WanGuard 8.4: GoBGP zamiast ExaBGP, co ta zmiana oznacza dla RTBH i BGP FlowSpec

Krótka odpowiedź: w wydaniu WanGuard 8.4 dotychczasowy demon BGP, ExaBGP, został zastąpiony przez GoBGP. Zmiana dotyczy komponentu, przez który system ogłasza trasy RTBH i reguły BGP FlowSpec do routerów, czyli ostatniego ogniwa między decyzją o odfiltrowaniu ataku a jego faktycznym zablokowaniem. GoBGP stabilniej znosi dużą liczbę aktualizacji BGP, szybciej je propaguje i pokazuje pełną listę peerów w GUI. To nie jest nowość: 8.4 to starsza linia, aktualna to WanGuard 9.x, w której GoBGP jest już standardem. Tekst zostawiamy jako kontekst historyczny i wyjaśnienie, dlaczego wybór demona BGP w ogóle ma znaczenie.

Dlaczego demon BGP w ogóle ma znaczenie?

System wykrywa anomalię i podejmuje decyzję: odciąć adres przez RTBH albo dopasować ruch regułą BGP FlowSpec. Sama decyzja jest bezwartościowa, dopóki nie dotrze do urządzenia, które ją wykona. Nośnikiem jest sesja BGP, a demon BGP to proces, który tę sesję utrzymuje i wysyła komunikaty UPDATE do routerów: własnych i, jeśli tak umówiłeś się z operatorem, także jego.

Z tego wynikają trzy konsekwencje, które w praktyce decydują o skuteczności obrony:

• Czas propagacji. Opóźnienie w wysłaniu aktualizacji przekłada się jeden do jednego na czas, przez który atak dalej dociera do sieci. Nie ma znaczenia, że wykrycie zajęło pięć sekund, jeśli ogłoszenie reguły zajmie kolejne trzydzieści.
• Odporność na lawinę aktualizacji. Podczas dużego, rozproszonego ataku system generuje bardzo wiele reguł w krótkim czasie. Demon, który się w takiej sytuacji zapycha albo restartuje, wywraca całą obronę, a restart procesu BGP to jednocześnie utrata sesji, czyli wycofanie wszystkich już ogłoszonych reguł.
• Widoczność stanu sesji. Jeśli nie wiesz, że sesja z routerem padła, żyjesz w przekonaniu, że jesteś chroniony, podczas gdy żadna reguła nie dociera do celu. To najgorszy możliwy tryb awarii, bo cichy.

Co konkretnie zmieniło się w WanGuard 8.4?

Zastąpienie ExaBGP przez GoBGP było zmianą infrastrukturalną, nie kosmetyczną. Producent wskazywał trzy obszary poprawy:

Stabilność. GoBGP jest odporniejszy na dużą liczbę aktualizacji BGP w krótkim czasie, czyli dokładnie na warunki panujące w trakcie intensywnego ataku DDoS, gdy reguły powstają seriami.

Szybsza reakcja. Zoptymalizowana architektura oznacza szybszą propagację aktualizacji i efektywniejsze wykorzystanie zasobów, co zmniejsza ryzyko przerwy w krytycznym momencie.

Skalowalność. Liczba peerów BGP przestała być czynnikiem ograniczającym: mała sieć z jednym routerem brzegowym i data center z wieloma sesjami do operatorów obsługiwane są tym samym mechanizmem.

Do tego doszła zmiana widoczna od razu po zalogowaniu: pełna lista peerów BGP w GUI. Administrator widzi w jednym miejscu wszystkie sesje, ich status i aktywność w czasie rzeczywistym, więc niedziałającą sesję można naprawić, zanim będzie potrzebna. Wracamy tu do „cichego trybu awarii": sesja BGP, o której nie wiesz, że nie działa, jest groźniejsza niż sesja, której nigdy nie skonfigurowałeś.

Co to zmienia w praktyce dla RTBH i BGP FlowSpec?

Dla RTBH zmiana ma znaczenie umiarkowane. Ogłoszenie trasy blackhole to pojedyncza, prosta aktualizacja i praktycznie każdy demon BGP sobie z nią poradzi. Liczy się tu głównie czas propagacji i pewność, że sesja żyje. Przypominamy przy okazji, że RTBH nie jest ochroną, tylko kontrolowanym odcięciem atakowanego adresu: kiedy warto go użyć, a kiedy nie, opisaliśmy w tekście RTBH: jak i kiedy stosować.

