当路由问题影响开放的 DNS 服务时，会导致严重的中断和延迟。Cloudflare 的 1.1.1.1 开放 DNS 服务在六月份末经历了一次服务中断，这是由路由劫持和路由泄漏的组合导致的。Cloudflare 使用的 1.1.1.0/24 网络块是由 APNIC 委托的，最初是为了解决这个地址范围的严重污染问题，因为它被广泛用于文档和示例配置，以及一些公共服务。
路由问题的成因
路由问题的成因是 BGP 劫持和路由泄漏的组合，进一步加剧了由于某个对等方缺乏过滤导致的无效路由广泛分布。另外，一个 Tier-1 提供商由于未经授权的路由公告将 1.1.1.1/32 黑洞，导致了广泛的流量中断。为了解决这个问题，Cloudflare 使用了诸如 Monocle 和 BGP 监控协议数据等工具来跟踪和分析 BGP 更新和路由传播。
解决方案和教训
Cloudflare 随后禁用了多个对等位置、对某些上游的公告，以及受影响的 Tier-1 提供商。Cloudflare 的 DNS 服务受益于其在一个众所周知的地址上提供服务，这个地址通常可以从非常接近用户的地方访问。从这个事件中可以得出的关键结论是遵守 MANRS 标准，并考虑更严格的 RPKI 验证和 Discard Origin Authorization (DOA) 对象用于 RTBH 验证。
对运维和网络工程师的意义
对于运维和网络工程师来说，理解路由问题的成因和解决方案至关重要。通过学习 Cloudflare 的经验，可以更好地应对类似的事件，确保网络服务的稳定性和安全性。通过遵守 MANRS 标准和使用 RPKI 验证等技术，可以有效地防止路由劫持和路由泄漏，确保网络服务的正常运行。
原文: APNIC Blog（2024-08-02）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog