WanGuard 8.4: GoBGP zamiast ExaBGP — co ta zmiana oznacza dla RTBH i BGP FlowSpec

Krótka odpowiedź: w wydaniu WanGuard 8.4 dotychczasowy demon BGP, ExaBGP, został zastąpiony przez GoBGP. Zmiana dotyczy komponentu, przez który system ogłasza trasy RTBH i reguły BGP FlowSpec do routerów — czyli ostatniego ogniwa między decyzją o odfiltrowaniu ataku a jego faktycznym zablokowaniem. GoBGP stabilniej znosi dużą liczbę aktualizacji BGP, szybciej je propaguje i pokazuje pełną listę peerów w GUI. To nie jest nowość — 8.4 to starsza linia, aktualna to WanGuard 9.x, w której GoBGP jest już standardem. Tekst zostawiamy jako kontekst historyczny i wyjaśnienie, dlaczego wybór demona BGP w ogóle ma znaczenie.

Dlaczego demon BGP w ogóle ma znaczenie?

System wykrywa anomalię i podejmuje decyzję: odciąć adres przez RTBH albo dopasować ruch regułą BGP FlowSpec. Sama decyzja jest bezwartościowa, dopóki nie dotrze do urządzenia, które ją wykona. Nośnikiem jest sesja BGP, a demon BGP to proces, który tę sesję utrzymuje i wysyła komunikaty UPDATE do routerów — własnych i, jeśli tak umówiłeś się z operatorem, także jego.

Z tego wynikają trzy konsekwencje, które w praktyce decydują o skuteczności obrony:

• Czas propagacji. Opóźnienie w wysłaniu aktualizacji przekłada się jeden do jednego na czas, przez który atak dalej dociera do sieci. Nie ma znaczenia, że wykrycie zajęło pięć sekund, jeśli ogłoszenie reguły zajmie kolejne trzydzieści.
• Odporność na lawinę aktualizacji. Podczas dużego, rozproszonego ataku system generuje bardzo wiele reguł w krótkim czasie. Demon, który się w takiej sytuacji zapycha albo restartuje, wywraca całą obronę — a restart procesu BGP to jednocześnie utrata sesji, czyli wycofanie wszystkich już ogłoszonych reguł.
• Widoczność stanu sesji. Jeśli nie wiesz, że sesja z routerem padła, żyjesz w przekonaniu, że jesteś chroniony, podczas gdy żadna reguła nie dociera do celu. To najgorszy możliwy tryb awarii, bo cichy.

Co konkretnie zmieniło się w WanGuard 8.4?

Zastąpienie ExaBGP przez GoBGP było zmianą infrastrukturalną, nie kosmetyczną. Producent wskazywał trzy obszary poprawy:

Stabilność. GoBGP jest odporniejszy na dużą liczbę aktualizacji BGP w krótkim czasie — czyli dokładnie na warunki panujące w trakcie intensywnego ataku DDoS, gdy reguły powstają seriami.

Szybsza reakcja. Zoptymalizowana architektura oznacza szybszą propagację aktualizacji i efektywniejsze wykorzystanie zasobów, co zmniejsza ryzyko przerwy w krytycznym momencie.

Skalowalność. Liczba peerów BGP przestała być czynnikiem ograniczającym — mała sieć z jednym routerem brzegowym i data center z wieloma sesjami do operatorów obsługiwane są tym samym mechanizmem.

Do tego doszła zmiana widoczna od razu po zalogowaniu — pełna lista peerów BGP w GUI. Administrator widzi w jednym miejscu wszystkie sesje, ich status i aktywność w czasie rzeczywistym, więc niedziałającą sesję można naprawić, zanim będzie potrzebna. Wracamy tu do „cichego trybu awarii": sesja BGP, o której nie wiesz, że nie działa, jest groźniejsza niż sesja, której nigdy nie skonfigurowałeś.

Co to zmienia w praktyce dla RTBH i BGP FlowSpec?

Dla RTBH zmiana ma znaczenie umiarkowane. Ogłoszenie trasy blackhole to pojedyncza, prosta aktualizacja i praktycznie każdy demon BGP sobie z nią poradzi. Liczy się tu głównie czas propagacji i pewność, że sesja żyje. Przypominamy przy okazji, że RTBH nie jest ochroną, tylko kontrolowanym odcięciem atakowanego adresu — kiedy warto go użyć, a kiedy nie, opisaliśmy w tekście RTBH: jak i kiedy stosować.

