Ευρωπαϊκοί ISPs αναφέρουν μυστηριώδη κύματα επιθέσεων DDoS

**paravoid** · 07-09-20, 01:32

Αρχικό μήνυμα από globalnoise

Κομπλέ η ανάλυση και ψιλογνωστά αυτά, αλλά δεν αναιρούν το γεγονός οτι το επόμενο Software Update στο Android σου ή στα Windows, το επόμενο 4K Netflix επεισόδιο ή το επόμενο YouTube video θα το λάβεις από CDN στην κεντρική Ευρώπη (στη καλύτερη) και όχι από το επόμενο hop μετά τον BBRAS που συνδέεσαι.

Δεν ισχύει ακριβώς κάτι τέτοιο. Χωρίς να θέλω να κακολογήσω το edns-client-subnet --ήμουν early adopter του άλλωστε, όταν το έκανα deploy το 2013 σε ένα μεγάλο site--, τα πλεονεκτήματα του εκλείπουν λίγο όταν έχουμε να κάνουμε με τόσο μεγάλους DNS providers όπως η CF.

Αυτό που γίνεται είναι ότι ναι μεν εσύ ρωτάς το 1.1.1.1, αλλά το query που κάνει ο recursor του 1.1.1.1 είναι από την «τοπική» IP του local CF node, το οποίο είναι geolocated στην Ελλάδα (π.χ. σε ένα query που έκανα τώρα, το request ήρθε από το 172.68.61.198, το οποίο π.χ. η MaxMind το κάνει geolocate στην Αθήνα), οπότε και θα λάβεις.

Απλά αυτό προϋποθέτει ότι τα nodes του CDN από όπου θες να κατεβάσεις είναι περισσότερο coarse (λιγότερο distributed) από τα nodes της Cloudflare. Σε σχέση με τα περισσότερα CDNs, το 1.1.1.1 έχει περισσότερα/πιο distributed nodes. Για κάτι όπως το quad9 όμως, προφανώς κάτι τέτοιο δεν ισχύει και όντως το geolocation θα σε βγάλει κάπου κεντρική Ευρώπη.

**globalnoise** · 07-09-20, 11:13

Αρχικό μήνυμα από paravoid

Δεν ισχύει ακριβώς κάτι τέτοιο. Χωρίς να θέλω να κακολογήσω το edns-client-subnet --ήμουν early adopter του άλλωστε, όταν το έκανα deploy το 2013 σε ένα μεγάλο site--, τα πλεονεκτήματα του εκλείπουν λίγο όταν έχουμε να κάνουμε με τόσο μεγάλους DNS providers όπως η CF.

Αυτό που γίνεται είναι ότι ναι μεν εσύ ρωτάς το 1.1.1.1, αλλά το query που κάνει ο recursor του 1.1.1.1 είναι από την «τοπική» IP του local CF node, το οποίο είναι geolocated στην Ελλάδα (π.χ. σε ένα query που έκανα τώρα, το request ήρθε από το 172.68.61.198, το οποίο π.χ. η MaxMind το κάνει geolocate στην Αθήνα), οπότε και θα λάβεις.

Απλά αυτό προϋποθέτει ότι τα nodes του CDN από όπου θες να κατεβάσεις είναι περισσότερο coarse (λιγότερο distributed) από τα nodes της Cloudflare. Σε σχέση με τα περισσότερα CDNs, το 1.1.1.1 έχει περισσότερα/πιο distributed nodes. Για κάτι όπως το quad9 όμως, προφανώς κάτι τέτοιο δεν ισχύει και όντως το geolocation θα σε βγάλει κάπου κεντρική Ευρώπη.

