Hvad er anycast, og hvorfor det gør dit CDN hurtigere
Anycast er en af de slags netværksmagier, der gør det moderne web hurtigt. Hvad det er, hvordan det rent faktisk virker, og det spørgsmål, alle spørger, når de først hører om det.
Anycast lader mange servere i mange byer annoncere og dele en enkelt IP-adresse. Internetrouting leverer derefter hver enkelt besøgendes pakker til den placering, der er tættest på netværket. Resultatet er lavere ventetid, failover, der sker automatisk inden for få sekunder, og angrebstrafik, der spreder sig over hele netværket i stedet for at hobe sig på en maskine.
Normalt betyder én IP-adresse én maskine ét sted. Anycast bryder denne antagelse på en virkelig nyttig måde: den samme adresse findes i snesevis af steder på samme tid, og internettets egen routing bestemmer, hvilken du når. Første gang du hører det beskrevet, lyder det som om, det ikke burde virke.
Hvad er anycast?
Anycast er en netværksadresseringsmetode, hvor en enkelt IP-adresse annonceres fra flere steder på én gang, og routere leverer trafik til den placering, der er tættest på netværksstien. Afsenderen gør intet anderledes – den sender til én adresse, og netværket løser, hvilke kopier der svarer.
Den sædvanlige analogi er et nationalt telefonnummer til en kæde af butikker: du ringer det samme nummer fra hvor som helst og når din lokale filial uden at slå noget op. Det er en anstændig analogi til effekten, selvom den skjuler mekanismen, som er værd at forstå, fordi den forklarer begrænsningerne.
Sådan fungerer det faktisk: BGP
Internettet er ikke ét netværk. Det er omkring 75.000 uafhængige netværk - internetudbydere, hostingfirmaer, universiteter, indholdsudbydere - hver identificeret ved et autonomt systemnummer, der udveksler routingoplysninger med hinanden ved hjælp af grænsen. Gateway Protocol.
BGP er hovedsagelig en kontinuerlig samtale, hvor netværk annoncerer "Jeg kan nå disse adresseområder, og her er vejen". Hver router indsamler disse meddelelser, og for enhver destination vælger den bedste tilgængelige sti ved et sæt regler, der omfatter antallet af netværk, som trafikken skal krydse.
Anycast kommer ganske enkelt med den samme meddelelse mange steder fra. Et netværk i København annoncerer sortimentet; det samme gør et i Singapore; det samme gør et i Sao Paulo. En router i Danmark hører alle tre meddelelser, ser, at den københavnske rute er kortest, og installerer den rute. En router i Malaysia gør det samme aritmetiske og installerer Singapore ruten. Hverken routeren ved eller bekymrer sig om, at de andre eksisterer.
Bemærk, hvad "nærmeste" betyder her: færrest netværkshumle og den bedste rutepolitik, ikke færrest kilometer. Disse er som regel sammenfaldende. Lejlighedsvis gør de det ikke - en besøgende kan blive dirigeret til en by længere væk, fordi det er der, deres internetudbyders peering sker. Det er en reel effekt, og årsagen anycast og geografisk routing undertiden uenige.
"Men bryder det ikke TCP?"
Dette er det første spørgsmål, som alle med erfaring i netværk stiller, og det er et godt spørgsmål. TCP forbindelser er stateful. Hvis pakke 1 ankommer til København og pakke 2 ankommer til Frankfurt, har Frankfurt-serveren ingen idé om, hvad forbindelsen er og nulstiller den. Så hvorfor virker anycast overhovedet?
Fordi BGP-ruter er stabile på tidsskalaen for en webanmodning. Rutetabeller ændrer sig, men ikke tusindvis af gange i sekundet - en given routers valgte sti til et givet præfiks holder typisk i minutter eller timer. En TCP-forbindelse, der varer et par sekunder, vil næsten altid bruge hele sit liv på at tale til det samme sted.
Næsten altid er ikke altid, og de tilfælde, hvor det bryder er reelle: en routing ændring midten af forbindelsen sender de resterende pakker et andet sted, og forbindelsen dør. På det åbne internet er dette sjældent nok til at være en afrundingsfejl, og browseren tilsluttes simpelthen igen. QUIC forbedrer dette yderligere, da det identificerer forbindelser ved et forbindelses-id snarere end ved IP og port tuple, så det kan overleve at blive afleveret til en anden sti mere yndefuldt end TCP kan.
Tre ting, der giver dig
Failover uden DNS
Det er den stille supermagt. Hvis en anycast-placering går ned, stopper den med at annoncere ruten, tilstødende routere trækker den tilbage, og trafikken konvergerer på den nærmeste placering - typisk inden for sekunder, uden at nogen redigerer en DNS-post og ingen cachelagret svar peger på en død server.
