上周一晚上——2018年11月12日——谷歌和其他一些服务经历了74分钟的宕机。这种情况已经不是第一次了；虽然人们可能会倾向于认为坏人在作案，但这样的事件只能证明，数据包是如何从互联网上的某一点传输到另一个。我们的日志显示，周一21:12，尼日利亚ISP MainOne，意外地错误配置他们的网络部分，导致"路由泄漏"。这导致谷歌和其他一些网络被路由到不寻常的网络路径上。像这样的事件实际上经常发生，但是在这种情况下，Google用户产生的流量非常大，以至于淹没了中间网络，导致许多服务（但主要是Google）无法访问。你可能会惊讶地发现，一个ISP在世界某个地方的错误可能导致谷歌和其他服务离线。这篇博客文章解释了这是如何发生的，以及互联网社区正在做些什么来解决这个问题脆弱。什么是线路泄漏，怎么会发生？当流量路由到常规和最佳路由路径之外时，这称为"路由泄漏"。要解释它们是如何发生的还需要一点点上下文。每个网络和互联网上的网络提供商都有自己的自治系统（AS）号码。此数字是唯一的，表示该组织控制的Internet部分。在下面的解释中，Google的主要AS号码是15169。那是谷歌互联网的一角，谷歌流量应该在那里结束。。。通过最快的路径。Google/AS15169的路由如何传播到Tier-1的典型视图网络。如如上所示，谷歌直接连接到大多数一级网络（最大的网络连接互联网的大片区域）。当一切都正常工作时，Google的as-Path，包从网络到网络到达目的地的路由，其实很简单。例如，在上图中，如果您是Cogent的客户，并且您试图访问Google，那么您将看到的AS路径是"174645315169"。这一串数字就像一系列的航路点：从as174开始，到塔塔（as6453），然后到谷歌（as15169）。因此，有说服力的用户通过塔塔（Tata）进入谷歌，这是一个庞大的一级网站提供程序。期间事件中，MainOne错误地配置了as路径中反映的路由："20485 4809 37282 15169"。由于这种错误配置，任何与MainOne进行窥视（即直接连接）的网络都有可能通过该错误路径泄漏其路由。例如，上面段落中的有说服力的客户（AS 174）不会像他们应该的那样通过塔塔（AS 6453）。取而代之的是，他们先是通过TransTelecom（一家俄罗斯运营商，AS 20485），然后是中国电信CN2（一家跨境中国运营商，AS 4809），然后再到MainOne（尼日利亚的ISP，错误地配置了所有东西，为37282），然后才最终交给了谷歌（AS 15169）。换言之，伦敦的用户本来可以让他们的流量从俄罗斯到中国再到尼日利亚，然后才进入谷歌。但是…为什么会影响这么多人？其根本原因是MainOne错误地配置了他们的路由。如前所述，此类事件实际上发生得相当频繁。这种错误配置的影响应该仅限于MainOne及其顾客。但是，是什么把这个从相对孤立的领域变成了一个更广泛的领域，是因为中国电信的优质跨境运营商CN2没有过滤MainOne提供给他们的路由。换句话说，MainOne告诉CN2，它有权路由谷歌的IP地址。大多数网络都会验证这一点，如果不正确，请将其过滤掉。CN2没有-它只是信任MainOne。因此，MainOne的错误配置传播到一个更大的网络。更复杂的是，俄罗斯电信网络对CN2的行为可能与CN2对MainOne的行为相似——他们信任CN2而没有验证CN2提供给他们的路由路径。这表明了在构成互联网的基础连接中有多大程度的信任。它是一个网络（互联网！）这是通过不同实体（国家和公司）之间的合作来实现的，这就是尼日利亚所犯的路由错误是如何通过中国传播到俄罗斯的。考虑到所涉及的流量，网络已经不堪重负，而谷歌则是无法到达。它值得明确指出的是：谷歌流量在到达尼日利亚之前经过俄罗斯和中国，然后才到达正确的目的地，这让一些人觉得这种错误配置是邪恶的。我们认为情况并非如此。相反，这起事件反映了一个错误，这个错误并没有被适当的网络过滤捕捉到。在许多网络中存在着太多的信任和不足的验证：这是一个系统性的问题，使得互联网更容易出错是的。怎么了为了减少像Cloudflare内部系统这样的路由泄漏，BGPMon.net网站千万万迪亚斯发现了这件事。BGPMon有几种方法来检测异常情况；在本例中，它们能够检测到到达Google的路径中的提供者是不规则云斑的系统立即检测到这一点并进行了自动修复行动。谢天谢地我们的系统检测到并减轻了它！pic.twitter.com/qFiDkrn2Kd-Jerome Fleury（@Jerome_z）2018年11月13日有关Cloudflare自动修复系统的更多信息：https://blog.cloudflare.com/the-internet-is-invientive-building-a-more-resility-network/LookingForwardCloudflare致力于与其他公司合作，推动更安全、更稳定的路由。我们最近写了关于RPKI的文章，以及我们将如何开始实施"严格的"RPKI验证，并将继续努力实现安全的互联网路由。我们希望所有提供中转服务的网络都能确保对其客户进行适当的过滤，终止劫持和路由泄露，并实施像BCP-38这样的最佳实践。