MANRS - Histórico de revisão

Gondim: /* Panorama */

2019-12-10T12:26:19Z

Panorama

Fernando.frediani: Adicionadas categorias de BCOPs e Roteamento

2019-09-13T15:50:01Z

Adicionadas categorias de BCOPs e Roteamento

Gondim em 23h22min de 13 de agosto de 2019

2019-08-13T23:22:44Z

Gondim em 17h43min de 2 de julho de 2019

2019-07-02T17:43:30Z

Gondim em 17h40min de 2 de julho de 2019

2019-07-02T17:40:57Z

Gondim em 15h37min de 30 de junho de 2019

2019-06-30T15:37:45Z

Fernando.frediani: Alterados tamanhos de algumas imagens

2019-06-30T15:18:43Z

Alterados tamanhos de algumas imagens

Gondim em 15h12min de 30 de junho de 2019

2019-06-30T15:12:09Z

Gondim em 14h22min de 30 de junho de 2019

2019-06-30T14:22:13Z

Gondim em 14h18min de 30 de junho de 2019

2019-06-30T14:18:02Z

@@ Linha 3: / Linha 3: @@
 == Panorama ==
-Atualmente, durante a criação desse artigo, existem +6000 Sistemas Autônomos no Brasil e apenas 18 deles [https://www.manrs.org/isps/participants/ participam] do MANRS. Muito pouco e para que tenhamos uma Internet melhor, todos precisamos fazer nossa lição de casa e participar desse projeto. Grandes players já estão fazendo sua parte. Recentemente a Microsoft virou participante conforme essa [https://www.manrs.org/2019/05/microsoft-joins-manrs-to-improve-routing-security/ notícia].Tudo que é cobrado vai beneficiar seu AS, assim como os outros pelo mundo. Uma pergunta bem básica: você gosta de sofrer ataques de DDoS? Então não faça com os outros, o que não gostaria que fizessem com você. O que quero dizer é: não deixe que usem sua infra estrutura para promoverem DDoS pela Internet à fora. Grande parte dos ataques são executados usando técnicas de spoofing em cima do protocolo UDP para esconderem sua verdadeira origem e direcionando os ataques aos alvos que o agressor escolheu. Imagine uma carta e nela você tem o remetente e o destinatário ok? Você resolve enviar uma carta para alguém mas coloca como remetente o seu vizinho. Para quem a carta será respondida? Para você ou seu vizinho? Sim seu vizinho e é assim que funciona um ataque de amplificação por exemplo. Mas esse é apenas um dos problemas pois também sofremos com sequestros de IPs (hijacks). Estes ocorrem quando operadoras de trânsito não filtram corretamente os anúncios BGP que vão para o mundo, permitindo que um AS abaixo anuncie erradamente o prefixo pertencente à outro AS. Junto à isso ainda temos static loops, serviços vulneráveis rodando, etc.
+Até essa data 10/12/2019, existem +7000 Sistemas Autônomos no Brasil e apenas 33 deles [https://www.manrs.org/isps/participants/ participam] do MANRS. Muito pouco e para que tenhamos uma Internet melhor, todos precisamos fazer nossa lição de casa e participar desse projeto. Grandes players já estão fazendo sua parte. Recentemente a Microsoft virou participante conforme essa [https://www.manrs.org/2019/05/microsoft-joins-manrs-to-improve-routing-security/ notícia].Tudo que é cobrado vai beneficiar seu AS, assim como os outros pelo mundo. Uma pergunta bem básica: você gosta de sofrer ataques de DDoS? Então não faça com os outros, o que não gostaria que fizessem com você. O que quero dizer é: não deixe que usem sua infra estrutura para promoverem DDoS pela Internet à fora. Grande parte dos ataques são executados usando técnicas de spoofing em cima do protocolo UDP para esconderem sua verdadeira origem e direcionando os ataques aos alvos que o agressor escolheu. Imagine uma carta e nela você tem o remetente e o destinatário ok? Você resolve enviar uma carta para alguém mas coloca como remetente o seu vizinho. Para quem a carta será respondida? Para você ou seu vizinho? Sim seu vizinho e é assim que funciona um ataque de amplificação por exemplo. Mas esse é apenas um dos problemas pois também sofremos com sequestros de IPs (hijacks). Estes ocorrem quando operadoras de trânsito não filtram corretamente os anúncios BGP que vão para o mundo, permitindo que um AS abaixo anuncie erradamente o prefixo pertencente à outro AS. Junto à isso ainda temos static loops, serviços vulneráveis rodando, etc.
 == Vamos começar? ==