Sammenlign det med DNS-baseret failover, hvor hastigheden på genoprettelsen begrænses af din TTL og af resolvere, der ignorerer det. En 300 sekunder lang TTL betyder, at nogle besøgende bliver sendt til en maskine, der ikke er der.
DDoS-forsvar ved hjælp af geometri
Et botnet, der angriber en anycast-adresse, får ikke lov til at vælge, hvilken placering den rammer. Hver bots trafik dirigeres til det sted, der er tættest på den pågældende bot, så et globalt distribueret angreb automatisk deler sig på tværs af et globalt distribueret netværk. Et angreb, der ville mætte et sted, kommer som en brøkdel af det på halvtreds. Ingen konfiguration er involveret – det er en egenskab ved, hvordan adresseringen fungerer.
Hvor anycast ikke er svaret
To ærlige begrænsninger.
Du har brug for adresseplads og BGP. At køre anycast kræver dine egne IP-områder, et autonomt systemnummer og BGP-sessioner med transitudbydere og jævnaldrende på alle steder. Det er ikke et weekendprojekt, og derfor er anycast noget, du får fra en udbyder snarere end noget, du tænder for.
Du får mindre kontrol. Med GeoDNS kan du beslutte, at portugisiske besøgende skal nå en bestemt server, uanset af hvilken grund du kan lide - kapacitet, licens, overholdelse. Med anycast bestemmer routing, og routing er summen af politikker, der er fastsat af tusindvis af netværk, du ikke har nogen relation til. Når du har brug for deterministisk kontrol over, hvem der lander hvor, er det en reel ulempe. Derfor bruger mange netværk begge dele.
Ofte stillede spørgsmål
Hvad er anycast?
Anycast er en netværksadresseringsmetode, hvor en enkelt IP-adresse annonceres fra flere fysiske placeringer samtidigt, og internetrouting leverer hver afsenders trafik til den placering, der er tættest på. netværksvejen. Afsenderen bruger én adresse og er ikke klar over, at flere servere deler den.
Hvordan virker anycast?
Gennem BGP bruger protokolnetværkene til at udveksle routingoplysninger. Hver anycast-placering meddeler det samme adresseområde til sine naboer, og hver router på internettet vælger uafhængigt den korteste tilgængelige vej til dette område. En router i Europa installerer derfor en rute til den europæiske lokation, mens en router i Asien installerer en til den asiatiske lokation, uden at den er koordineret.
Bryder anycast TCP-forbindelser?
Meget sjældent. TCP kræver alle pakker i en forbindelse for at nå den samme server, og anycast virker, fordi BGP ruter er stabile over minutter eller timer i stedet for at skifte konstant, så en kortvarig webforbindelse næsten altid opholder sig med én placering. En routingændring midt i forbindelsen kan ødelægge den, hvorefter browseren genopretter forbindelsen igen. QUIC håndterer dette bedre end TCP, da det identificerer forbindelser ved hjælp af et forbindelses-ID snarere end ved hjælp af IP og port.
Hvad er forskellen mellem anycast og unicast?
Unicast er det normale tilfælde: én IP-adresse svarer til én grænseflade på én maskine, og trafikken dertil har nøjagtig én destination. Anycast tildeler den samme adresse til mange maskiner på forskellige steder, så trafikken når det sted, der er tættest på netværksvejen. Unicast er en-til-en; anycast er en-til-nærmest-af-mange.
Hjælper anycast mod DDoS-angreb?
Strukturelt set. Fordi hver angribende maskines trafik dirigeres til den anycast-placering, der er nærmest, distribuerer et globalt distribueret botnet automatisk sit angreb på tværs af alle steder i netværket i stedet for at koncentrere sig. det på en. Dette kræver ingen konfiguration - det følger af, hvordan anycast routing fungerer - og betyder, at den samlede kapacitet, der modstår angrebet, er hele netværkets, ikke et websteds.
Kan jeg selv sætte en casting op?
Kun med betydelig infrastruktur. Det kræver dine egne tildelte IP-adresseområder, et autonomt systemnummer og BGP-sessioner, der er etableret med transitudbydere eller internetudvekslinger på hvert sted, du vil annoncere fra. For næsten alle websteder er anycast en egenskab hos den CDN- eller DNS-udbyder, du vælger, snarere end noget, du selv installerer.
Elegancen af anycast er, at det ikke tilføjer et lag. Det bruger den routing, der allerede eksisterer og ville køre alligevel, og får lokalitet, failover og angrebsfordeling som konsekvenser af en enkelt beslutning om, hvordan man annoncerer en adresse.
Se, hvordan NordicCDN gør dette for dit websted:
Mads har arbejdet med IT – mest som vært – siden han var 16. Han tog tidligt ejerskab i en SaaS-virksomhed og var med til at udvide den til Visma, har opbygget og drevet datacenternetværk og fungeret som CTO for et dansk datacenter. Han startede NordicCDN for at gøre hurtig og sikker infrastruktur enkel at bruge.
