Resumen
El complejo sistema de infraestructura global de Internet requiere la colaboración y acción responsable de diversas partes interesadas para mantener la salud y estabilidad. Uno de los desafíos críticos que enfrenta el ecosistema de Internet es la fuga de tráfico DNS reverse lookup relacionado con direcciones IP privadas. Este artículo propone el despliegue de nodos AS112, una solución técnica para abordar este problema e invita a otras redes a adoptar un enfoque similar, contribuyendo a un Internet más resiliente y eficiente.
Introducción
Internet es una parte esencial de nuestra vida diaria; las organizaciones que gestionan grandes redes desempeñan un papel importante en garantizar una experiencia de usuario estable y confiable. El tráfico DNS reverse lookup asociado con direcciones IP privadas, según lo definido en RFC 1918 RFC 6598, a menudo se filtra al Internet público debido a configuraciones erróneas u otros factores. Este tráfico no deseado carga innecesariamente la infraestructura global de DNS e impacta el rendimiento general de la red. Los nodos AS112 ofrecen un servicio distribuido sinkhole, absorbiendo este tráfico y mitigando los efectos en el ecosistema de Internet.
¿Qué es AS112?
Imagina que marcas accidentalmente un número de teléfono que no existe. En lugar de contactar a alguien, esperarías escuchar un mensaje diciendo que el número no está en servicio. Ahora, piensa en Internet como una guía telefónica masiva, pero en lugar de números de teléfono, tenemos direcciones de sitios web y servicios en línea. A veces, personas o sistemas intentan erróneamente alcanzar direcciones inexistentes reservadas para uso privado (como una línea telefónica privada que no está listada en el directorio público).
AS112 es como un operador amable en este vasto sistema telefónico en línea. En lugar de dejar que las llamadas equivocadas molesten el conmutador principal (el Internet raíz), AS112 interviene y dice: “Oye, la dirección no existe o es privada. Por favor, verifica e inténtalo de nuevo”. Al hacer esto, AS112 ayuda a reducir el tráfico innecesario y asegura que el conmutador principal no se vea abrumado por llamadas equivocadas.
¿Por qué es importante AS112?
-Reduciendo Tráfico Innecesario: Al igual que una línea telefónica ocupada, Internet se congestiona con demasiadas solicitudes. Al manejar llamadas equivocadas, AS112 asegura que el sistema principal funcione sin problemas.
-Protegiendo el Internet Central: El internet raíz es vital para las actividades en línea de todos. AS112 actúa como guardián, asegurando que la raíz no esté sobrecargada con solicitudes irrelevantes.
-Ayudando a Sistemas Personas: al responder solicitudes erróneas, AS112 proporciona retroalimentación, lo que puede ayudar a identificar y corregir errores.
En esencia, AS112 es como un operador útil en el vasto mundo de Internet, asegurando que todo funcione sin problemas ni ineficiencias.
Solución Técnica
Los nodos AS112 estratégicamente ubicados dentro de la red absorben el tráfico mal dirigido de búsqueda inversa DNS para direcciones IP privadas. Al desplegar nodos, las organizaciones pueden descargar tráfico no deseado y reducir la carga en la infraestructura global local de DNS. La implementación de nodos AS112 implica los siguientes pasos:
- Determinar ubicaciones óptimas para nodos AS112 basándose en patrones de tráfico y topología de red.
- Configurar los nodos AS112 con el software apropiado, BIND o Knot DNS, para manejar el tráfico de búsqueda inversa DNS en rangos específicos de direcciones IP privadas.
- Anunciar el prefijo AS112 en la tabla de enrutamiento global a través del Sistema Autónomo (AS) de la organización para atraer tráfico mal dirigido.
- Monitorear nodos AS112 para asegurar el manejo efectivo del tráfico de búsqueda inversa; ajustar configuraciones según sea necesario.
Recomendaciones de Despliegue para AS112
Elección de Dirección IP
Usar direcciones IP dedicadas asignadas a nodos AS112. Esto asegura que el nodo sea reconocido como parte del proyecto AS112 y maneje tráfico específico dirigido hacia él.
