Czym jest MANRS?

MANRS (Mutually Agreed Norms for Routing Security) to globalna inicjatywa, która definiuje zestaw uzgodnionych norm poprawiających bezpieczeństwo routingu w Internecie. Adresowana jest przede wszystkim do operatorów sieci, dostawców IXP, dostawców usług chmurowych i CDN oraz dostawców sprzętu. MANRS ma ograniczyć najczęstsze zagrożenia protokołu BGP, takie jak przejęcia tras (hijacks) i wycieki tras (route leaks), poprzez wdrożenie konkretnych, mierzalnych działań technicznych.

Protokół BGP powstał w czasach, gdy Internet opierał się na wzajemnym zaufaniu między uczestnikami, i z założenia nie weryfikuje, czy sieć ogłaszająca daną pulę adresów rzeczywiście ma do niej prawo. MANRS nie zastępuje BGP. Dostarcza wspólne ramy dobrych praktyk, które wypełniają tę lukę i które operatorzy mogą zadeklarować oraz utrzymywać.

Cztery podstawowe działania MANRS

Program dla operatorów sieci opiera się na czterech działaniach. Pierwsze trzy są obowiązkowe dla uczestnictwa, czwarte jest silnie rekomendowane:

• Filtrowanie (filtering): zapobieganie propagacji nieprawidłowych informacji o trasach. Operator definiuje, jakie prefiksy może ogłaszać dany sąsiad BGP, i odrzuca ogłoszenia spoza tej listy, korzystając z baz IRR oraz RPKI.
• Anti-spoofing: zapobieganie ruchowi z fałszywym adresem źródłowym IP. Realizuje się je przez filtrowanie pakietów na brzegu sieci, najczęściej zgodnie z BCP 38 i uRPF, co utrudnia ataki DDoS z podszywaniem.
• Koordynacja (coordination): utrzymywanie aktualnych i publicznie dostępnych danych kontaktowych, na przykład w bazach PeeringDB, RIR i obiektach IRR, aby inni operatorzy mogli szybko reagować na incydenty.
• Globalna walidacja (global validation): publikowanie własnej polityki routingu, w tym poprawnych obiektów ROA w RPKI, dzięki czemu inni mogą walidować, czy ogłoszenia danej sieci są autentyczne.

Dlaczego bezpieczeństwo routingu ma znaczenie

Incydenty routingu mają realne, mierzalne skutki. Przejęcie tras polega na ogłoszeniu przez sieć cudzej puli adresów, co może przekierować ruch, umożliwić podsłuch lub spowodować niedostępność usług. Wyciek tras to nieumyślne ponowne ogłoszenie tras, które nie powinny być propagowane dalej, na przykład tras od jednego dostawcy tranzytowego do drugiego. Oba zjawiska zdarzają się regularnie i często wynikają z błędów konfiguracji, a nie celowego ataku.

Działania MANRS wzajemnie się wzmacniają. Filtrowanie i walidacja RPKI ograniczają skutki błędów u sąsiadów, anti-spoofing redukuje skalę ataków wolumetrycznych, a dobra koordynacja skraca czas reakcji. Im więcej sieci wdraża te normy, tym mniejsza przestrzeń dla propagacji błędnych tras w całym ekosystemie.

Co oznacza zgodność z MANRS dla operatora

Bycie zgodnym z MANRS oznacza zadeklarowanie i faktyczne utrzymywanie wymaganych działań oraz wpisanie się na publiczną listę uczestników. Dla operatora to czytelny sygnał dla partnerów peeringowych i klientów, że sieć stosuje sprawdzone praktyki higieny routingu. W praktyce wdrożenie sprowadza się do konfiguracji filtrów prefiksów, włączenia walidacji RPKI na routerach brzegowych, wdrożenia BCP 38 oraz utrzymywania aktualnych obiektów w IRR i RPKI. Zgodność nie jest jednorazowa. Wymaga bieżącego utrzymania, ponieważ polityki i przydziały adresów się zmieniają.