PLNOG30 - Jak budować usługi by ich nie pogubić

### Overview Podczas 30. edycji konferencji PLNOG Łukasz Bromiński przedstawił prezentację poświęconą architekturze Anycast i technikom równoważenia ruchu (load balancingu) w nowoczesnych sieciach IP. Prelegent nawiązał do swojego wystąpienia z 2011 roku, w którym udowadniał możliwość skutecznego działania Anycastu dla protokołu TCP oraz zastosowania blackholingu w obronie przed atakami DDoS. Celem sesji było omówienie ewolucji mechanizmów sieciowych, fizycznych ograniczeń sprzętu (krzemu) oraz zaprezentowanie praktycznych metod inżynierii ruchu przy wykorzystaniu BGP, ECMP, tunelowania i Add-Path.

### Key Topics - **Ewolucja Anycast i ochrona usług**: Historia wykorzystania Anycastu do skalowania DNS (od root serwerów po instancje u polskich operatorów) oraz mitigacji ataków DDoS i przeciążeń. - **Krzem vs. oprogramowanie**: Przesunięcie balansu między programowym przetwarzaniem ruchu (np. Squid, proxy aplikacyjne) a sprzętowym load balancingiem w ASIC routerów i przełączników w warstwach L2–L4. - **Wyzwania enkapsulacji i tunelowania**: Trudności z haszowaniem i polaryzacją ruchu w tunelach (np. ruch GTP w sieciach mobilnych 4G/5G, MPLS, VXLAN, GRE) oraz problem braku entropii w nagłówkach. - **ECMP i UCMP w złożonych topologiach**: Równoważenie ruchu o równym (ECMP) i nierównym koszcie (UCMP) w rzeczywistych sieciach produkcyjnych, w których idealne symetrie znane ze slajdów rzadko występują. - **Tunele i nakładki (Overlays)**: Omijanie ograniczeń skomplikowanych metryk sieci podkładowej (underlay) poprzez tworzenie sieci nakładkowych i tuneli (np. RSVP, BGP, Segment Routing). - **BGP Multipath i Add-Path**: Wymuszanie na procesie BGP instalowania i rozgłaszania wielu alternatywnych ścieżek do tego samego prefiksu anycastowego.

### Technical Details - **Skalowanie DNS i wydajność**: Wdrożenia Anycast na tanim sprzęcie pozwoliły polskim operatorom osiągać wydajność rzędu 80 milionów zapytań DNS na sekundę w testach laboratoryjnych, zastępując pojedyncze serwery Sun/Solaris. - **Haszowanie w sprzęcie**: Wykorzystanie krotek warstw L3/L4 (m.in. losowy wysoki port źródłowy UDP/TCP wybierany przez klienta DNS odpytującego port 53) do stabilnego rozrzucania ruchu pomiędzy różne instancje za pomocą ECMP. - **BGP Multipath w laboratorium**: Demonstracja na wirtualnych routerach z demonem DNS NSD na adresie `123.9.53.53/32`. Domyślnie BGP wybiera jedną najlepszą trasę (np. na podstawie Router ID). Włączenie `maximum-paths` (np. do 4 lub więcej) pozwala zainstalować wiele ścieżek w tablicy routingu (RIB/FIB) routera brzegowego (R1). - **BGP Add-Path w architekturze z Route Reflectorem**: Demonstracja bardziej złożonej topologii asymetrycznej (prefiks `33.56.53.53/32`). Zastosowanie rozszerzenia BGP Add-Path na Route Reflectorze (R4) oraz routerach klienckich (R5), aby router odbijający trasy przekazywał wszystkie ścieżki do klienta (R7), zamiast ukrywać trasy alternatywne i wysyłać tylko jeden „best path”.

### Takeaways - Anycast w połączeniu z ECMP zapewnia efektywne i bezpłatne narzutowo skalowanie usług, pod warunkiem zachowania symetrii metryk lub odpowiedniego przygotowania protokołów routingu. - W skomplikowanych środowiskach produkcyjnych, gdzie zmiana metryk IGP grozi awarią wielu usług, standardowym rozwiązaniem problemu asymetrii jest budowa sieci nakładkowej (overlay) za pomocą tuneli o ujednoliconym koszcie. - BGP w sieci wewnętrznej jest elastycznym narzędziem do inżynierii ruchu, a mechanizmy takie jak BGP Multipath i BGP Add-Path są kluczowe, aby zapobiec monopolizacji ruchu anycastowego przez jedną instancję wybraną wyłącznie przez mechanizm tie-break (np. niższy Router ID).