Kiểm thử BGP FlowSpec: từ rule propagation đến blast radius

FlowSpec mã hóa điều kiện match và action trong BGP NLRI/extended community. RFC 8955 mô tả IPv4 FlowSpec; RFC 8956 mở rộng cho IPv6. Mục tiêu đầu tiên không phải “neighbor đã nhận route” mà là rule có vượt qua validation, được cài ở đúng node, match đúng tập packet và tạo action đã định hay không.

Chia bài toán thành năm lớp: controller tạo rule; BGP phân phối; router validation/import; data plane thực thi; telemetry chứng minh kết quả. Một dòng show bgp flowspec chỉ bao phủ hai hoặc ba lớp đầu. Rule có thể hiện trong RIB nhưng không vào forwarding, hoặc được thực thi khác nhau giữa line card và phiên bản.

FlowSpec thường dùng khi ứng phó DDoS, redirect sang scrubbing hoặc rate-limit một nhóm traffic. Vì vậy false positive có thể nghiêm trọng hơn false negative: rule quá rộng có thể cắt dịch vụ hợp lệ. Tiêu chí pass/fail phải bao gồm cả traffic cần chặn và traffic bắt buộc được giữ.

Topology tối thiểu gồm controller hoặc injector, route reflector nếu kiến trúc có dùng, hai router thực thi đại diện, traffic generator hai phía và collector telemetry. Tạo một đường quan sát ngoài vùng enforcement để xác nhận traffic nguồn; đặt capture/counter sau từng node thực thi để phân biệt drop, rate-limit, redirect hay đánh dấu.

Thử cả đường trực tiếp và qua RR; nếu multi-AS, ghi rõ eBGP/iBGP boundary, policy import/export, route target và cộng đồng kiểm soát. Với IPv6, dùng AFI/SAFI và component theo RFC 8956 thay vì suy rộng kết quả IPv4. Khóa model, OS, line card, FIB mode và capability vì việc hỗ trợ component/action có thể khác nhau.

Chuỗi bằng chứng nên có cùng test ID: cấu hình rule nguồn; raw BGP UPDATE hoặc BMP; RIB/FIB của router; counter theo rule; sequence/timestamp của traffic; log withdrawal và recovery. Đồng bộ thời gian giữa các nguồn để đo propagation và enforcement delay mà không trộn clock error.

Tạo rule từ đơn giản đến tổ hợp: destination/source prefix, protocol, source/destination port, TCP flags, packet length, DSCP và fragment condition theo capability. Mỗi lần chỉ thay một component. Với conjunction nhiều component, kiểm tra thứ tự canonical và validation theo RFC; không giả định chuỗi cấu hình của CLI chính là encoding trên wire.

Action có thể gồm discard, traffic-rate, redirect hoặc marking tùy implementation. Không dùng tên action chung để suy ra hành vi: rate bằng 0 có thể được diễn giải là discard theo chuẩn/triển khai, còn redirect cần xác nhận VRF/next hop và vòng lặp. Mọi action phải gắn với phiên bản tài liệu của thiết bị đang thử.

Traffic profile cần có positive set, near-miss negative set và control set. Ví dụ rule match TCP/443 tới prefix /24: positive traffic đúng prefix/port; negative traffic cùng prefix nhưng UDP/443, TCP/8443, địa chỉ sát biên và fragment; control traffic tới prefix khác. Thêm mouse/elephant flow và IMIX để phát hiện khác biệt giữa packet-rate và byte-rate.

KPI control plane gồm thời gian từ inject đến RR/PE nhận, validation reject, import/install success, số node nhận đúng scope, withdrawal propagation và stale rule sau restart. Ghi raw update hoặc BMP để xác định lỗi do controller không phát, policy chặn hay router reject.

KPI data plane gồm false pass, false drop, throughput sau rate-limit, packet loss, latency/jitter của traffic hợp lệ, redirect delivery, DSCP outcome và thời gian từ install đến enforcement. Với rate-limit, đo theo cửa sổ đủ dài và burst ngắn; average đúng không chứng minh policer xử lý burst đúng.

