اندر تفاوت Unicast و Anycast سوارابرها

پیرو حملات DDoS در ایران و رویداد #سوارابرها، بارها دیده‌شده افرادی که خیلی هم در حوزه‌ی خودشون متخصص هستن، در تفاوت خدمت DDoS Protection برای سرویس‌های IaaS که از منظر شبکه بصورت Unicast ارائه میشه، با نحوه‌ی DDoS Protection برای سرویس‌های CDN که معمولن از منظر شبکه بطور Anycast پیاده‌سازی میشن، براشون سوء تفاهم شده‌بود.
//این مطلب خیلی یهویی و کوتاه نوشته شده :)) و سعی کردم خیلی از جزئیات فنی که ممکنه حوصله‌سربر باشه رو ساده بیان کنم. ضمنن مطلب بر اساس درک و تجربه شخصی بنده بر اساس اطلاعاتی که منشتر شده هست.

در پیاده‌سازی های Unicast، حملات DDoS بسیار موفق هستند چون می‌تونن تمامی منابع حمله رو، متمرکز کنن روی یک یا چند نقطه‌ [فیزیکی] (مثلن کل IPهایی که با BGP در دنیای اینترنت از یک محل اعلان میشن) و خیلی عامیانه‌ش اینکه لوله‌های اینترنت اون نقاط رو پر کنن.
حالا هرچقدر هم که تکنولوژی DDoS Protection/Mitigation و scrubbing پیشرفته باشه، اما بخاطر طبیعت سرویس IaaS، میشه گفت راهی جز افزایش دائمی پهنای باند وجود نداره و گاهی ممکنه پهنای باند زیرساخت‌های بزرگ پر بشه و مجبور به blackhole کردن بشن. اتفاقی که بارها در دنیا برای سرویس‌دهنده‌های بزرگ IaaS هم بطور روزانه رخ میده و بعنوان یکی از مخاطرات اینترنت شناخته شده. ادامه خواندن “اندر تفاوت Unicast و Anycast سوارابرها”

نگاهی بر ابزار MTR

به عنوان یک مدیر شبکه نیاز است تا برای مدیریت و خطایابی ساختار، با ابزارهای مختلفی آشنایی داشته باشید. در دنیای شبکه، ابزارهای متفاوتی برای خطایابی وجود دارند که در میان آن‌ها ping و taceroute از شهرت بیشتری برخوردارند. بااین‌حال ابزار دیگری نیز وجود دارد که شاید همانند این دو ابزار شهرت زیادی نداشته باشد اما فراهم‌کننده‌ی اطلاعاتی به‌مراتب بیشتر و مهم‌تر است. این ابزار قدرتمند، MTR نام دارد.

MTR به مدیر شبکه کمک می‌کند تا خطاها را شناسایی کرده و گزارشی از وضعیت کلی شبکه به دست آورد. در این مطلب سعی شده تا به MTR، داده‌های تولیدی توسط آن و نحوه‌ی تحلیل و تفسیر اطلاعات حاصل از این ابزار، پرداخته شود.

مروری بر عملکرد ابزارهای اصلی خطایابی شبکه

ابزارهای خطایابی شبکه چون ping، traceroute و MTR از Control Message Protocol (ICMP) برای تست ارتباطات و ترافیک تبادلی میان دو نقطه در اینترنت استفاده می‌کنند. هنگام ping یک IP، تعدادی پکت ICMP از مبدأ به سمت مقصد ارسال شده و مقصد نیز در پاسخ تعدادی پکت ICMP برای مبدأ ارسال می‌کند. برحسب پاسخ‌های تبادلی میان این دو نقطه، کاربر قادر خواهد بود تا مقدار round trip time (RTT) مابین این دو نقطه را محاسبه کند.

اما ابزارهایی همانند MTR و traceroute، با کمک فیلد TTL (Time to Live) در هدر پکت IP، تعداد گام‌ها (hop) در مسیر میان مبدأ و مقصد را محاسبه می‌کنند. TTL مشخص‌کننده‌ی تعداد گام‌هایی است که پکت قبل از منقضی شدن می‌تواند از آن‌ها عبور کند. هنگامی‌که از traceroute یا MTR استفاده می‌شود، برای شمارش تعداد hopها، ابتدا چند پیام ICMP با کمترین مقدار برای TTL (مقدار 1) ارسال شده و به‌تدریج مقدار TTL افزایش می‌یابد تا نهایتاً بسته به مقصد موردنظر رسد.