← Edição anterior		Edição das 15h50min de 13 de setembro de 2019
Linha 584:		Linha 584:

	Autor: [[Usuário:Gondim\|Marcelo Gondim]]		Autor: [[Usuário:Gondim\|Marcelo Gondim]]
		+	[[Categoria:BCOPs]]
		+	[[Categoria:Roteamento]]

← Edição anterior		Edição das 23h22min de 13 de agosto de 2019
Linha 500:		Linha 500:

	<code>$IP6TABLES -t raw -A PREROUTING -m set ! --match-set blocosv6 src -i bond0 -j DROP</code>		<code>$IP6TABLES -t raw -A PREROUTING -m set ! --match-set blocosv6 src -i bond0 -j DROP</code>
		+
		+	Com a chegada de novas versões das maiores Distribuições Linux, faz-se necessário começar à aprender sobre o nf_tables, que é o sucessor do x_tables. Esse recurso usa o aplicativo nft no lugar do iptables, embora existam ferramentas iptables que convertem suas regras iptables para o nftables. Criar suas regras em nftables é muito mais simples que no iptables, sem falar que vamos usar um novo recurso que é a table '''netdev''' que é 2x mais rápido em processamento que a table raw do iptables. A netdev não existe no iptables e os pacotes são avaliados antes da camada 3. Outro detalhe é que o nftables não é compatível com o ipset mas podemos criar listas dentro do nosso script sem a necessidade dele. Vamos olhar como seriam as regras acima no formato novo:
		+
		+	<code>#!/usr/sbin/nft -f</code>
		+
		+	<code>flush ruleset</code>
		+
		+	<code>define bogons_v4 = { 0.0.0.0/8, 10.0.0.0/8, 100.64.0.0/10, 127.0.0.0/8, 169.254.0.0/16, 172.16.0.0/12, 192.0.2.0/24, 192.168.0.0/16, 198.18.0.0/15, 198.51.100.0/24, 203.0.113.0/24, 224.0.0.0/4, 240.0.0.0/4 }</code>
		+
		+	<code>define bogons_v6 = { ::/8, 0100::/64, 2001:2::/48, 2001:10::/28, 2001:db8::/32, 3ffe::/16, fc00::/7, fec0::/10, ff00::/8 }</code>
		+
		+	<code>define blocosv4asn = { 131.xxx.xxx.0/22, 138.xxx.xxx.0/22, 168.xxx.xxx.0/22 }</code>
		+
		+	<code>define blocosv6asn = 2804:xxxx::/32</code>
		+
		+	<code>add table netdev filter</code>
		+
		+	<code>add chain netdev filter enp66s0f0 { type filter hook ingress device enp66s0f0 priority 0; policy accept; }</code>
		+
		+	<code>add rule netdev filter enp66s0f0 ip6 saddr fe80::/64 counter accept</code>
		+
		+	<code># Bloqueando pacotes que venham da Internet cujo IP origem seja algum BOGON</code>
		+
		+	<code>add rule netdev filter enp66s0f0 ip saddr $bogons_v4 counter drop</code>
		+
		+	<code>add rule netdev filter enp66s0f0 ip6 saddr $bogons_v6 counter drop</code>
		+
		+	<code># Bloqueando pacotes que venham da Internet cujo IP origem seja você mesmo</code>
		+
		+	<code># Nao esqueca de liberar as conexões de sessão BGP (179/tcp) caso esteja usando algum IP seu para fechar a sessão. Mas normalmente a operadora quem cede os IPs da sessão.</code>
		+
		+	<code>add rule netdev filter enp66s0f0 ip saddr $blocosv4asn counter drop</code>
		+
		+	<code>add rule netdev filter enp66s0f0 ip6 saddr $blocosv6asn counter drop</code>
		+
		+	<code>add chain netdev filter bond0 { type filter hook ingress device bond0 priority 0; policy accept; }</code>
		+
		+	<code>add rule netdev filter bond0 ip6 saddr fe80::/64 counter accept</code>
		+
		+	<code># Bloqueando pacotes da rede de Assinantes cujo IP origem seja diferente de algum IP dos seus prefixos.</code>
		+
		+	<code>add rule netdev filter bond0 ip saddr != $blocosv4asn counter drop</code>
		+
		+	<code>add rule netdev filter bond0 ip6 saddr != $blocosv6asn counter drop</code>

	==== Anti-spoofing no B-RAS ====		==== Anti-spoofing no B-RAS ====

@@ Linha 11: / Linha 11: @@
 O PeeringDB é uma enorme base de dados de informação sobre os Sistemas Autônomos espalhados pelo mundo. Nela colocamos informações como: contatos do NOC para resolução de problemas, quantidade de prefixos anunciados, looking glass, tipo de rede, pontos de troca de tráfego, facilities, protocolos suportados e muitas outras informações. Esse serviço é muito importante para que possamos localizar os dados de um AS, por exemplo, em caso de problemas. Nada melhor que saber pra quem ligar ou contactar e ter isso em fácil acesso. Outra que isso é indispensável para que outros Sistemas Autônomos te contacte para fechar algum peering interessante para ambas as partes. Empresas como Google, Netflix e Facebook exigem que você tenha cadastro no PeeringDB antes de qualquer negociação. Você pode iniciar seu registro [https://www.peeringdb.com/register aqui]. Para que o cadastro do seu AS seja concluído de forma rápida e sem problemas, utilize o mesmo e-mail para registro, que consta como responsável pelo seu AS. Você pode checar isso facilmente usando o comando "whois as<número>" em um sistema que tenha whois, um Linux por exemplo, ou através de consulta web no [https://registro.br/tecnologia/ferramentas/whois/ Registro.BR] mas precisa estar logado com seu usuário do RegistroBR. Abaixo umas telas exemplo:
 [[Arquivo:Registro.br.png|nenhum|miniaturadaimagem|1165x1165px]]
-[[Arquivo:Tela2 whois.png|nenhum|miniaturadaimagem|935x935px]]É de muita importância que seus dados de contato também estejam atualizado via whois. Outra coisa que muitos não adicionam no Registro.BR são as informações de AS-in e AS-out, ou seja, o que você está aceitando de anúncios de quem e o que está sendo anunciado pra quem. No PeeringDB eles também serão informados.
+[[Arquivo:Tela2 whois.png|nenhum|miniaturadaimagem|935x935px]]É de muita importância que seus dados de contato também estejam atualizado via whois. Outra coisa que muitos não adicionam no Registro.BR são as informações de '''AS-in''' e '''AS-out''', ou seja, o que você está aceitando de anúncios de quem e o que está sendo anunciado pra quem. No PeeringDB eles também serão informados.
 [[Arquivo:Tela40.png|nenhum|miniaturadaimagem|932x932px]]
 [[Arquivo:Tela41.png|nenhum|miniaturadaimagem|931x931px]]

@@ Linha 11: / Linha 11: @@
 O PeeringDB é uma enorme base de dados de informação sobre os Sistemas Autônomos espalhados pelo mundo. Nela colocamos informações como: contatos do NOC para resolução de problemas, quantidade de prefixos anunciados, looking glass, tipo de rede, pontos de troca de tráfego, facilities, protocolos suportados e muitas outras informações. Esse serviço é muito importante para que possamos localizar os dados de um AS, por exemplo, em caso de problemas. Nada melhor que saber pra quem ligar ou contactar e ter isso em fácil acesso. Outra que isso é indispensável para que outros Sistemas Autônomos te contacte para fechar algum peering interessante para ambas as partes. Empresas como Google, Netflix e Facebook exigem que você tenha cadastro no PeeringDB antes de qualquer negociação. Você pode iniciar seu registro [https://www.peeringdb.com/register aqui]. Para que o cadastro do seu AS seja concluído de forma rápida e sem problemas, utilize o mesmo e-mail para registro, que consta como responsável pelo seu AS. Você pode checar isso facilmente usando o comando "whois as<número>" em um sistema que tenha whois, um Linux por exemplo, ou através de consulta web no [https://registro.br/tecnologia/ferramentas/whois/ Registro.BR] mas precisa estar logado com seu usuário do RegistroBR. Abaixo umas telas exemplo:
 [[Arquivo:Registro.br.png|nenhum|miniaturadaimagem|1165x1165px]]
-[[Arquivo:Tela2 whois.png|nenhum|miniaturadaimagem|935x935px]]Para ajudar na configuração do seu PeeringDB, abaixo mais telas com informações sensíveis protegidas:
+[[Arquivo:Tela2 whois.png|nenhum|miniaturadaimagem|935x935px]]É de muita importância que seus dados de contato também estejam atualizado via whois. Outra coisa que muitos não adicionam no Registro.BR são as informações de AS-in e AS-out, ou seja, o que você está aceitando de anúncios de quem e o que está sendo anunciado pra quem. No PeeringDB eles também serão informados.
 [[Arquivo:Tela1.png|nenhum|miniaturadaimagem|1200x1200px]]
 [[Arquivo:Tela2.png|nenhum|miniaturadaimagem|1200x1200px]]