Usar BGP (Border Gateway Protocol)
Se debe usar BGP para anunciar la presencia de redes vecinas del nodo AS112. Esto ayuda a dirigir el tráfico apropiado al nodo.
Se recomienda usar comunidades BGP para controlar el alcance del anuncio, asegurando que llegue a la audiencia prevista.
Consideraciones del Entorno de Red
- Internet Público: Si se despliega en internet público, asegúrese de que el nodo sea accesible en todas las partes de internet. Esto podría implicar coordinar con proveedores de servicios de internet para asegurar que no haya filtros bloqueando el tráfico.
- Puntos de Intercambio de Internet (IXPs): Para nodos desplegados en IXPs, es esencial asegurar que el nodo maneje un volumen de tráfico típico de la ubicación. Además, la coordinación con el operador del IXP es crucial.
- Redes Privadas: Si el nodo está destinado a una red privada, asegúrese de que solo sirva a la red específica y no anuncie su presencia en Internet general.
Consideraciones sobre Anycast
Método Anycast donde la misma dirección IP es utilizada por múltiples nodos en diferentes ubicaciones. ayuda a distribuir la carga asegurando tiempos de respuesta más rápidos.
Si se utiliza Anycast, asegúrese de que todos los nodos usen datos de configuración consistentes con la misma dirección IP. esto asegura que los usuarios reciban la misma respuesta independientemente al nodo al que se conecten.
Monitoreo Operacional
Monitorear regularmente la operación del nodo para asegurar su correcto funcionamiento. Esto incluye verificar actualizaciones de software, monitorear niveles de tráfico y asegurar que el nodo responda a las consultas esperadas.
Coordinación
Es beneficioso coordinarse con otros operadores AS112, especialmente al realizar cambios o actualizaciones significativas. ayuda a compartir mejores prácticas asegurando una operación consistente en todos los nodos.
Estas recomendaciones de despliegue de alto nivel AS112 basadas en RFC. proporcionan pautas para asegurar que el nodo opere eficientemente y sirva a su propósito previsto en el ecosistema general de Internet.
Consideraciones de Seguridad AS112
Idealmente, los hosts nunca deben enviar consultas a servidores de AS112. Las consultas relacionadas con direcciones de uso privado deben responderse localmente dentro del sitio. Si los hosts envían consultas a servidores de AS112, podrían filtrar inadvertidamente información sobre la red pública de infraestructura privada. Esto podría plantear un riesgo de seguridad.
Registro por Operadores de AS112
Los operadores de AS112 podrían registrar información recibida. Estos datos registrados podrían estar sujetos a varios riesgos de seguridad y privacidad. Sin embargo, los riesgos existen independientemente de si hay servidores autoritativos para las zonas en la infraestructura pública de DNS.
Tráfico Inesperado
Las consultas respondidas por servidores de AS112 son típicamente involuntarias, lo que significa que las respuestas de los servidores de AS112 suelen ser inesperadas. Este tipo de tráfico entrante inesperado podría activar sistemas de detección de intrusiones o firewalls. Los operadores de servidores AS112 deben prepararse para consultas de operadores de infraestructura remota que podrían creer erróneamente que la seguridad ha sido comprometida.
Posible Malentendido
Los operadores de servidores AS112 podrían ser contactados por individuos que creen erróneamente que las respuestas de los nodos AS112 son un ataque a su infraestructura. La orientación para quienes tienen conceptos erróneos se puede encontrar en [RFC6305].
Coordinación Floja
El despliegue de nodos AS112 no está tan coordinado como otros servicios distribuidos usando anycast. Esto dificulta detectar compromisos maliciosos en un nodo AS112 o la subversión de datos servidos por el nodo debido a la falta de gestión centralizada.
Vector de Ataque Potencial
Cambiar las respuestas a las consultas recibidas por los nodos AS112 podría influir en el comportamiento de los hosts que envían consultas. Dicho compromiso podría usarse como vector de ataque contra infraestructura privada.
