On 5768-06-26 02:27:45 +0100, Łukasz Bromirski <f...@t...arms> said:

>>>> http://www.ripe.net/news/study-youtube-hijacking.htm
l
>>>> Jak widać wcale nie tak trudno ;)
>>> Ktoś tu pisał ostatnio, że filtry w bgp stosują _wszyscy_
>> schizofrenia paranoidalna.... ale dla downlinkow jest ok, w przypadku
>> pewnego poziomu juz sie nie nadaje... bo kto bedzie parsowal kilka
>> tysiecy as'ow ?
>
> Po pierwsze można (jak pisał już Łukasz)[1].

wiem, że można. coś w podobie napisałem dawno temu w pewnej firmie...

> Po drugie to wszystko kwestia dobrych praktyk - panowie z Pakistanu
> próbowali zablokować ruch do youtube ze swojej sieci ale najwyraźniej
> nie zrozumieli do końca blackholingu. Panowie z PCCW Global z kolei
> zapomnieli napisać odpowiednie filtry, które uniemożliwiłyby AS17557
> rozgłaszanie nie swojej przestrzeni adresowej.

to kwestia zaufania... Panowie z PCCW musieli by zrobić filtr na
AS17557 i ich klientów - co być może jest sporą ilością
wpisów/AS'ów/itp.... no, chyba że zaufać AS17557 i ufać, że Panowie z
Pakistanu poprawnie filtrują swoich klientów...

przy pewnej wielkości tej "własnej przestrzeni adresowej" po prostu się
zaczyna ufać sąsiadowi...

> Żeby nie było że post nie w temacie grupy jednak - jeden z polskich
> operatorów, prefix-lista konstrukcji jak poniżej wycina dokładnie
> 10781 prefiksów...

[...]

> Trudno w takiej sytuacji uważać, że na naszym podwórku wszystkie
> problemy zostały już rozwiązane...

trudno jednakże zmusić, nawet dużych do poprawnego tworzenia obiektów
route, ba... w niektórych przypadkach trudno zmusić do zrobienia
poprawnego i aktualnego as-set'a... choć kilka firm wymusza to na
swoich klientach.

pozdr.