MTR را می‌توان ترکیبی از دو ابزار ping و traceroute معرفی کرد. این ابزار علاوه بر دید کلی از مسیری که ترافیک از مبدأ تا یک مقصد مشخص طی می‌کند، اطلاعات بیشتری در رابطه با وضعیت، ارتباطات و پاسخگویی hopهای قرارگرفته میان مبدأ و مقصد را نیز فراهم می‌آورد.

ادامه خواندن “نگاهی بر ابزار MTR”

بلاک‌چین یا زنجیره بلوک – ققنوسی برخاسته از خاکستر تورنت

این روزا هرجا رو نگاه می‌کنی، از مطبوعات تا تلویزیون تا شبکه‌های مجازی، محاله حداقل با یک تیتر در رابطه با Blockchain (یا نام‌های دیگه‌ی اون یعنی: بلاک‌چین، زنجیره بلوک، زنجیره بلاک) مواجه نشی. یه عده میگن بلاک‌چین مساوی با همون بیت‌کوین(!) و متحول کننده‌ی دنیای اقتصاد و مبادلاتش هست. یه عده میگن زنجیره بلاک آینده‌ای محقق شده از نسل نوی اینترنت هست. یه عده میگن زنجیره‌بلوک بَده و منحرف‌کننده‌ی بشریت از راه راست و باید کلاً از چرخه‌ی هستی محو بشه و … امّا از اونجایی که ذهن جستجوگر من همیشه سرش درد میکنه برای موضوعاتی که این همه حاشیه دور و برش هست و دوست داره از حقیقتشون سر دربیاره، تصمیم گرفتم برم دنبالش و ببینم این بلاک‌چین نهایتاً چیه. اولین جواب رو به سؤال ساده‌ی من در رابطه با این که “بلاک‌چین چیه؟“، ویکی‌پدیا داد:

برداشت آزادی از تعریف بلاک‌چین (Blockchain) در ویکی‌پدیا:

“بلاک‌چین، دفترحساب توزیع‌شده و غیرمتمرکزی عمومی (Public) است که از آن به منظور ثبت معاملات میان چندین کامپیوتر، در ساختاری peer-to-peer استفاده می‌شود.”

نکته: در این مطلب شما بارها و بارها با کلمه‌ی بلاک‌چین یا معادل‌های اون که در پاراگراف اول، داخل پرانتز ذکر شدن، و همینطور بلاک یا همون بلوک، روبه‌رو میشید که دلیلش اینه که تمام این کلمات یکسان هستن و معادل همدیگه و در متون و گفتارهای فارسی از همه‌ی این کلمات استفاده میشه، بنابراین هدف این شد که با استفاده از تمام این کلمات معادل، مخاطبی که این مطلب رو میخونه اگر بعدها چشمش به هرکدوم از این کلمات افتاد بدونه که منظور از همه‌ی این واژه‌ها، همون Blockchain هست.

نگاهی به گذشته: از زیرساخت‌های Server Base تا ایده‌ی شبکه‌های تورنت (Torrent)

بیشتر ارتباطات در دنیای اینترنت از گذشته تا به الان بر مبنای ساختاری Client/Serverای هست. به این صورت که معمولاً دیتابیس‌ها که محل نگهداری اطلاعات هستن، به صورت متمرکز در یک سرور (یا سیستم) ذخیره و نگهداری میشن و هرکس قصد دسترسی به اطلاعات رو داشته باشه باید به سرور متصل بشه و درخواست دریافت داده‌های موردنظرش رو بده. پس به عبارتی ما در دنیای اینترنت با ساختار سلسله مراتبی از ارتباطات روبه‌رو هستیم.

