Doğrulanmış yönlendirme, bir ağın hangi trafik rotalarını duyurmaya yetkili olduğunu imzalı kayıtlarla teyit eden bir kontrol katmanıdır; teknik adıyla RPKI. İnternette veri paketleri hedefe giderken izleyecekleri yolu, ağların birbirine yaptığı “buradan geçebilirsiniz” duyurularıyla seçer ve bu duyurular varsayılan olarak sorgusuz kabul edilir. Layer Sistem, kendi otonom ağı ve kendi omurgası üzerinde bu duyuruları doğruladığı için trafiğin sahte bir rotaya sapmasını baştan engeller. Yaygın inanışın aksine, internette trafiğin “doğru yoldan gittiği” bir garanti değil, bir varsayımdır. Bu yazıda o varsayımın neden kırılgan olduğunu ve doğrulanmış yönlendirmenin bu boşluğu nasıl kapattığını jargona boğmadan anlatıyoruz.
İnternette veri her zaman doğru yoldan mı gider?
Hayır, internette veri her zaman doğru yoldan gitmez. İnternet, birbirine bağlı binlerce bağımsız ağın karşılıklı güven üzerine kurduğu bir yapıdır. Her ağ komşularına “şu adres bloğuna giden trafiği bana yollayın, ben iletirim” der. Bu duyuruyu alan diğer ağlar, duyuran tarafın gerçekten o bloğa sahip olup olmadığını çoğu zaman kontrol etmez. Yani sistem, herkesin doğru söylediği varsayımıyla çalışır. Bir ağ, kasıtlı ya da yanlış yapılandırma sonucu kendisine ait olmayan bir adres bloğunu duyurduğunda, o adrese giden trafik yanlış tarafa akmaya başlar. Kağıt üzerinde küçük bir hata gibi görünür. Pratikte bir kurumun trafiğinin saatlerce tanımadığı bir ağa yönlenmesi anlamına gelebilir, üstelik dışarıdan bakınca her şey çalışıyormuş gibi durur.
Doğrulanmış yönlendirme tam olarak nedir?
Doğrulanmış yönlendirme, bir rota duyurusunun gerçekten yetkili sahibinden gelip gelmediğini teyit eden bir imza kontrol sistemidir. Mantığı tapu kaydına benzer. Her adres bloğunun kime tahsis edildiği, güvenilir kayıt otoritelerinin imzaladığı bir kayda bağlanır. Bir ağ “bu bloğa giden trafik benden geçsin” dediğinde, komşu ağlar bu kaydı kontrol eder ve imza tutmuyorsa duyuruyu reddeder. Jargonsuz haliyle: kapıdaki görevli içeri girmek isteyen herkesten kimlik ister, kimliği kaydıyla eşleşmeyeni geri çevirir. RPKI bu kontrolü trafik yönlendirmesine uygular. Sonuç, sahte ya da hatalı bir “bu yol benim” duyurusunun ağ tarafından kabul edilmemesidir. Doğrulanmış yönlendirme devredeyse, sisteme giren her rota önce kaydına bakılarak süzülür.
Trafik yanlış yola nasıl sapar?
Trafik, bir ağ sahibi olmadığı bir adres bloğunu duyurduğunda yanlış yola sapar. İki tipik senaryo vardır. Birincisi kaza: bir operatör yapılandırmada hata yapar, yanlışlıkla başka bir kurumun adres bloğunu kendi bloğuymuş gibi ilan eder, komşu ağlar bunu doğrulamadan kabul eder ve trafik o operatöre akar. İkincisi kötü niyet: bir taraf, hedef trafiği kendi üzerinden geçirip dinlemek ya da kesmek için bilerek sahte rota duyurur. Doğrulama katmanı yoksa iki durumda da fark anında anlaşılmaz. Trafik dışarıdan çalışıyor görünürken aslında tanımadığınız bir ağ üzerinden dolaşır. Doğrulanmış yönlendirme açıkken bu sahte duyurular baştan reddedildiği için trafik tanımlı, teyit edilmiş rotasında kalır. Fark, sorun çıktıktan sonra değil, çıkmadan önce devreye giren bir kontrol olmasıdır.