Το οτι είναι geo-located στην Ελλάδα έχει σημασία, αλλά όχι απόλυτη. Βασικά, τα πράγματα είναι απλά:

Ας υποθέσουμε οτι είναι business-critical να χρησιμοποιείς καθημερινά, στο μέγιστο δυνατό performance και με το μικρότερο δυνατό latency, το εξής domain του Azure CDN:

codepushupdates.azureedge.net

Ας υποθέσουμε οτι ο ISP σου είναι η COSMOTE (όπως η δικιά μου περίπτωση):

Με τον DNS της Cloudflare:

Κώδικας:

dig codepushupdates.azureedge.net @1.1.1.1

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 95.100.242.19
a1879.dscw14.akamai.net. 20 IN A 95.100.242.41

Με έστειλε FCO (Ρώμη) με 72.864 ms latency

Με τον DNS της Cosmote:

Κώδικας:

dig codepushupdates.azureedge.net @212.205.212.205

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 212.205.126.42
a1879.dscw14.akamai.net. 20 IN A 212.205.126.25

Με κράτησε εντός OTEnet (Akamai Servers Located in Athens) με 7.368 ms latency

Με τον DNS της Google (που χρησιμοποιεί EDNS Client Subnet):

Κώδικας:

dig codepushupdates.azureedge.net @8.8.8.8

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 212.205.77.146
a1879.dscw14.akamai.net. 20 IN A 212.205.77.147

Με κράτησε πάλι εντός OTEnet με 7.838 ms latency

Ένα άλλο παράδειγμα είναι η χρήση CDN των video services (Netflix, YouTube) που διατηρούν servers μέσα στην OTEGLOBE. Όταν streamάρω 4K προτιμώ το content να έρχεται μέσα από ISP - και όχι "αυθαίρετα" από το κοντινότερο edge server, που μπορεί να είναι στη Βουλγαρία ή την Ιταλία. Με άλλα λόγια δεν αρκεί το geo-location

**dimyok** · 07-09-20, 11:18

Πολυ ενδιαφέρον . Τελικά καταλαβαινεις διάφορα με otenet ;

**BlueChris** · 07-09-20, 11:24

Αρχικό μήνυμα από globalnoise

Το οτι είναι geo-located στην Ελλάδα έχει σημασία, αλλά όχι απόλυτη. Βασικά, τα πράγματα είναι απλά:

Ας υποθέσουμε οτι είναι business-critical να χρησιμοποιείς καθημερινά, στο μέγιστο δυνατό performance και με το μικρότερο δυνατό latency, το εξής domain του Azure CDN:

codepushupdates.azureedge.net

Ας υποθέσουμε οτι ο ISP σου είναι η COSMOTE (όπως η δικιά μου περίπτωση):

Με τον DNS της Cloudflare:

Κώδικας:

dig codepushupdates.azureedge.net @1.1.1.1

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 95.100.242.19
a1879.dscw14.akamai.net. 20 IN A 95.100.242.41

Με έστειλε FCO (Ρώμη) με 72.864 ms latency

Με τον DNS της Cosmote:

Κώδικας:

dig codepushupdates.azureedge.net @212.205.212.205

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 212.205.126.42
a1879.dscw14.akamai.net. 20 IN A 212.205.126.25

Με κράτησε εντός OTEnet (Akamai Servers Located in Athens) με 7.368 ms latency

Με τον DNS της Google (που χρησιμοποιεί EDNS Client Subnet):

Κώδικας:

dig codepushupdates.azureedge.net @8.8.8.8

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 212.205.77.146
a1879.dscw14.akamai.net. 20 IN A 212.205.77.147

Με κράτησε πάλι εντός OTEnet με 7.838 ms latency

Ένα άλλο παράδειγμα είναι η χρήση CDN των video services (Netflix, YouTube) που διατηρούν servers μέσα στην OTEGLOBE. Όταν streamάρω 4K προτιμώ το content να έρχεται μέσα από ISP - και όχι "αυθαίρετα" από το κοντινότερο edge server, που μπορεί να είναι στη Βουλγαρία ή την Ιταλία. Με άλλα λόγια δεν αρκεί το geo-location

Σωστά όλα αυτά αλλά πρέπει να έχεις OTENET, εγώ έχω vodafone στη δουλειά και wind στο σπίτι και είναι ποιο αργή από CloudFlare.... όσο είχα τη μισθωμένη DIA από ΟΤΕ στο μαγαζί και εγώ με ΟΤΕ ήμουν σε DNS.

