Görsel: Gezdiren için yapay zekâ ile üretilmiş editoryal çalışma; gerçek bir ağ haritası veya Cloudflare ölçüm grafiği değildir.
İzmir'de telefonunuzdan Almanya'daki bir sunucuda barındırılan internet sitesini açtığınızı düşünün. Tarayıcınız önce alan adının hangi IP adresine karşılık geldiğini öğrenir. Ardından istediğiniz sayfanın verileri küçük paketlere bölünerek yola çıkar.
Bu paketler telefonunuzdan evdeki yönlendiriciye, oradan internet hizmeti aldığınız operatöre gider. Sonra başka bir yerel ağa, uluslararası bir taşıyıcıya, bir internet değişim noktasına ya da büyük bir bulut şirketinin omurgasına geçebilir. Hedefe ulaşıncaya kadar birden fazla kurumun yönlendiricisinden geçmesi mümkündür.
Fakat internette, karayollarındaki navigasyon sistemi gibi bütün yolları gören ve her pakete tek merkezden rota çizen bir otorite yoktur. Paketler de mutlaka haritadaki en kısa coğrafi yolu izlemez. Bazen daha uzun görünen bir yol daha ucuz, daha güvenilir ya da iki şirket arasındaki anlaşmaya daha uygun olduğu için seçilir.
Bu seçim önemlidir. İzlenen yol sayfanın ne kadar hızlı açılacağını, bir arıza sırasında bağlantının sürüp sürmeyeceğini, hangi şirketin trafiği taşıyacağını ve transit hizmeti için kimin gelir elde edeceğini etkileyebilir.
İnternet tek bir ağ değil, ağların ağı
İnternet; erişim sağlayıcıların, telekom şirketlerinin, üniversitelerin, bankaların, içerik ağlarının ve bulut işletmelerinin yönettiği on binlerce bağımsız ağdan oluşur. Teknik yönetimi ortak olan bu büyük ağ parçalarına “otonom sistem”, kısaca AS denir. Her otonom sistemin onu diğerlerinden ayıran bir numarası vardır.
Bir AS, belirli IP adresi bloklarına nasıl ulaşılabildiğini komşu ağlara duyurur. Bu bloklara “IP öneki” denir. Önek, bir bakıma posta kodu gibidir: Tek bir cihazı değil, aynı adres bölgesindeki çok sayıda IP adresini tarif eder.
Ağlar arasındaki bu duyurular BGP, yani Sınır Geçidi Protokolü ile yapılır. En sade haliyle bir ağ komşusuna “şu IP öneklerine benim üzerimden ulaşabilirsin” der. Komşu ağ duyuruyu kabul ederse kendi komşularına iletebilir. Böylece bir adres bloğuna ulaşma bilgisi internet boyunca yayılır.
Duyurunun içinde yalnız hedef adresler bulunmaz. Rotanın geçtiği otonom sistemleri sıralayan AS_PATH gibi bilgiler ve ağların seçim yaparken kullanabileceği başka nitelikler de vardır. Bir yönlendirici aynı hedef için birden fazla duyuru aldığında bu bilgilere ve işletmecisinin politikalarına bakarak tercih yapar.
BGP bu nedenle yalnız bir yol bulma protokolü değildir. Aynı zamanda şirketler arasındaki ticari ilişkilerin teknik dile çevrildiği bir pazarlık düzenidir. Bir müşteri bağlantısı, ücretsiz trafik değişimi yapılan bir eş ya da ücret ödenen transit sağlayıcı aynı önceliğe sahip olmayabilir. Çoğu ağ önce kendi ticari politikasını, sonra yolun teknik özelliklerini dikkate alır.
Cloudflare'ın ölçtüğü değişiklik neydi?
Cloudflare, 24 Temmuz'da yayımladığı çalışmada BGP duyurularındaki en eski alanlardan birinin yolda değiştirilip değiştirilmediğini ölçtü. Bu alanın adı ORIGIN.
Şirket, kontrol ettiği IP öneklerini farklı ORIGIN değerleriyle internetin birçok noktasından duyurdu. Sonra bu duyuruların başka ağlardan geçerken nasıl değiştiğini halka açık rota gözlem sistemleri ve kendi yönlendiricileri üzerinden izledi.
Deneyde görülen benzersiz IPv4 AS_PATH yollarının yüzde 70'inde, IPv6 yollarının yüzde 67'sinde ORIGIN alanı yolda IGP değerine çevrilmişti.
Bu cümleyi doğru okumak önemli. Sonuç, “internet trafiğinin yüzde 70'i ele geçirildi” ya da “internet şirketlerinin yüzde 70'i rotaları değiştiriyor” demiyor. Cloudflare bütün internet trafiğini ölçmedi. Kendi deney öneklerinin, ulaşabildiği gözlem noktalarında görülen yollarını inceledi. Değişikliği yaptığı saptanabilen ağların oranı yaklaşık yüzde 10,6'ydı.
Asıl bulgu şu: Değişikliği yapan ağların sayısı görece az olsa da bunların arasında internetin merkezinde duran büyük taşıyıcılar bulunuyor. Bu yüzden tek bir büyük ağın yaptığı değişiklik, onun üzerinden geçen ve daha sonra başka ağlara yayılan çok sayıda rota duyurusunda görülüyor.