Dla BGP FlowSpec różnica jest znacznie większa. Reguła FlowSpec to złożony obiekt: dopasowania po adresie źródłowym i docelowym, protokole, portach, długości pakietu, flagach — plus akcja. Przy ataku wielowektorowym system generuje ich dziesiątki, a każda zmiana charakterystyki ataku oznacza kolejną serię aktualizacji i wycofań. To właśnie ten scenariusz, w którym stabilność demona pod obciążeniem przestaje być parametrem z karty katalogowej, a staje się różnicą między działającą a niedziałającą obroną. Szczegóły mechanizmu opisaliśmy w tekście o filtrowaniu ataków DDoS regułami BGP FlowSpec.

Trzeci scenariusz to sesja do operatora. Jeśli atak przekracza pojemność Twojego uplinku, reguła musi zostać wypchnięta wyżej, do sieci operatora — bo żadne urządzenie w Twojej serwerowni nie odfiltruje ruchu, który wysyci łącze, zanim do niego dotrze. Taka sesja jest z natury wrażliwsza: przechodzi przez granicę administracyjną, a druga strona ma własne limity liczby przyjmowanych prefiksów i reguł.

Czy ta zmiana jest jeszcze aktualna?

Nie w kategorii „nowość". WanGuard 8.4 to wydanie z lutego 2025 roku, a aktualna linia produktu to 9.x. Jeśli wdrażasz system dzisiaj, GoBGP dostajesz po prostu jako domyślny i wbudowany komponent — nie ma nic do wybierania ani do migrowania.

Tekst zachowuje jednak wartość w dwóch sytuacjach.

Po pierwsze, jeśli utrzymujesz jeszcze instalację 8.x. Wtedy warto wiedzieć, czy Twoja wersja jest sprzed czy po zmianie demona, bo diagnostyka problemów z ogłaszaniem reguł wygląda inaczej w każdym z tych przypadków — inne procesy, inne logi, inny sposób sprawdzenia stanu sesji.

Po drugie, jeśli oceniasz system ochrony przed DDoS — swój albo cudzy. Pytanie „jaki demon BGP i jak zachowuje się przy tysiącach aktualizacji na minutę" jest jednym z sensowniejszych pytań, jakie można zadać dostawcy, a pada rzadko. Zwykle rozmowa kręci się wokół przepustowości filtrowania, która przy ataku przekraczającym pojemność uplinku i tak nie ma znaczenia.

Sama modernizacja jest technicznie nieskomplikowana, ale dotyka komponentu, który podczas przełączania na chwilę zrywa sesje BGP — dlatego planuje się ją w oknie serwisowym i z przygotowanym wycofaniem. Architekturę systemu opisaliśmy na stronie o WanGuard; jeśli planujesz aktualizację z linii 8.x, nasze wsparcie pomoże przejść przez nią bez niespodzianek.

Najczęstsze pytania

Czym różni się GoBGP od ExaBGP w WanGuard?

GoBGP lepiej znosi dużą liczbę aktualizacji BGP w krótkim czasie, szybciej je propaguje i nie ma praktycznego limitu liczby peerów. Dodatkowo integracja z GUI pokazuje pełną listę sesji BGP wraz z ich statusem, czego wcześniej brakowało. Z punktu widzenia administratora najbardziej zauważalna jest właśnie ta widoczność.

Czy zmiana demona BGP wpływa na skuteczność filtrowania ruchu?

Pośrednio, ale realnie. Demon nie filtruje ruchu — robi to router lub serwer filtrujący. Decyduje natomiast o tym, jak szybko i jak niezawodnie reguła dotrze do urządzenia wykonawczego. Przy atakach wielowektorowych, generujących dziesiątki reguł BGP FlowSpec naraz, to jest wąskie gardło całego łańcucha.

Mam WanGuard 8.x — czy warto aktualizować?

Tak, choć nie z powodu samego GoBGP. Linia 9.x przynosi zmiany wykraczające poza demona BGP, a wsparcie dla starszych wydań jest ograniczone czasowo. Aktualizację planuj w oknie serwisowym, bo w trakcie przełączania sesje BGP na moment się zrywają — a to oznacza wycofanie ogłoszonych reguł.

Skąd sprawdzę, czy moje sesje BGP faktycznie działają?

W konsoli WanGuard, na liście peerów BGP — pokazuje status i aktywność każdej sesji w czasie rzeczywistym. Sprawdzaj ją okresowo, a nie dopiero w trakcie incydentu: sesja, która padła tydzień temu, nie zgłosi się sama.