**fadasma** · 07-09-20, 11:33

Αρχικό μήνυμα από BlueChris

Σωστά όλα αυτά αλλά πρέπει να έχεις OTENET, εγώ έχω vodafone στη δουλειά και wind στο σπίτι και είναι ποιο αργή από CloudFlare.... όσο είχα τη μισθωμένη DIA από ΟΤΕ στο μαγαζί και εγώ με ΟΤΕ ήμουν σε DNS.

Δεν είναι το θέμα οτι αργεί να απαντήσει ο DNS αλλά οτι σε στέλνει σε server που είναι πιο μακριά από εσένα, άρα και πιο αργός.
Δηλ με το Cloudflare κερδίζεις μερικά miliseconds αλλά σε συνδέει στο Netflix που βρίσκεται στην άλλη άκρη της Ευρώπης αντί με το Netflix που βρίσκεται στην Αθήνα.

**globalnoise** · 07-09-20, 11:34

Αρχικό μήνυμα από BlueChris

Σωστά όλα αυτά αλλά πρέπει να έχεις OTENET, εγώ έχω vodafone στη δουλειά και wind στο σπίτι και είναι ποιο αργή από CloudFlare.... όσο είχα τη μισθωμένη DIA από ΟΤΕ στο μαγαζί και εγώ με ΟΤΕ ήμουν σε DNS.

Εννοείς οτι με τους DNS της Vodafone / WIND / Google, ο host που γινόταν resolve ήταν πιο μακρυά από αυτόν που έκανε resolve o 1.1.1.1 της Cloudflare?

**SfH** · 07-09-20, 12:20

Νομίζω ότι προσπαθούμε να συγκρίνουμε λίγο διαφορετικά πράγματα. Σε αρκετούς παρόχους περιεχομένου, έχουμε content/cache nodes που είναι σε παρόχους για αποκλειστική χρήση των πελατών τους ( το οποίο δεν είναι πάντα απόλυτο, αλλά ας αφήσουμε αυτή τη συζήτηση για άλλη μέρα ). Η akamai συγκεκριμένα, η οποία φαίνεται και στο παράδειγμα του globalnoise, είναι μέσα σε όλους τους μεγάλους παρόχους ( ή ήταν την τελευταία φορά που κοίταξα ). Δεν ψάχνει απλά την γεωγραφική τοποθεσία του query, αλλά και αν αυτό ήρθε από κάποιον πάροχο που μπορεί να εξυπηρετήσει τοπικά. Εφόσον η cloudflare για λόγους privacy δεν στέλνει edns-client-subnet , αυτή η πληροφορία είναι αδύνατο να φτάσει στην akamai. Συνεπώς, απαντάει με έναν δημόσιο node που θεωρεί ότι είναι γεωγραφικά κοντά.

**paravoid** · 07-09-20, 12:57

Αρχικό μήνυμα από globalnoise

Το οτι είναι geo-located στην Ελλάδα έχει σημασία, αλλά όχι απόλυτη. Βασικά, τα πράγματα είναι απλά:

Ας υποθέσουμε οτι είναι business-critical να χρησιμοποιείς καθημερινά, στο μέγιστο δυνατό performance και με το μικρότερο δυνατό latency, το εξής domain του Azure CDN:

codepushupdates.azureedge.net

Ας υποθέσουμε οτι ο ISP σου είναι η COSMOTE (όπως η δικιά μου περίπτωση):

Με τον DNS της Cloudflare:

Κώδικας:

dig codepushupdates.azureedge.net @1.1.1.1

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 95.100.242.19
a1879.dscw14.akamai.net. 20 IN A 95.100.242.41