ORIGIN, rotanın sahibi demek değil
BGP dünyasında birbirine kolayca karıştırılan iki “kaynak” var.
Birincisi, bir IP adresi bloğunu internete duyuran kaynak otonom sistem. Buna çoğu zaman origin AS deniyor ve rota boyunca geçilen ağları sıralayan AS_PATH alanının sonunda görülüyor. RPKI gibi güvenlik mekanizmaları, belirli bir adres bloğunu bu ağın duyurmaya yetkili olup olmadığını denetlemeye çalışıyor.
İkincisi ise bu yazının konusu olan büyük harfli ORIGIN niteliği. Adına rağmen rota sahibini göstermiyor. Yalnızca rotanın BGP'ye hangi yöntemle girdiğini anlatıyor.
Üç değeri var: IGP, EGP ve INCOMPLETE. Sayısal karşılıkları sırasıyla 0, 1 ve 2.
IGP, rotanın kaynak ağın iç yönlendirme sistemi üzerinden BGP'ye girdiğini belirtir. EGP, BGP'den önce kullanılan ve bugün artık devre dışı kalmış bir protokolün hatırasıdır. INCOMPLETE ise rotanın BGP'ye başka bir yöntemle, örneğin elle tanımlanmış veya başka bir kaynaktan aktarılmış olarak girdiğini anlatır.
Buradaki INCOMPLETE, rotanın bozuk, eksik ya da güvensiz olduğu anlamına gelmez. Yalnızca BGP'nin rotanın ilk öğrenilme yöntemini daha ayrıntılı sınıflandıramadığını söyler. Benzer biçimde IGP etiketi de o rotanın daha güvenli veya gerçek sahibine daha ait olduğunu kanıtlamaz.
RFC 4271'e göre bu alan her rota duyurusunda bulunmak zorunda. İlk yönlendirici tarafından belirlendikten sonra da başka ağlar tarafından değiştirilmemesi gerekiyor.
Kâğıt üzerindeki kural bu. Gerçek ağlarda olan ise farklı.
Küçük sayı, eşitlikte rota kazandırıyor
BGP yönlendiricileri bir hedefe giden birden fazla yol gördüğünde tek ölçüte bakmıyor. Yol seçimi, her aşamasında bazı adayların elendiği bir yarış gibi ilerliyor.
Önce operatörün belirlediği yerel öncelik gibi güçlü kurallar devreye giriyor. Örneğin ağ, müşterisinden öğrendiği rotayı ücret ödediği transit sağlayıcının rotasına tercih edebilir. Sonraki aşamalarda rotanın geçtiği otonom sistem sayısı, yani kabaca AS_PATH uzunluğu karşılaştırılabilir. Hâlâ eşitlik varsa daha alt sıradaki niteliklere bakılır.
ORIGIN, bu listenin en üstünde değil. Tek başına her rotayı belirlemiyor. Fakat kendisinden önce gelen daha güçlü ölçütler eşit kaldığında küçük sayısal değeri olan rota tercih edilebiliyor. Bu durumda 0 değerini taşıyan IGP, 2 değerindeki INCOMPLETE karşısında kazanıyor.
Basit bir örnek düşünelim. Bir içerik ağı aynı adres bloğunu iki transit sağlayıcıya duyuruyor. İki rota da aynı yerel önceliğe ve aynı uzunluğa sahip. Sağlayıcılardan biri kendisine gelen INCOMPLETE etiketini değiştirmeden iletiyor. Diğeri etiketi IGP yapıyor. Yol seçimindeki sıra ORIGIN alanına geldiğinde ikinci sağlayıcının rotası öne geçebiliyor.
Daha fazla trafik, transit sağlayıcı için daha fazla kullanım ve kimi sözleşmelerde daha fazla gelir demek. Etiket her durumda sonuç üretmese bile eşitliğin oluştuğu rotalarda teraziyi değiştirebiliyor. Böylece tarihî bir protokol ayrıntısı ekonomik rekabet aracına dönüşüyor.
Burada klasik anlamda bir BGP kaçırma saldırısı olmak zorunda değil. Adres bloğunu duyuran kaynak ağ değişmiyor, rota sahte bir sahibin üzerine geçirilmiyor. Değişen şey, eşitlik durumunda hangi yolun tercih edileceğini etkileyen bir etiket.
Sonuç yine de masum değil. Bir ağ standarda uyarken rakibi etiketi yeniden yazarak trafik kazanabiliyorsa, kurala uymak ticari dezavantaja dönüşüyor. Bir süre sonra istisna davranış yeni norma yaklaşabiliyor.
Az sayıda ağ, çok sayıda yolu etkiliyor
Cloudflare deneyi için üç IPv4 ve üç IPv6 öneki hazırladı. Her adres ailesinde aynı rotayı IGP, EGP ve INCOMPLETE değerleriyle şirketin eşler arası bağlantı noktalarından duyurdu. Sonra yolların yeniden seçilmesini gözlemek için duyuruları geri çekti. Verileri RIPE RIS ve RouteViews'un halka açık rota toplayıcılarından, ayrıca kendi sınır yönlendiricilerinden aldı.
Doğrudan eşlerde yaklaşık yüzde 10'luk bir kesim ORIGIN değerini IGP olarak yeniden yazdı. İncelenen 16 Tier-1 ağın altısı da bu davranışı gösterdi. Daha uzun rota yollarında değişikliği belirli bir ağa atfedebildikleri 606 otonom sistemin 64'ü, yani yüzde 10,6'sı, etiketi IGP yaptı.
Fakat internet düz bir mahalle ağı değil. Bazı operatörler çok daha fazla yolun ortasında duruyor. Cloudflare'ın ölçümünde en büyük 50 ağın yüzde 26'sının, en büyük 100 ağın ise yüzde 20'sinin etiketi değiştirmesi bu nedenle önemli. Bu merkezî konum, yüzde 10 civarındaki değiştirici grubun izini gözlenen IPv4 yollarının yüzde 70'ine kadar taşıdı.
Yol seçimi sonuçlarında da avantaj görüldü. IPv4 tarafında etiketi değiştiren Tier-1 ağlar, aksi durumda kazanacakları 539 yolun üzerine 12 yol daha ekledi; kendi başlangıç paylarına göre kazanç yüzde 18 oldu. IPv6 tarafında 33 ek yol, yüzde 40'lık artış anlamına geldi.
Bu sayılar bütün internet trafiğinin yüzde 18 ya da 40'ının el değiştirdiğini söylemiyor. Deneydeki belirli rotaların, belirli gözlem noktalarındaki seçimini anlatıyor. Yine de eski alanın yalnız teorik bir ayrıntı olmadığını göstermeye yetiyor.
Ölçemediğimiz internet de var
Halka açık BGP toplayıcıları çok değerli, fakat her ağın her yönlendiricisini görmüyor. İnternetin büyük içerik şirketleriyle erişim sağlayıcılar arasında daha fazla doğrudan bağlantıya yönelmesi, bazı rotaların kamusal gözlem noktalarından hiç geçmemesine neden oluyor.
Cloudflare da bu sınırı açıkça kabul ediyor. Araştırmacılar yalnız gördükleri yol üzerinden çıkarım yapabildi. Bir etiket değişmişse, değişikliğin yol üzerindeki hangi ağda gerçekleştiğini bazı durumlarda kesin olarak belirlemek mümkün değildi. Bu nedenle çalışma, evrensel bir internet sayımı değil; büyük ölçekli ve kontrollü bir saha deneyi.
Tam da bu sebeple yüzde 70 rakamını tek başına manşete taşımak riskli. Önemli bulgu “internetin yüzde 70'i değiştiriliyor” değil. Önemli bulgu, görünür ağların yaklaşık onda birindeki davranışın, bu ağların merkezî konumu yüzünden gözlenen yolların yaklaşık üçte ikisine yayılabilmesi.
İnternet altyapısında güç, yalnız kaç şirketin bir davranışı benimsediğiyle ölçülmüyor. O şirketlerin kaç yolun ortasında bulunduğu da belirleyici.
Artık işe yaramayan alan neden hâlâ karar veriyor?
Cloudflare'ın önerisi sert fakat anlaşılır: ORIGIN alanının BGP yol seçimindeki rolü kaldırılmalı. Alan bir anda yok edilemiyor; mevcut standartta zorunlu. İlk adım olarak yönlendirici üreticileri alınan ve gönderilen bütün rotalarda değeri IGP olarak eşitleyebilir. Böylece alan pakette kalır, fakat rotalar arasında avantaj üretmez.
Bu fikir yeni de değil. ORIGIN alanını ağ sınırlarında temizlemeyi öneren bir IETF taslağı 2018'de sunuldu, ardından süresi doldu. Cloudflare şimdi tartışmanın yeniden açılmasını istiyor.
Elbette internet omurgasında “bu alan artık gereksiz” demek, onu ertesi sabah kapatmaya yetmiyor. Farklı üreticilerin cihazları, yıllardır çalışan operatör politikaları ve beklenmeyen uyumluluk sorunları var. Küresel bir protokol değişikliği koordinasyon gerektiriyor.
Fakat mevcut durum da tarafsız değil. Anlamını yitirmiş bir alan karar sürecinde kaldığı sürece, onu değiştirenler avantaj elde edebiliyor. Değiştirmeyenler ise iyi davranışlarının bedelini trafik kaybıyla ödüyor.
İnternet çoğu zaman yalnız teknik standartlarla ayakta duran bir sistem gibi anlatılıyor. Gerçekte standartların çevresinde sürekli bir teşvik pazarlığı var. Bir kural para kazandırıyorsa kullanılıyor; para kaybettiriyorsa aşındırılıyor.
Bu yüzden eski protokol parçalarını temizlemek estetik bir mühendislik işi değil. Kurala uymanın cezaya dönüşmesini engelleme işi. İnternetin yön tabelaları, üzerinde yazan kelimeler anlamını yitirdiğinde bile trafiği yönlendirmeye devam ediyor.