KPI · Phương pháp đo · Bằng chứng · Ví dụ pass/fail cần chốt Propagation · Timestamp inject–receive · Controller log + BMP · Trong ngân sách phản ứng Install coverage · Đếm node dự kiến/thực tế · RIB/FIB snapshot · Đúng toàn bộ scope Match accuracy · Positive/negative corpus · Sequence + rule counter · Không false drop ngoài policy Enforcement delay · Marker trước/sau rule · Capture hai phía · Trong ngưỡng vận hành Rate accuracy · Offered/forwarded rate · Generator + egress capture · Theo tolerance đã phê duyệt Withdrawal recovery · Rút rule, đo packet · BGP log + sequence · Không stale rule; recovery đúng hạn

Ma trận phải phủ cả syntax hợp lệ, rule xung đột và lỗi hệ thống. Thử rule cụ thể hơn/rộng hơn, nhiều action trên cùng tập traffic và khác thứ tự quảng bá. Xác định precedence theo chuẩn và implementation; không dựa vào thời gian tạo rule nếu thiết bị không cam kết như vậy.

Tình huống · Thao tác · Kỳ vọng · Rủi ro cần bắt Baseline · Không có FlowSpec · Traffic qua theo routing/ACL gốc · Sai baseline Exact match · Một rule hẹp · Chỉ positive set bị tác động · False drop Near miss · Đổi port/protocol/prefix biên · Không bị tác động · Overmatch Overlap · Rule rộng + cụ thể · Precedence nhất quán · Hành vi khác node Invalid route · Sai validation/origin · Bị reject, có log · Rule ngoài thẩm quyền RR restart · Restart/GR theo lab · Không stale vô hạn · State drift Withdraw · Rút rule · Data plane phục hồi · Rule còn trong hardware Controller split · Hai nguồn phát xung đột · Guardrail quyết định · Blast radius

Pha A chụp baseline routing, ACL/QoS và traffic không FlowSpec. Pha B inject một rule discard hẹp trong prefix lab, kiểm tra raw update, validation, install và positive/negative traffic. Pha C thử rate-limit/redirect nếu capability được xác nhận. Pha D tăng số rule và update rate. Pha E gây RR/controller/link failure rồi đo withdrawal và reconciliation.

Scale test không chỉ tăng tổng số rule. Cần thay tỷ lệ add/withdraw/update, số component mỗi rule và phân bố prefix. Theo dõi CPU control plane, BGP queue, FIB programming, counter lag và convergence của unicast route bình thường để phát hiện FlowSpec gây tranh chấp tài nguyên.

• Gắn test ID vào BGP community và payload/flow marker nếu phù hợp.
• Snapshot RIB/FIB, policy và counter trước mỗi ca.
• Phát positive, near-miss và control traffic đồng thời.
• Inject một rule; đánh dấu timestamp nguồn.
• Xác nhận phạm vi node nhận và node thực thi.
• So offered/forwarded packets theo từng lớp traffic.
• Rút rule; đo recovery và kiểm tra hardware state.
• Lặp lại sau restart, failover và config rollback.
• Xuất raw evidence cùng verdict, không chỉ ảnh CLI.

Giới hạn nguồn được phép quảng bá bằng session authentication, prefix/AS policy, community và danh sách action cho phép. Đặt maximum rule, maximum prefix scope, TTL/expiry ở lớp orchestration nếu có và cơ chế two-person approval cho action nguy hiểm. Guardrail là yêu cầu vận hành; không phải mọi mục đều do RFC bắt buộc.

Runbook cần có kill switch độc lập với controller chính, cách rút toàn bộ rule theo tenant/incident, xác minh data plane đã phục hồi và bảo toàn bằng chứng. Nếu controller lỗi phát rule rộng, cùng hệ thống đó có thể không đáng tin để rollback; cần đường quản trị và quyền khẩn cấp đã thử trước.

Rule được nhận nhưng không tác động có thể do validation, import policy, unsupported component/action hoặc lỗi program hardware. Counter tăng nhưng capture không đổi có thể do counter nằm trước action. Traffic hợp lệ mất theo rule thường chỉ ra overmatch, precedence hoặc phạm vi route rộng hơn dự kiến.

Kết quả chỉ áp dụng cho topology, OS, line card, component, action và scale đã thử. IPv4 pass không chứng minh IPv6 pass; discard pass không chứng minh redirect/rate-limit. Không thử nghiệm action phá hủy trên production ngoài change window và phạm vi được phê duyệt.

• FlowSpec NLRI: Biểu diễn điều kiện phân loại traffic được phân phối bằng BGP.
• Traffic action: Hành vi như discard, rate-limit, redirect hoặc marking.
• Validation: Kiểm tra route FlowSpec có hợp lệ và được phép cài đặt hay không.
• Positive/negative set: Traffic phải match và traffic gần giống nhưng không được match.
• Blast radius: Phạm vi dịch vụ bị ảnh hưởng nếu policy sai.
• Withdrawal: BGP update rút rule khỏi hệ thống.
• RIB/FIB: Trạng thái control plane và forwarding/data plane.