Medidas de Protección
Los operadores de AS112 deben asegurar que los nodos AS112 estén protegidos contra compromisos. Se deben emplear medidas similares a las utilizadas para servidores de nombres de producción o infraestructura de red. La guía proporcionada para root nameservers en [RFC2870] podría ser útil.
Consideraciones sobre DNSSEC
Las zonas alojadas por los servidores AS112 no están firmadas con DNSSEC. Dada la estructura distribuida y poco coordinada del servicio AS112, firmar las zonas requeriría material de clave privada efectivamente público, lo que anularía cualquier beneficio de seguridad al usar esas claves.
En esencia, aunque AS112 proporciona un servicio valioso en el manejo de consultas DNS para direcciones IP no enrutables, hay varias consideraciones de seguridad que los operadores y usuarios deben conocer. El conocimiento de medidas adecuadas puede ayudar a mitigar riesgos potenciales.
Implementación AS112 de EdgeUno
EdgeUno, proveedor líder de infraestructura de internet en América Latina, ha adoptado proactivamente el proyecto AS112 para mejorar la eficiencia y confiabilidad de su expansiva red. Reconociendo la importancia de manejar consultas DNS con direcciones IP no únicas a nivel global, EdgeUno ha implementado nodos AS112 de manera estratégica:
Distribución Geográfica: Los nodos AS112 de EdgeUno están desplegados estratégicamente en ocho ubicaciones clave de América Latina. Estas ubicaciones incluyen:
-Colombia
-Mexico, specific nodes in MEX1, GLD1, QRO1
-Chile
-Miami (sirviendo punto de conexión vital para América Latina)
-Brazil
-Argentina
Este amplio despliegue garantiza que las consultas DNS originadas en diversas partes de la región sean manejadas eficientemente, reduciendo tráfico innecesario y mejorando la experiencia del usuario.
Especificaciones Técnicas
-Sistema Operativo: Los nodos AS112 de EdgeUno funcionan en servidores impulsados por Linux Debian, un sistema operativo robusto y confiable conocido por su estabilidad y seguridad.
-Daemon de Enrutamiento: La elección del daemon de enrutamiento BIRD garantiza capacidades de enrutamiento dinámico eficiente, permitiendo que los nodos AS112 gestionen eficazmente el tráfico DNS y respondan consultas.
-Capaz de IPv4 / IPv6
-Analíticas de Monitoreo
EdgeUno emplea una combinación de monitoreo Grafana InfluxDB para los nodos AS112. Esta configuración proporciona:
Visualización en tiempo real del rendimiento y tráfico de los nodos a través de los paneles interactivos de Grafana.
Recuperación eficiente de datos con InfluxDB, asegurando que cualquier anomalía o problema sea identificado y resuelto rápidamente.
Llamada a la Acción
Invitamos a otras redes a considerar implementar nodos AS112 dentro de su infraestructura para lograr los siguientes beneficios:
- Mejorar la salud general y estabilidad del ecosistema global de Internet, reduciendo la carga en los servidores raíz DNS.
- Mejorar el rendimiento local de DNS contribuye a un mejor rendimiento de la red para los clientes.
- Demostrar compromiso de la comunidad Internet tomando un papel proactivo en el mantenimiento de su infraestructura.
- Fomentar la colaboración entre operadores de red, partes interesadas para abordar desafíos comunes y promover prácticas responsables de Internet.
Conclusión
Desplegar nodos AS112 es un paso responsable importante para las organizaciones que gestionan grandes redes. Al adoptar una solución técnica, los operadores de red pueden contribuir a un Internet más resiliente y eficiente, beneficiando a los clientes y a la comunidad online en general. Por lo tanto, animamos a otras redes a explorar la implementación de nodos AS112 y unirse al esfuerzo colectivo para mantener y mejorar la infraestructura global de Internet.
Referencias
- RFC 7534 – Operaciones del Servidor de Nombres AS112
- Sitio Web Oficial de EdgeUnohttps://edgeuno.com/
- RFC 1918 – Asignación de Direcciones para Internet Privados
- RFC 6598 – Prefijo IPv4 Reservado por IANA para Espacio de Direcciones Compartido