ذخیره‌سازی دیتابیس‌ها در یک سیستم باعث میشه که متناسب با افزایش حجم اطلاعات دیتابیس، هزینه‌ای که در قبال اجاره یا خرید فضای ذخیره‌ی این اطلاعات پرداخت میشه هم، افزایش پیدا کنه. از طرف دیگه، مشخصه‌ی اصلی این دیتابیس‌ها که در دنیای امروز دارن تبدیل میشن به دیتابیس‌های قدیمی و سنّتی، این هست که این دیتابیس‌ها تحت نظر یک مدیریت واحد هستن. یعنی چی؟

فرض کنین قراره در یک سازمان، دیتابیسی برای ذخیره اطلاعات کارکنان راه‌اندازی بشه؛ مسئول انفورماتیک اون سازمان به عنوان مدیر این دیتابیس تصمیم می‌گیره که چه نوع داده‌هایی در دیتابیس ذخیره بشن، چه کسانی بتونن داده‌ای رو در دیتابیس ذخیره کنن یا تغییر بدن، چه کسانی فقط مجوز خوندن اطلاعات از دیتابیس رو داشته باشن، چه کسانی اصلاً اجازه‌ی دسترسی به دیتابیس رو نداشته باشن و …

خب پس دو تا مشکل دیگه که در رابطه با دیتابیس‌های سنّتی وجود داره عبارت‌اند از: اول این که فقط یک مرجع قدرت وجود داره (به عبارتی یک مدیر/ یک مکان فیزیکی برای دیتابیس اصلی)، و از طرف دیگه همین تک مرجعی بودن قدرت باعث میشه که فقط یک نقطه‌ی شکست وجود داشته باشه (معروف به SPoF یا Single Point of Failure). اگر مرجع اصلی قدرت بنا به هر دلیلی از دست بره، دسترسی و مدیریت دیتابیس هم به گونه‌ای از بین میره یا حداقل بازگردانی‌ش پیچیده و هزینه‌بر خواهد بود.

امّا همزمان با حضور قدرتمند زیرساخت‌های کلاینت/سروری در دنیای اینترنت، ساختاری خلق شد به اسم تورنت (Torrent). احتمالاً حداقل یک بار با torrent سر و کار داشتین و باهاش کار کردین. امّا به‌جهت یادآوریِ تعریف تورنت و پاسخ ساده‌ای به سوال «تورنت چیست؟»:

“در ساختار تورنت با مجموعه ای از کلاینت‌های peer-to-peer (کلاینت‌هایی که مستقیم به هم متصل و با هم در ارتباط‌ اند) سر و کار داریم که این کلاینت‌ها از طریق پروتکلی که مشهورترینش BitTorrent نام داره، قادرند تا فایل‌هایی رو در بستر اینترنت توزیع کنند.”

پس اگر مثلاً من در سیستم خودم فیلم ارباب حلقه‌ها رو دارم و از طرف دیگه یکی تو یک کشور دیگه‌ (البته کشوری که قوانین سخت‌گیرانه‌ای برای حق کپی‌رایت و استفاده از تورنت و اینا نداره، اصلاً همین ایران خودمون) هم میخواد این فیلم رو حالا به هردلیلی رایگان بگیره و هر دومون هم روی سیستم‌هامون نرم‌افزاری مثل … (ترجیحاً یک سرچ بزنین تو گوگل هزارتا نرم‌افزار میاره) نصب کردیم، اون بنده‌خدا می‌تونه مستقیماً از سیستم من این فیلم رو دانلود کنه، بدون هیچ واسطه‌ای یا نیاز به اتصال به یک سرور دیگه.

در واقع ما در ساختار تورنت، دیتابیسی از فایلها رو داریم که برعکس ساختار دیتابیس‌های سنّتی که در بالا شرح دادیم، این دفعه ما نخواستیم یا اصلاً هزینش رو نداشتیم که یک سرور برای ذخیره‌ی دیتابیس‌مون تهیه کنیم. پس، محل ذخیره‌ی دیتابیس تو این ساختار، سیستم کاربرانی هست که به ساختار تورنت متصل میشن.

حالا ما به جای یک دیتابیس متمرکز در یک سیستم (سرور)، یک دیتابیس توزیع‌شده (distributed database) داریم که هر کاربری توی این ساختار با استفاده از برنامه‌ای که از پروتکل BitTorrent پشتیبانی میکنه، می‌تونه به این دیتابیس توزیع شده‌ی عظیم در حد گستره‌ی جهانی متصل بشه و فایل‌هایی رو که می‌خواد برای خودش کپی کنه.

امّا ساختار تورنت، یک نقص بزرگ داره:
در این ساختار امکان رهگیری فایل‌ها وجود نداره. همین موضوع هم عاملی هست برای این که از یک فایل میلیون‌ها کپی در سراسر دنیا منتشر شده و این ساختار به نوعی غیرقانونی قلمداد بشه (تصور کنین یک فایل یک بار خریداری بشه و بارها و بارها به رایگان در اینترنت توزیع بشه. قطعاً این امر می‌تونه به خیلی از صنایع مثل: فیلم، موسیقی، نشر و … آسیب‌های جبران‌ناپذیری وارد کنه).

حالا چی میشه اگر بتونیم به این نظام بی قانون، اندکی نظم و قانون بدیم؟ یعنی بتونیم ساختاری رو ایجاد بکنیم که بر مبنای مزیت‌های زیرساختی ارتباطات peer-to-peer که به نوعی زیرساخت بهتری نسبت به ساختارهای سنّتی ذخیره‌سازی دیتابیس‌ها محسوب میشن، این امکان رو هم داشته باشه که فایل‌ها رو در اون رهگیری کنیم و از طرف دیگه به گونه‌ای فایل‌ها رو امن کنیم که مطمئن باشیم هر فایلی که در این ساختار ردوبدل میشه نسخه‌ی اصل هست و نه نسخه‌ای کپی یا جعلی و تزریق شده به ساختار از جانب یک هکر. در واقع این‌ها سؤالاتی بود که در هنگام تولد ایده‌ی بلاک‌چین مطرح شدند.

بلاک‌چین: مفاهیم پایه

بلاک چین از ساختار ارتباطات peer-to-peer بهره می‌گیره امّا با این تفاوت که در اینجا، تمام اقداماتی که در بستر این ساختار انجام بشن، قابل رهگیری هستن. برای رهگیری دقیق فایل‌ها باید این امکان رو داشته باشیم که مطمئن بشیم الان اون تنها نسخه از اون فایل هست که دست من هست و همزمان به فرد دیگه‌ای تعلّق نداره. پس در هنگامی که من فایل رو از کاربر دیگه‌ای دریافت میکنم، باید تاریخچه‌ای از این که اون فایل کجاها بوده و دست کیا بوده و این که الان دست من هست رو هم دریافت کنم و از طرفی مطمئن باشم که این تاریخچه از مبادلات فایل، توسط کسی دستکاری نشده. ادامه خواندن “بلاک‌چین یا زنجیره بلوک – ققنوسی برخاسته از خاکستر تورنت”

وقتی سرنوشت‌ها به هم گره می‌خورند: کوتاه درباره‌ی اصطلاح Fate sharing

یه فلسفه‌ای هست تو دنیا که میگه اتفاقایی که برای ما میوفته بخشیش دست ما نیست و در گروی اثر عملی هست که سایر عناصر عالم بر زندگی ما دارن که بهش میگن تقدیر یا سرنوشت. حالا همین موضوع در دنیای شبکه هم صدق می‌کنه. اولین‌بار این اصطلاح رو در دنیای شبکه، آقای کلارک (David D. Clark) در سندی تحت عنوان “فلسفه‌ی طراحی پروتکل‌های اینترنتی DARPA” در سال 1988 معرفی کرد. به زبون ساده، fate sharing میگه:

“اگر ما مجموعه‌ای از عناصر متصل به هم رو داشته باشیم که عملکرد هر کدومشون در گرو عملکرد صحیح سایر عناصر باشه، در این صورت اگر یک عنصر بنا به هر دلیلی fail بشه، سایر عناصر هم به صورت خودکار fail خواهند شد.”

یه مثال تو دنیای واقعی برای درک بهتر این موضوع: سوار پرایدتون (مثلاً) هستین و دارین برمیگردین خونه که یهو متوجه میشین ماشین داره به سختی حرکت میکنه. سریع میزنین کنار و پیاده میشین و می‌بنین که بله یکی از چرخای عقبتون پنچر شده. موتور ماشین سالمه، سه تا چرخ دیگش سالمه امّا چون یه چرخش دچار مشکل شده عملکرد ماشینتون هم دچار مشکل شده و ماشین نمیتونه به حرکت خودش ادامه بده.

امّا ببینیم تو دنیای شبکه کجاها ممکنه fate sharing رخ بده. یکی از مصداقای اصلی بروز fate sharing در هنگام مجازی‌سازی (virtualization) هست. یعنی زمانی که ما یک یا چندتا توپولوژی مجازی رو بر روی یک بستر فیزیکی پیاده‌سازی می‌کنیم. در این صورت هر مشکلی برای اون بستر فیزیکی رخ بده، قطعاً توپولوژی‌های مجازی که بر روی اون پیاده‌سازی شدن هم دچار مشکل میشن. ادامه خواندن “وقتی سرنوشت‌ها به هم گره می‌خورند: کوتاه درباره‌ی اصطلاح Fate sharing”

Segment Routing : بررسی مفاهیم پایه و عملکرد

در این پست سعی شد تا دلایل و مشکلاتی که سبب پر رنگ شدن ایده ی Source Routing و تولد راهکاری با نام Segment Routing گشتند، بررسی شوند. Segment Routing تکنولوژی نه چندان جدید برای انجام Source Routing می باشد. در این روش، مبدا مسیری را انتخاب کرده و آن را در قالب لیستی از سگمنت ها در هدر پکت قرار می دهد. segment ها مشخص کننده ی رفتار و عملی هستند که باید در قبال پکت صورت گیرد. با استفاده از سگمنت روتینگ در شبکه ها، دیگر نیازی نیست که منطق ارسال پکت ها حتما بر اساس یک application خاص یا بر اساس یک جریان خاص باشد، بلکه forward پکت ها تنها بر اساس همان دستورالعملی که توسط سگمنت ها مشخص شده اند، صورت می گیرد.

تفاوت سگمنت روتینگ با MPLS و MPLS-TE در آن است که، Segment Routing از هیچ پروتکل اضافه تری چون LDP و RSVP برای سیگنالینگ و forward اطلاعات خود در طول یک دامنه ی SR استفاده نمی کند بلکه در مقابل، این اعمال را تنها با بهره گرفتن از قابلیت های توسعه یافته ی پروتکل هایی چون OSPF و IS-IS انجام می دهد. هم چنین در هنگام اجرا در یک ساختار MPLS یا IPv6، می تواند مستقیما از data plane آن ها بهره گیرد. اگر ساختار MPLS باشد، SR مستقیما از MPLS Data Plane بدون هیچ تغییری در آن، استفاده می کند. مزیت دیگر SR نسبت به MPLS در استفاده ی کارآمدتر از bandwidth و همینطور کاهش latency است.

Segment Routing: مفاهیم پایه

یک دامنه ی SR مجموعه ای از روترها است که اصطلاحا همه ی آن ها SR-Capable می باشند به این معنا که قابلیت تشخیص و کار با سگمنت ها را دارند. مشابه LSP در MPLS، مسیری در دامنه ی SR که به منظور ارتباط نقاط مختلف از آن استفاده می شود، SR-PATH نام دارد. SR-PATH الزاما کوتاهترین مسیر محاسبه شده توسط IGP نیست. به بیان بهتر SR-PATH می تواند کوتاهترین مسیر محاسبه شده توسط IGP و یا مسیری که بر حسب پارامترهای TE تعیین شده است، باشد. در واقع این سگمنت ها هستند که هر کدام بخشی از مسیر را مشخص می کنند که ترکیب آن ها با هم، نشان دهنده ی کل مسیر از یک مبدا تا یک مقصد مشخص می باشد. ادامه خواندن “Segment Routing : بررسی مفاهیم پایه و عملکرد”