выходные в NIST о безопасности BGP думают.

Результаты роста Интернет за 2024 год на коллекторе RRC0 из @FullViewBGPbot. Плюс ещё порядка 32000 префиксов IPv4 и 26000 префиксов IPv6. Сравнивая с 2023 годом можем сказать что не стало хуже, если делать себе скидку на погрешности измерений, рост IPv4 в абсолютных цифрах чуть больше, рост IPv6 чуть меньше, но всё это укладывается в линейную зависимость. С ускоренным ростом IPv6, на возвращение которого я где-то ещё надеялся, можно попрощаться окончательно. Общее количество IPv4 стабильно больше миллиона, но значение на коллекторе слегка завышено относительно того что видит рядовой провайдер получая полную таблицу маршрутов, но миллион и там не далеко.
Автономных систем с IPv4 приросло на 1000, с IPv6 на 2000. В 2023 году примерно также, хотя в IP4 рост был больше, но этот рост пришёлся на пик в конце года, который закончился уже в начале 2024.
Зафиксируем и количество /24 префиксов IPv4, которых стало 61%, а /48 в IPv6 стало почти 46%, рост и там и там порядка 1%.

Для тех кто и дня не может прожить без Интернет. Поздравляю всех с наступившим 2025 годом и смотрим на итоги прошедшего года самой большой сети в мире, где всё кажется понятными и предсказуемым, по крайней мере, если смотреть издалека.

Пятничный тест youtube - домашняя лаборатория и термин "домашняя" вас не должен смущать, главное тут "лаборатория".

Описание насущных проблем IPv6 при наличии нескольких интерфейсов у хоста и/или нескольких маршрутизаторов в одном сегменте сети, и "Я же говорил" в исполнении Ивана Пепельняка.

Если вам критично время ответа DNS, то свои записи надо держать на anycast серверах, а не множить список уникастовых NS в разных частях света. Выбор ближайшего сервера из этого списка не гарантирован, не описан в стандарте, и на практике может происходить всякое разное.

Большой плюс облаков в том что можно напрямую, а не косвенно, посчитать качество вашего программного обеспечения. Потому что каждое действие стоит денег и чем оптимальнее эти действия выполняются, тем меньше денег вы тратите. Когда инженерная проблема сразу выражается в бизнес метриках.

После этого поста мне сразу напомнили, за что могу сказать большое спасибо, я очень рад вашим комментариям, что я слишком уж грубо обошёлся с провайдерами которые не ценят оптику. Конечно ценят и стали ценить ещё больше и считать бюджеты для GPON, когда он стал широко распространяться и для DWDM у кого он есть тем более. Оптика для провайдера рабочий инструмент и отношение к нему рабочее, а не лабораторное, а рабочие отношения всегда менее щепитильные.

Годовой отчёт Cloudflare Radar из которого вы узнаете что трафик растёт, у Starlink аж в 3 раза, Yandex второй поисковик после Google, самая эксплуатируемая уязвимость до сих пор Log4j, по скорости загрузки и отдачи лучше всех Испания, больше всего ботов в США, а также увидеть карту IPv4 по распределению трафика и не только. Спасибо большое нашему подписчику за ссылку и за то что напомнили её посмотреть.

В AWS формализовали, как минимум описали, должность Principal Engineer по ролям. Мне с трудом видится как на эти роли можно назначить, до них можно дорасти, их можно забрать, они в принципе могут пустовать или быть размазаны по нескольким людям. Главное во всём этом, со стороны Principal Engineer это возможность и умение говорить последнее слово, принимать решения которые будут выполняться командой, которая не сомневается в том что человек принявший решение и есть Principal Engineer, даже если он так и не называется и не имеет формальной должности или роли.

А помните, кстати, про ipv4flagday.net, осталось без малого 5 лет, а потом всё сломают, как минимум так планировалось. 5 лет, с учётом сегодняшних темпов - мало.

Сравнение количества адресов IPv4 и IPv6 по аналогии сравнения объектов в космосе. Математически всё верно и наглядно, но сравнивать в лоб не совсем корректно по той причине что способы распределения IPv6 и IPv4 разные.
IPv6 пространство это не сплошной объём заполненный адресами, а лишь сгустки этих адресов между гигантскими незанятыми пространствами. Для конечной /64 подсети это особенно наглядно. Остальное стремиться выровняться по 4-х битной границе или скорее 16-ти битной границе хекслета, потому что IPv6 адресам при планировании стремятся придать наглядную (удобочитаемую человеком) структуру, что в IPv4 уже не сделать, лишь бы всё уместилось. Если приводить космические аналогии, то все IPv4 - это одна звезда, а IPv6 - звёздное скопление или даже галактика, с гигантскими незанятыми пространствами между звёздами.

Тут wildberries выкатил набор утилит для анализа и визуализации сетевого трафика.

We support:
- Collecting network packets passing through nftables rules marked as 'nftrace set 1'.
- Storing collected traces in the Clickhouse database.
- Providing access to stored traces and flexible analytics.

Visor includes following utilities:
- pkt-tracer - daemon for collecting network packets that pass through nftables rules marked as 'nftrace set 1', and forward them to a server for storage.
- trace-hub - server that implements an API for receiving and storing traces in a database and providing access to them via an API.
- visor-cli - command-line network traffic analyzer for fetching and analyzing traces by applied filters.
- visor-ui - terminal user interface tier of visor-cli.

https://github.com/FR-Solution/pkt-tracer

В nftables существует метка для правил nftrace set 1; когда вы её устанавливаете, netlink может отслеживать трассировку трафика. Этот инструмент позволяет перехватывать данные и отправлять их в ClickHouse. Если имеется централизованный инструмент управления этими метками например SGroups (https://h-bf.prorobotech.ru/), то можно включать и отключать детектирование. Далее есть API-шлюз, через который можно получить трассировки по фильтрам и как в Cilium Hubble Relay (https://docs.cilium.io/en/stable/internals/hubble/#hubble-relay) визуализировать весь трафик со всех нод. Кроме того, он показывает, какое правило пропустило этот трафик, как оно выглядело на хосте и его расположение в момент разрешения.

И ещё один свежий проектик на GitHub от WB.

Поиск устройств Cisco и Arista и построение карты сети с отображением и возможностью экспорта в yEd и draw.io. Secure Cartography с пылу с жару на Github. Внутри Python, NetworkX, Paramiko.