@@ Linha 526: / Linha 526: @@
 [[Arquivo:Tela20.png|nenhum|miniaturadaimagem|1573x1573px]]
 [[Arquivo:Tela22.png|nenhum|miniaturadaimagem|671x671px]]
-'''Agora um exemplo de relatório que passaria no MANRS. Esse por um acaso é referente ao AS do [https://www.manrs.org/isps/participants/entry/616/ NIC.BR]:'''
+'''Agora um exemplo de relatório que passaria no MANRS. Esse por um acaso é referente ao AS do [https://spoofer.caida.org/report.php?sessionid=704931 NIC.BR]:'''
 [[Arquivo:Tela30.png|nenhum|miniaturadaimagem|1566x1566px]]
 [[Arquivo:Tela31.png|nenhum|miniaturadaimagem|1566x1566px]]

@@ Linha 12: / Linha 12: @@
 [[Arquivo:Registro.br.png|nenhum|miniaturadaimagem|1165x1165px]]
 [[Arquivo:Tela2 whois.png|nenhum|miniaturadaimagem|935x935px]]Para ajudar na configuração do seu PeeringDB, abaixo mais telas com informações sensíveis protegidas:
-[[Arquivo:Tela1.png|nenhum|miniaturadaimagem|1586x1586px]]
+[[Arquivo:Tela1.png|nenhum|miniaturadaimagem|1200x1200px]]
-[[Arquivo:Tela2.png|nenhum|miniaturadaimagem|1586x1586px]]
+[[Arquivo:Tela2.png|nenhum|miniaturadaimagem|1200x1200px]]
 === IRR Internet Routing Registry ===
 IRR é uma base de dados distribuída e sincronizada entre algumas organizações, que mantém informações sobre políticas de roteamento de Sistemas Autônomos e que usa uma linguagem chamada Routing Policy Specification Language (RPSL). Uma lista dessas organizações que mantém o IRR funcionando, pode ser encontrada [http://www.irr.net/docs/list.html aqui]. Além das políticas de roteamento também informamos nossos prefixos IPv4 e IPv6 a fim de que possam ser usados como dados nos filtros de anúncios BGP de Sistemas Autônomos de Trânsito para evitar os chamados hijacks(sequestros) de IPs. Mas para que isso dê certo, é importante que esteja sempre atualizado. Nesse artigo vou citar como exemplo e recomendação o RADB, que é um serviço pago anualmente. Lembrem-se, o IRR é um dos 4 requisitos para ser aprovado no MANRS. Para criar seu registro acesse esse [https://www.radb.net/register link]. Procure fazer todos esses registros sempre usando o e-mail que consta como responsável pelo seu AS, conforme citei mais acima. Isso evitará problemas e atrasos nos processos de validação. Abaixo algumas telas de exemplo de objetos dos registros, com informações sensíveis mascaradas. Nesse caso tenho configurado os objetos: '''aut-num''', '''mntner''', '''route''' e '''route6'''. Os campos '''admin-c''' e '''tech-c''' são seus IDs do RegistroBR mais o sufixo '''-NICBR'''. Os campos '''import''' são onde especificamos o que aceitamos das nossas operadoras de trânsito, nesse caso '''ANY''' e nos campos export o que estamos anunciando para os nossos neighbors, ou seja, nosso próprio AS e/ou outros Sistemas Autônomos para os quais somos trânsito.
-[[Arquivo:Tela5.png|nenhum|miniaturadaimagem|1583x1583px]]
+[[Arquivo:Tela5.png|nenhum|miniaturadaimagem|1200x1200px]]
-[[Arquivo:Tela6.png|nenhum|miniaturadaimagem|1583x1583px]]
+[[Arquivo:Tela6.png|nenhum|miniaturadaimagem|1200x1200px]]
-[[Arquivo:Tela7.png|nenhum|miniaturadaimagem|1583x1583px]]
+[[Arquivo:Tela7.png|nenhum|miniaturadaimagem|1200x1200px]]
-[[Arquivo:Tela8.png|nenhum|miniaturadaimagem|1582x1582px]]
+[[Arquivo:Tela8.png|nenhum|miniaturadaimagem|1200x1200px]]
 Agora que você já fez seu registro IRR, volte no seu PeeringDB e atualize o campo Registro de IRR.
 [[Arquivo:Tela15.png|nenhum|miniaturadaimagem|591x591px]]