Neden çoğu sağlayıcıda doğrulanmış yönlendirme tam kurulu değil?
Çoğu sağlayıcıda doğrulanmış yönlendirme tam kurulu değildir, çünkü bu sağlayıcılar kendi omurgalarına sahip olmayıp bağlantıyı başka operatörlerden kiralar. Doğrulama, yalnızca rotayı duyuran ve ileten katman sizin kontrolünüzdeyse uçtan uca anlam kazanır. Ağını kiralayan bir sağlayıcı, trafiğin geçtiği rotaların hangi kurallarla doğrulandığına karar veremez; o kararı kiraladığı tarafın altyapısı verir. İkinci bir neden, doğrulamanın sürekli bakım istemesidir. Kayıtların güncel tutulması, imzaların yenilenmesi, hatalı kayıtların ayıklanması emek ister ve bu emek görünmediği için sıklıkla ertelenir. Sonuçta pek çok yerde rota duyuruları hâlâ “duyurana güven” mantığıyla kabul edilir. Bu, sistem çökene kadar sorun görünmeyen, çöktüğünde ise kaynağı geç anlaşılan bir açıktır.
Egemen omurga trafiğin doğru yoldan gitmesini nasıl güvence altına alır?
Egemen omurga, rota duyurularının doğrulandığı katmanı sağlayıcının kendi kontrolüne aldığı için trafiğin doğru yoldan gitmesini güvence altına alır. Layer Sistem, internet çıkışından veri saklama katmanına kadar zinciri kendi otonom ağı ve kendi omurgası üzerinde yönetir. Bu, rota duyurularını başka bir operatörün insafına bırakmak yerine doğrulanmış rotalar üzerinden geçirmek demektir. Trafik tanımlı ve teyit edilmiş yollardan aktığı için sahte bir duyuruyla başka bir ağa kaçırılması zorlaşır. Verinin Türkiye’de kalması da yalnızca fiziksel konumla değil, izlediği rotanın kontrol altında olmasıyla tam anlam kazanır: veri yurt içinde dursa bile rota dışarıya sapıyorsa egemenlik eksik kalır. Layer bu iki katmanı birlikte tutar. Bir sorun çıktığında muhatabınız bir çağrı kuyruğu değil, rotayı gören mühendistir.
Doğrulanmış yönlendirme bir kurum için neden önemli?
Doğrulanmış yönlendirme, bir kurumun verisinin nereden geçtiğini bilmesi ve o yolu güvenceye alması açısından önemlidir. Bir sözleşme, bir mevzuat uyumu ya da bir güvenlik denetimi çoğunlukla “veri nerede duruyor” sorusuna odaklanır. Oysa veri hareket halindeyken izlediği rota da en az durduğu yer kadar belirleyicidir. Rotanın doğrulanmadığı bir yapıda, verinin bir an için tanımadığınız bir ağdan geçmesi ve bunun kayıtlara bile düzgün yansımaması mümkündür. Doğrulanmış yönlendirme bu boşluğu kapatır, trafiğin izlediği yolu tahmin edilebilir ve denetlenebilir kılar. Egemen bir omurga üzerinde çalışıldığında bu güvence tek tek isteklere değil, altyapının kendi tasarımına gömülüdür.
Özetle neyi hatırlamalı?
İnternette trafiğin doğru yoldan gittiği bir varsayımdır, garanti değil. Rota duyuruları varsayılan olarak sorgusuz kabul edildiği için trafik kaza ya da kötü niyetle yanlış bir ağa sapabilir. Doğrulanmış yönlendirme, bir rotanın gerçek sahibinden gelip gelmediğini teyit ederek sahte duyuruları reddeder. Bu doğrulama ancak rotayı ileten katman sizin kontrolünüzdeyse uçtan uca çalışır; ağını kiralayan sağlayıcılar bu güvenceyi tam veremez. Layer Sistem, kendi otonom ağı ve kendi omurgası üzerinde doğrulanmış rotalar sunarak trafiğin tanımlı yolda kalmasını altyapı seviyesinde güvence altına alır. Egemenlik, verinin nerede durduğu kadar hangi yoldan geçtiğiyle de ölçülür.
İletişim: +90 850 500 0 166 | info@layersistem.com | www.layersistem.com