Με έστειλε FCO (Ρώμη) με 72.864 ms latency

Με τον DNS της Cosmote:

Κώδικας:

dig codepushupdates.azureedge.net @212.205.212.205

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 212.205.126.42
a1879.dscw14.akamai.net. 20 IN A 212.205.126.25

Με κράτησε εντός OTEnet (Akamai Servers Located in Athens) με 7.368 ms latency

Με τον DNS της Google (που χρησιμοποιεί EDNS Client Subnet):

Κώδικας:

dig codepushupdates.azureedge.net @8.8.8.8

;; ANSWER SECTION:
...
a1879.dscw14.akamai.net. 20 IN A 212.205.77.146
a1879.dscw14.akamai.net. 20 IN A 212.205.77.147

Με κράτησε πάλι εντός OTEnet με 7.838 ms latency

Ένα άλλο παράδειγμα είναι η χρήση CDN των video services (Netflix, YouTube) που διατηρούν servers μέσα στην OTEGLOBE. Όταν streamάρω 4K προτιμώ το content να έρχεται μέσα από ISP - και όχι "αυθαίρετα" από το κοντινότερο edge server, που μπορεί να είναι στη Βουλγαρία ή την Ιταλία. Με άλλα λόγια δεν αρκεί το geo-location

Αυτό είναι περίπτωση που το resolution που θες είναι πιο λεπτομερές από αυτό που έχει η Cloudflare. Εσύ θες GeoDNS fine-grained σε επίπεδο ISP, ενώ η Cloudflare έχει μόνο σε επίπεδο node Αθήνας. Οπότε ναι, σωστά, DNS του ISP ή public DNS με edns-client-subnet είναι μονόδρομος για να πάρεις GeoDNS responses που είναι τόσο fine-grained. (Ωστόσο νομίζω πως τουλάχιστον το Netflix (αν όχι και το YouTube) εφαρμόζουν άλλες τεχνικές όμως και όχι GeoDNS για το περιεχόμενο -- σου σερβίρουν από την HTML σελίδα του content άλλο DNS hostname, ISP-specific αναλόγως της IP που βλέπουν.)

Παρεπιπτόντως, για περιπτώσεις όπως το CDN της Akamai μπορείς να δοκιμάσεις το whoami service τους για να δεις περισσότερες πληροφοροίες. π.χ. "dig +short TXT whoami.ds.akahelp.net @8.8.8.8" που θα σου δώσει τι «βλέπει» η Akamai ως NS, edns-client-subnet (ECS) καθώς και μια representative IP του subnet. Αντίστοιχα μπορείς να δεις διαφορές μεταξύ 9.9.9.9 και 9.9.9.11 (το δεύτερο έχει ECS).

**SfH** · 07-09-20, 13:13

Αρχικό μήνυμα από paravoid

(Ωστόσο νομίζω πως τουλάχιστον το Netflix (αν όχι και το YouTube) εφαρμόζουν άλλες τεχνικές όμως και όχι GeoDNS για το περιεχόμενο -- σου σερβίρουν από την HTML σελίδα του content άλλο DNS hostname, ISP-specific αναλόγως της IP που βλέπουν.)

Έχεις δίκιο και για το netflix και το youtube. Αν και δεν το έχω ψάξει, δε θα μου έκανε εντύπωση αν το ίδιο έκανε και το facebook.

**netblues** · 07-09-20, 16:08

Οποτε καταληγουμε οτι τελικα πρακτικα δεν εχει σημασια απο που θα κατεβαζουμε. Τα "βαρια" download συχνα δεν χρησιμοποιουν καν dns
Οι isp's εχουν λογο να χρησιμοποιουμε local resources γιατι το bandwidth εξωτερικου κοστιζει, αλλα για τον τελικο χρηστη οι διαφορες ειναι ανυπαρκτες.

Οποτε γιατι τοση αγαπη σε αυτους? Οι root servers ειναι και πιο αξιοπιστοι και ποιο private.