@@ Linha 522: / Linha 522: @@
 == Na reta da linha de chegada ==
-Se você chegou até aqui e não jogou a toalha no chão, então você está de parabéns pela força de vontade e empenho. Chegou a hora de testar o seu ambiente e saber se está tudo implementado corretamente. Vamos usar para isso um software chamado [https://www.caida.org/projects/spoofer/ Spoofer] da CAIDA. Esse software foi criado justamente para testar se uma rede está permitindo tráfego de pacotes forjados. O MANRS vai te solicitar esse teste então já podemos preparar um ambiente e testar. Você vai precisar de um equipamento com um Windows ou Ubuntu Linux ou um Mac OSX. Você vai precisar fazer esse teste de 2 segmentos de rede diferentes, o pessoal do MANRS te pede isso. O Spoofer deve ser rodado de um sistema que está diretamente conectado à Internet sem a utilização de NAT. Se sua rede suporta IPv4 e IPv6 configure as duas no seu equipamento de teste. Após os testes eles gerarão links com os relatórios. Um relatório aprovado deveria se parecer com esse:
+Se você chegou até aqui e não jogou a toalha no chão, então você está de parabéns pela força de vontade e empenho. Chegou a hora de testar o seu ambiente e saber se está tudo implementado corretamente. Vamos usar para isso um software chamado [https://www.caida.org/projects/spoofer/ Spoofer] da CAIDA. Esse software foi criado justamente para testar se uma rede está permitindo tráfego de pacotes forjados. O MANRS vai te solicitar esse teste então já podemos preparar um ambiente e testar. Você vai precisar de um equipamento com um Windows ou Ubuntu Linux ou um Mac OSX. Você vai precisar fazer esse teste de 2 segmentos de rede diferentes, o pessoal do MANRS te pede isso. O Spoofer deve ser rodado de um sistema que está diretamente conectado à Internet sem a utilização de NAT. Se sua rede suporta IPv4 e IPv6 configure as duas no seu equipamento de teste. Após os testes eles gerarão links com os relatórios.
-[[Arquivo:Spoofer.png|nenhum|miniaturadaimagem|1125x1125px]]
+'''Abaixo um exemplo de quando você faz o teste atrás de NAT. Você não pode estar atrás de NAT algum, para validar o teste:'''
 Se possível faça um diagrama de rede mostrando de onde estão sendo feitos os testes com o Spoofer para demonstrar que são de segmentos de rede diferentes. Junte isso com os reports gerados pelo Spoofer para enviar pro pessoal do MANRS quando for solicitado.

@@ Linha 33: / Linha 33: @@
 Outro recurso que aconselho à todo AS utilizar é o [https://radar.qrator.net/ '''Radar Qrator''']. Faça um registro nele, cadastre seu AS e periodicamente você receberá e-mails com relatórios sobre problemas encontrados como: serviços vulneráveis dentro da sua rede, hijacks, static loops e outros. Ele é muito útil no diagnóstico de problemas de segurança, te deixando ciente dos problemas e cabendo à você resolvê-los.
-[[Arquivo:Tela9.png|nenhum|miniaturadaimagem|905x905px]]
+[[Arquivo:Tela9.png|nenhum|miniaturadaimagem|1581x1581px]]
 === Filtrando anúncios BGP ===