Dla BGP FlowSpec różnica jest znacznie większa. Reguła FlowSpec to złożony obiekt: dopasowania po adresie źródłowym i docelowym, protokole, portach, długości pakietu, flagach, plus akcja. Przy ataku wielowektorowym system generuje ich dziesiątki, a każda zmiana charakterystyki ataku oznacza kolejną serię aktualizacji i wycofań. To właśnie ten scenariusz, w którym stabilność demona pod obciążeniem przestaje być parametrem z karty katalogowej, a staje się różnicą między działającą a niedziałającą obroną. Szczegóły mechanizmu opisaliśmy w tekście o filtrowaniu ataków DDoS regułami BGP FlowSpec.

Trzeci scenariusz to sesja do operatora. Jeśli atak przekracza pojemność Twojego uplinku, reguła musi zostać wypchnięta wyżej, do sieci operatora, bo żadne urządzenie w Twojej serwerowni nie odfiltruje ruchu, który wysyci łącze, zanim do niego dotrze. Taka sesja jest z natury wrażliwsza: przechodzi przez granicę administracyjną, a druga strona ma własne limity liczby przyjmowanych prefiksów i reguł.

Czy ta zmiana jest jeszcze aktualna?

Nie w kategorii „nowość". WanGuard 8.4 to wydanie z lutego 2025 roku, a aktualna linia produktu to 9.x. Jeśli wdrażasz system dzisiaj, GoBGP dostajesz po prostu jako domyślny i wbudowany komponent: nie ma nic do wybierania ani do migrowania.

Tekst zachowuje jednak wartość w dwóch sytuacjach.

Po pierwsze, jeśli utrzymujesz jeszcze instalację 8.x. Wtedy warto wiedzieć, czy Twoja wersja jest sprzed czy po zmianie demona, bo diagnostyka problemów z ogłaszaniem reguł wygląda inaczej w każdym z tych przypadków, inne procesy, inne logi, inny sposób sprawdzenia stanu sesji.

Po drugie, jeśli oceniasz system ochrony przed DDoS, swój albo cudzy. Pytanie „jaki demon BGP i jak zachowuje się przy tysiącach aktualizacji na minutę" jest jednym z sensowniejszych pytań, jakie można zadać dostawcy, a pada rzadko. Zwykle rozmowa kręci się wokół przepustowości filtrowania, która przy ataku przekraczającym pojemność uplinku i tak nie ma znaczenia.

Sama modernizacja jest technicznie nieskomplikowana, ale dotyka komponentu, który podczas przełączania na chwilę zrywa sesje BGP: dlatego planuje się ją w oknie serwisowym i z przygotowanym wycofaniem. Architekturę systemu opisaliśmy na stronie o WanGuard; jeśli planujesz aktualizację z linii 8.x, nasze wsparcie pomoże przejść przez nią bez niespodzianek.

Najczęstsze pytania

Czym różni się GoBGP od ExaBGP w WanGuard?

GoBGP lepiej znosi dużą liczbę aktualizacji BGP w krótkim czasie, szybciej je propaguje i nie ma praktycznego limitu liczby peerów. Dodatkowo integracja z GUI pokazuje pełną listę sesji BGP wraz z ich statusem, czego wcześniej brakowało. Z punktu widzenia administratora najbardziej zauważalna jest właśnie ta widoczność.

Czy zmiana demona BGP wpływa na skuteczność filtrowania ruchu?

Pośrednio, ale realnie. Demon nie filtruje ruchu, robi to router lub serwer filtrujący. Decyduje natomiast o tym, jak szybko i jak niezawodnie reguła dotrze do urządzenia wykonawczego. Przy atakach wielowektorowych, generujących dziesiątki reguł BGP FlowSpec naraz, to jest wąskie gardło całego łańcucha.

Mam WanGuard 8.x: czy warto aktualizować?

Tak, choć nie z powodu samego GoBGP. Linia 9.x przynosi zmiany wykraczające poza demona BGP, a wsparcie dla starszych wydań jest ograniczone czasowo. Aktualizację planuj w oknie serwisowym, bo w trakcie przełączania sesje BGP na moment się zrywają, a to oznacza wycofanie ogłoszonych reguł.

Skąd sprawdzę, czy moje sesje BGP faktycznie działają?

W konsoli WanGuard, na liście peerów BGP, pokazuje status i aktywność każdej sesji w czasie rzeczywistym. Sprawdzaj ją okresowo, a nie dopiero w trakcie incydentu: sesja, która padła tydzień temu, nie zgłosi się sama.