**SfH** · 07-09-20, 16:15

Αρχικό μήνυμα από netblues

Οποτε καταληγουμε οτι τελικα πρακτικα δεν εχει σημασια απο που θα κατεβαζουμε. Τα "βαρια" download συχνα δεν χρησιμοποιουν καν dns
Οι isp's εχουν λογο να χρησιμοποιουμε local resources γιατι το bandwidth εξωτερικου κοστιζει, αλλα για τον τελικο χρηστη οι διαφορες ειναι ανυπαρκτες.

Οποτε γιατι τοση αγαπη σε αυτους? Οι root servers ειναι και πιο αξιοπιστοι και ποιο private.

Η akamai, που σε καμιά περίπτωση δε μπορεί κάποιος να την πει μικρή, χρησιμοποιεί DNS. Πέραν αυτού, ναι, μεμονωμένα δεν είναι κακό να έχουμε δικό μας resolver. Αν όμως αυτό γίνει κοινή πρακτική και για κάθε έναν host έχουμε κι ένα resolver, μόλις αχρηστεύσαμε την αρχιτεκτονική του caching και αυξήσαμε πολύ την κλίμακα ερωτημάτων που πρέπει να απαντάει το όλο DNS οικοσύστημα.

**fadasma** · 07-09-20, 16:58

Αρχικό μήνυμα από SfH

(...) Πέραν αυτού, ναι, μεμονωμένα δεν είναι κακό να έχουμε δικό μας resolver. Αν όμως αυτό γίνει κοινή πρακτική και για κάθε έναν host έχουμε κι ένα resolver, μόλις αχρηστεύσαμε την αρχιτεκτονική του caching και αυξήσαμε πολύ την κλίμακα ερωτημάτων που πρέπει να απαντάει το όλο DNS οικοσύστημα.

Αντιθέτως, χρειαζόμαστε ένα δικό μας resolver που ομως να αλλάζει και να αυξάνει την τιμή του TTL (της εγγραφής DNS), επειδή τα δημοφιλέστερα sites έχουν πολύ μικρό TTL της τάξης των 30 δευτερολέπτων και αυτό αχρηστεύει το caching.

**deniSun** · 07-09-20, 17:00

Αρχικό μήνυμα από fadasma

που ομως να αλλάζει και να αυξάνει την τιμή του TTL

Όσες φορές έπαιξα με αυτό δεν είχα καλά αποτελέσματα.
Σε απλές σελίδες... οκ.
Αλλά σε οτιδήποτε έχει σχέση με google κλπ είχα θέματα.

**netblues** · 07-09-20, 18:09

Αρχικό μήνυμα από SfH

Η akamai, που σε καμιά περίπτωση δε μπορεί κάποιος να την πει μικρή, χρησιμοποιεί DNS. Πέραν αυτού, ναι, μεμονωμένα δεν είναι κακό να έχουμε δικό μας resolver. Αν όμως αυτό γίνει κοινή πρακτική και για κάθε έναν host έχουμε κι ένα resolver, μόλις αχρηστεύσαμε την αρχιτεκτονική του caching και αυξήσαμε πολύ την κλίμακα ερωτημάτων που πρέπει να απαντάει το όλο DNS οικοσύστημα.

Συμφωνουμε απολυτα, αλλα ποσοι ειναι σε θεση να το κανουν τελικα ? Σχολιαζω τη περιπτωση οσων μπορουν, αλλα δεν θελουν, εχοντας παθει οξεια cloudfrontιτιδα.

**BlueChris** · 07-09-20, 19:20

Guilty as charged αλλά θα το δοκιμάσω. Δουλειά δεν είχε ο διάολος να φάω μια μέρα τώρα €€#&+€&().
Κακια παρέα είστε.

Θέμα: Ευρωπαϊκοί ISPs αναφέρουν μυστηριώδη κύματα επιθέσεων DDoS

Tags για αυτό το Θέμα

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές