边界网关协议在互联网上的研究及应用.docx

边界网关协议在互联网上的研究及应用1、介绍今天的互联网稳步增长,这种增长通常创建操作问题。最紧急的和著名的例子是IP地址尽管IPv64解决这个特定问题,它并没有解决路由系统的可伸缩性,特别是它的主要路由协议,边界网关协议。边界网关协议是一种path-vector协议通过相邻路由器交换可达性信息。边界网关协议,一个可访问的网络由网络前缀,即。,一块IP地址。基于替代路径的设置可以从它的邻国,边界网关协议路由器选择最佳路径到达它知道前缀,并通知其邻国对这些路径变化通过边界网关协议更新信息。链路状态协议相反,边界网关协议消息不提供直接信息拓扑的一部分进行了改变,引发了边界网关协议的信息。由于边界网关协议是胶水,把所有的互联网网络联结在一起,它深受互联网增长超过其他的路由协议。每个边界网关协议的路由器有一个表,它存储路线所有可能的目的地网络(前缀)在互联网:超过400000路线现在5。这大量的网络,使互联网边界网关协议消息数量的增加5,而且似乎主要是依靠互联网本身的发展6。进一步,有时彼此边界网关协议路由器发送更新消息100倍比平时7,8。然而,边界网关协议更新信息的原因和位置的数量仍然主要是未知的。和即将部署IPv6网络虚拟化的趋势,互联网路由系统将来可能会受到更大的压力。多个先前的工作边界网关协议动态调查。小伙子et al。9提出了一种图形工具来捕获边界网关协议路由动力学。Flavel et al。10目前数量的演变的数学模型的边界网关协议边界网关协议路由表中的条目,在给定的有利位置。毛泽东等。11依靠边界网关协议灯塔来更好地理解全球边界网关协议动态注入控制边界网关协议更新信息在互联网的网络。Feldmann et al。12使用被动监测定位路由不稳定。公园等。13分析的相互依赖关系收到一个同行在边界网关协议更新信息。区内的论文从Feldmann et al。12开发了,早在2004年,一个方法查找路由不稳定导致更新破裂。尽管这项工作和许多其他14,15,16,17,18,19,20和21,我们认为,当前最先进的,包括我们自己的工作,还远未达到充分理解边界网关协议路由事件的位置。在这项工作中,我们分析从多个公共边界网关协议更新流观察点。我们研究的边界网关协议前缀多少更新收到互联网的相互依赖。我们也估计的位置和传播路由事件和分类流引起的边界网关协议前缀更新这些事件相关,即。全球或当地。想出这样的分类是不可能出现的。事实上,发展中必要的方法揭示了多重挑战分析边界网关协议流在时间和空间,如区分峰值和噪音,匹配不同流的有效边界网关协议更新信息,估计的距离(在啤酒花)以及两个相关峰值之间最大inter-arrival时间。我们相信,我们的方法以及我们的研究结果将有助于进一步研究开发一个更好的方法来理解的时空动态边界网关协议,和实际位置的边界网关协议路由事件。我们的贡献如下:我们分析相关的前缀边界网关协议更新信息时,从多个视角。我们发现边界网关协议更新信息的重要组成部分实际上包含相关信息的路由事件被许多其他路由器,高达94%。这种相关更新的数量很大程度上取决于凝视的数量之间的联系另一个路由器,也观察这些事件。使用相关的边界网关协议更新信息和拓扑信息,我们提出一个methodology1能够识别路由事件的位置造成的边界网关协议更新信息,通过将这些产品分为全局和本地事件。我们的结果表明,大多数边界网关协议更新信息从公开的视角观察相关路由事件传播多个啤酒花和涉及数量有限的边界网关协议前缀。进一步,大爆发的边界网关协议更新信息的局部边界网关协议前缀往往比小爆发。本文的其余部分的结构如下。我们开始在第二节描述使用的数据。我们检查情况当路由器收到相同的更新(“相关峰值”)在第三节他们的邻居。第四节提出了我们的分类边界网关协议更新信息基于“相关峰值”的概念。在第四节中,我们提供一个基本的分类细化在第五节。我们讨论我们工作的更广泛的影响在第六节和第七节总结我们的工作。附录(B)提供细节的分类方法在部分4和5。2、数据在本文中,我们使用边界网关协议的数据RouteViews22和成熟的NCC23,以及互联网的平坦的地图从互联网拓扑集合24和CAIDA25。RouteViews项目收集关于interdomain路由系统的实时信息。另一个公共的边界网关协议数据来源可以从成熟的NCC23区域互联网注册表。RouteViews和成熟路线收藏家依靠种边界网关协议会话同行不同的屁股在多个位置。所有收到的更新,以及收藏者RIBs2存储在捷运格式。每次更新时间戳在Unix时间格式(路线收藏家NTP-synchronised)。总的来说,我们已经分析了3700万全球分布的边界网关协议更新信息在24小时内的位置,数量等边界网关协议的数据。3、相关峰值边界网关协议更新信息通过互联网路由器接收到预计包含一定数量的相关性。在早期的商业互联网,一些相关相关证明是错误的不成熟的边界网关协议的实现路由器厂商27。如今,成熟的边界网关协议的实现,这样的边界网关协议相关的原因是不太可能。这并不意味着在边界网关协议更新信息相关性并不发生在互联网13。事实上,事件如路由器或链接失败会导致内部和inter-AS边界网关协议的路线传播。在这种情况下,路由器可能会收到来自多个邻国的边界网关协议信息有关此类事件。今天的互联网的规模加上interdomain路由系统的复杂性使得它很难推断出边界网关协议更新信息在互联网上的原因12。在本文中,我们对更好的理解当地的一步,国际路由事件的拓扑平实自然边界网关协议更新信息通过相关的观点。我们定义的概念的“相关峰值”前缀的更新(公告或取款),它捕获的情况下从邻国边界网关协议更新信息收到路由器包含信息相同的前缀。在本节中,我们量化中的可见相关边界网关协议更新信息被公开的视角和表明,绝大多数的边界网关协议前缀的更新都是相关的。3.1。说明性的例子在边界网关协议更新信息量化相关的数量之前,我们引入“相关峰值”的概念。为此,我们依靠一个说明性的例子,一个路由器接收相同的前缀集边界网关协议更新信息从不同的邻居。假设边界网关协议路由器接收大量不同的前缀同时取款。对于每一个前缀,它从Adj-RIB-In6删除相应的条目,即。同行的,只有收到更新。如果撤销路线Loc-RIB7目前存储的最佳路径,路由器选择另一种最佳路径,如果不存在,标志着网络遥不可及的。的最佳路径前缀已经改变,路由器必须发送一个更新所有相关同行。图1所示,当在AS4777边界网关协议路由器接收到提款的最佳路线,它将提出提款同行从AS2500路由器,AS2497 AS7500,以及“宽”RouteViews收集器。如果这些撤资也影响最佳路线,从AS2500路由器,AS2497,AS7500将进一步更新转发给同行,包括“宽”。在这种情况下,我们可能会看到那些“相关峰值”,可见的“宽”收集器相同数量的相同的前缀从每个邻国更新:AS4777,AS2497 AS2500,AS7500。3.2、相关峰值的定义量化原始边界网关协议的相关数据,即更新受到收藏家的转储,我们需要更新分组到峰值来自不同显示器。每个峰值代表一群前缀更新收到同一Unix timestamp-accurate内二显示器(一个邻国)之一。我们已收到不同的屁股这样的峰值相比一个收集器。图2显示了所有边界网关协议更新信息收到路由器“wide.routeviews.org”,在6447年6月1日2009年,分为峰值收到不同的屁股。Fig. 2.x轴显示的时间(以秒为单位)从观测时期的开始。y轴显示的边界网关协议更新信息收到从一个邻近图据。边界网关协议更新信息的时间序列的性质很难区分个别峰值和图2。然而,许多更新情节的相关峰值和强烈集群。它们包含类似数量的边界网关协议更新信息和接收几乎同时的宽从不同的邻居路由器。这样的相关峰值的边界网关协议更新信息检查时间序列时是相当常见的。这些峰值是由于情况当屁股传播更新消息收到他们的邻居,这些邻国是相互联系的。我们称之为一组峰值的边界网关协议更新信息相关(1)在给定的一段时间,观察(2)接收来自多个路由器(路由器是否在相同或指定)和(3)包含的信息相同的前缀。然而,所有前缀更新在这种不需要相同的峰值,即。,的一个子集前缀需要相比,这两个相同的峰值。这个决定的原因隐藏在相关峰值的意义:可以将一个或多个相关路由事件。8时检查相关峰值,如果一个道钉包含前缀从至少一个其他飙升,我们称之为相关。我们要求一个足够大的前缀是常见的两个峰值,认为它们是相关的。我们也选择忽略边界网关协议更新信息的类型和共同前缀出现,只需要为给定的路由事件可能导致不同流的更新和提款来观察不同的路由器在互联网19。3.3。更新峰值特征边界网关协议更新比较峰值之前,让我们先了解他们的一般特征。大多数峰值小或大吗?最边界网关协议更新信息包含在小型或大型峰值?图3(a)回答了第一个问题,而图3(b)第二个答案。图3(一个)提供了飙升的累积分布函数的大小(前缀)。图3(b)提供了累积的边界网关协议更新信息属于峰值小于一个给定的大小(前缀)。从图3(一个),我们观察到大多数峰值包含相对较少的边界网关协议前缀,如。,90%的人不到100的前缀。另一方面,无花果。3(b)表明,只有不到一半的边界网关协议更新信息实际上属于包含峰值100边界网关协议前缀。因此大多数的边界网关协议更新信息相对较小,以及边界网关协议更新信息的一个重要部分属于相对较大的峰值,即。峰值,包含成百上千的边界网关协议更新信息。Fig. 3.这些结果的影响是双重的。首先,不能忽视小的边界网关协议更新峰值,使大多数的峰值和代表所有边界网关协议更新信息的一个重要部分。第二,一个不能忽视大更新峰值,因为他们代表了大部分的边界网关协议更新信息。总之,本节意味着分析边界网关协议更新信息必须包括所有的更新提供一个代表的数据视图。3.4、边界网关协议更新信息的量化关系现在我们比较峰值找出哪些是相关的其他版本。在这篇文章中,我们说,如果他们分享一个给定的两个峰值相关部分的前缀和分离时间小于一个给定的时间。找到相关峰值的边界网关协议的数据,我们需要比较每个峰值与其他来自其他驴在收到峰值时间间隔。例如,当考虑峰值之间的时间间隔的5 s,我们限制峰值的比较那些收到在5 s之前和之后的时间视为收到飙升。当比较两个峰值,如果其中包含不止一个预定义的最小百分比的前缀,都将被标记为相关峰值。在比较过程中,我们使用不同的值的两个参数时间间隔andminimum共同前缀的比例在两个峰值。最低比例的常见的前缀,值为10%,40%,70%和99%。时间间隔,我们决定使用值MRAI 9计时器值密切相关,这已被证明在边界网关协议收敛起着至关重要的作用29,27,30和31。两个发送更新消息的边界网关协议议长同行和相关给定前缀必须隔开一段时间至少等于MRAI计时器的值28。建议的默认值为MRAI eBGP会话计时器是30年代28。我们决定使用值不大于这个默认值MRAI计时器(5、15和30年代)的最大时间间隔两个峰值相比,以避免造成标记包含更新消息的峰值路线扑相关。此外,我们标出相关峰值收到邻居直接互相连接。例如,在观察点的邻居“wide.routeviews.org”,AS4777,AS2500,AS2497 AS7500,见图1。在这种情况下,宽观察点极有可能从AS4777接收相关峰值,AS2500,AS2497 AS7500。我们现在在图4的部分边界网关协议更新信息在相关峰值,可以看到世界各地的优势点,不同的时间间隔values10和共同前缀的最低比例在两个峰值被认为是相关的。图4的三个情节是相似的。更大的时间间隔值增加边界网关协议更新信息的一部分,将包括在相关峰值,如预期。实际上,一个更大的时间间隔将允许更多的边界网关协议更新信息包含在比较。只有一个观察点(LINX在伦敦),并不表现出明显的时间间隔的值的影响,由于相关峰值的非常高的分数。常见的前缀的最小百分比两峰值相关显然是相关的所有的观察点:这个比例越高,分数越小的边界网关协议更新信息相关峰值。时常见的前缀是一个更大的部分所需的两个峰值被认为是相关的,越来越少的边界网关协议更新信息满足峰值需求。边界网关协议传播和更新的嘈杂的性质32很难明显区分边界网关协议更新信息的子集,实际上对应于信息类似的边界网关协议的事件。估计的更新量不应被视为相关相关峰值,我们比较前缀的分数相关峰值的数量实际上前缀标记为相关(白色酒吧图4),以及相关的前缀的数量在所有峰值(黑色横线)。浅灰色和白色的酒吧之间的区别在图4对应的更新属于列为相关峰值,但这实际上不属于相关前缀在飙升。我们观察到的数量在所有相关的前缀峰值是一个更高的绑定更新的相关峰值的数量相关。图4还区分前缀更新相关峰值的百分比(浅灰色酒吧),和相同的百分比只在考虑边界网关协议更新信息收到邻居,彼此连接(深灰色的酒吧)。我们注意到三个视角,即ISC、LINX Route-Views2,是否所有边界网关协议更新信息被认为是不敏感,或者只是来自邻国,是相互联系的。这是因为在这些视角,大多数邻国是相互联系的。这暗示的重要性视角的邻居之间的互连。我们很快就会回到这。主要的消息从图4和图5,边界网关协议更新信息的一个主要部分是相关的,无论用于识别相关的调优参数峰值。前缀的相关更新稳定的跨年,尽管下降引起的变化视角的邻居之间的连接性。这个结果对于边界网关协议分析是很重要的,因为它意味着大量的前缀关联存在于公开的边界网关协议数据,这可能会被利用,以便更好地理解边界网关协议路由事件12的起源以及边界网关协议更新信息在互联网的传播33。我们现在回到边界网关协议更新信息的数量之间的关系在相关峰值和给定观察点的邻居之间的互连接收边界网关协议更新信息。说明相关峰值之间的依赖和邻国之间互连的屁股,表5提供了以前6认为观察指出了平均每穗边界网关协议更新信息,的平均数量是这个路线收集器的邻国之间的关系,相关峰值的百分比,以及在相关峰值的比例边界网关协议更新信息。观察点在表5命令通过增加平均数量的邻国之间的关系。我们注意到,随着平均邻居之间的连通性增加,相关峰值的分数也增加,而不考虑使用的时间间隔。注意,当边界网关协议更新信息的比例被认为是(最后3列),不是高峰的比例,不增加的数字与邻国的关系。这是可以预料到的,因为上涨的边界网关协议更新信息可能包含任意小的或大量的边界网关协议更新信息。3.5。总结在本节中,我们发现的一个重要部分边界网关协议以及边界网关协议更新信息相关峰值,当从多个视角。这些相关峰值高达94%的所有边界网关协议更新信息在给定观察点。尽管部分相关峰值的变化和更新在有利位置或参数的方法,我们得出结论,我们的方法是能够识别相关性,并对参数的值不太敏感。我们确定,相关的数量密切相关,给定观察点的邻居之间的连通性。4。相关峰值和局部性的边界网关协议传播边界网关协议更新信息的相关性与当地或全球边界网关协议传播相应的路由事件的性质。路由事件很局部,即。,只有几个路由器将收到前缀更新引起的事件,将导致减少观察相关全球事件相比,前缀相关更新事件将通过大多数的屁股在互联网传播导致路由表的变化。因此,在本节中,我们分析相关峰值,以更好地了解他们如何能帮助我们找出部分边界网关协议更新信息来源于当地事件,什么分数从全球事件。当然,我们不能指望反向路由事件,因为它已被证明,定位路由事件是一个非常困难的问题12。因此,本文的目标是使用相关峰值的概念来帮助理解边界网关协议更新信息在互联网的传播,更具体地说他们的位置。4.1。边界网关协议峰值:单个或相关?在本节中,我们要区分峰值由本地路由事件,从那些由全球事件引起的。为此可以使用相关峰值,因为他们反映边界网关协议更新传播过程。事实上,在路由变化的传播引起的一个事件或一系列事件,相关峰值包含更新相同的前缀将收到由多个边界网关协议的路由器,包括公开的有利位置。它是合理的假设全球事件将导致相关峰值的观察视角。相反,相关峰值由当地事件将被观察到很少的有利位置。对于每个高峰,我们确定相关峰值(见3.2节)。相对于前一节中,我们都比较峰值使用数据收集器。我们因此改变认为时间间隔120年代之前或之后的对应边界网关协议收敛时间34。实现确定性考虑相关峰值,我们总是要求他们有99%相同的前缀。如果我们找不到相关峰值对于给定的飙升,这上升可能是由于一个本地路由事件。相反,如果我们找到相关峰值,峰值可能造成全球路由事件。然而,存在与否的相关峰值并不一定构成局部和全局事件的签名。事实上,数量有限的观察点可能没有一个足够好的能见度确切区分本地和全局路由事件。因此,我们的目标是第一个峰值进行分类(见责任的分类方法)根据我们是否找到令人信服的证据表明这种飙升之际,一组相关峰值,或如果高峰是单身。在3.3节我们的观察,我们发现,边界网关协议峰值,在我们的分析需要考虑跨所有可能的大小从小型到大型。在本文的其余部分中,我们根据垃圾箱的步长集团峰值100。峰值的大小099属于第一本。我们忽略所有包含峰值7500或更多的边界网关协议更新信息,因为它们是太少,只占总数的2.8%的边界网关协议更新信息。最后考虑本因此包含峰值的大小74007499。现在,我们分析所有边界网关协议更新信息和分类根据是否他们是单身或相关峰值。图6显示每个人把分数的边界网关协议更新信息归类为单个或相关峰值。我们看到从图6,大多数含有一些边界网关协议更新信息相关峰值的峰值。更大的峰值另一方面往往是单一的。当考虑的总分数边界网关协议更新信息,见图7中,我们观察到,大多数边界网关协议更新信息确实是相关(80.58%)。小高峰占总数的很大一部分边界网关协议更新信息,和大多是相关的。较大的峰值,而包含大多数单一峰值的数量并不足以使单峰值代表总边界网关协议更新信息的一个重要部分,只有19.42%的边界网关协议更新信息。请注意,改变参数的值,例如:,常见的前缀相关峰值的最低比例,不质疑本节的结论鉴于大多数边界网关协议更新信息属于相关峰值(见AppendixB)。Fig. 6.Fraction of BGP updates in single and correlated spikes (120s time interval, minimum 99% common prefixes in correlated spikes,0.1threshold), on a per-bin basis.Figure optionsFig. 7.4.2、作为连接能见度的影响到目前为止,我们分类飙升到相关或单身,假设我们的观察点有足够的能见度的屁股之间的连接我们的观察点得到边界网关协议更新信息。的比例相关峰值检测取决于我们的可见性之间的连通性的屁股。现在我们估计我们的结果如何与视角的可见性。表6给出了可见之间的连接我们的172 ASs11 20观察点收到边界网关协议更新信息,基于网络拓扑的集合(ITC)24和35,以及CAIDA拓扑25,和他们的十字路口。表6的第二列,贴上“邻居”的连接性,显示有多少的屁股,在172的认为观察点至少有一个邻居,都从不同的拓扑数据集。最后两列的表6中提供的数量的屁股172,邻居也属于这172至少一个邻居(第三列,“互联邻居”)或所有的邻居(第四列,“完全可见的邻居”),根据不同的拓扑数据集。换句话说,我们说一个已经“完全可见的邻居”只有当这是和所有邻国都是连接到观察点。在这种情况下,我们说这是充满的可见性。从表6可以观察到,美国国际贸易委员会和CAIDA数据集有一个类似的观点的屁股收藏家获得边界网关协议数据,至少在这方面都是连接到至少一个其他的171的屁股。CAIDA的利益从我们的观点是完全可见的显示数据集的邻居。实际上,从CAIDA数据集,我们得到更多的屁股在172的邻居都在我们收到的172年边界网关协议数据。当然这并不意味着CAIDA的数据相比有更好的覆盖ITC。这意味着因为ITC数据集有那么多报道,更很难有很好的可视性的边界网关协议数据给定的邻居,这是很重要的有信心的观察到的相关性。注意的数量完全可见邻居路口的ITC CAIDA的数据集是高于单个数据集。事实上,这些屁股更有限的连接限制自己的数据集时,所以有更多的人。如果我们只考虑我们的15个屁股边界网关协议数据都从可见的邻居,边界网关协议更新信息的百分比在82年相关峰值来,58%(一秒钟峰值的大小小于7500前缀更新)。从4.1节这个观察支持我们的结果。4.3。总结上相关的量化边界网关协议更新信息,本节显示水平连接之间的复杂关系,可以观察到的程度相关。我们相信我们的量化是有意义的,因为它实际上是一个下界的实际相关,观察到如果更多的观察点被认为是和一个更完整的平坦的拓扑。因此,我们认为,边界网关协议传播的研究,如36和13,需要考虑目前可用数据的局限性的影响37观察边界网关协议更新信息和路由之间的关系,正如已经提到的,以前的工作12和38。5。全球传播的相关峰值在前面的小节中,我们分类边界网关协议到相关或单一峰值。分类高峰相关不直接告诉我们如何全球相应的路由事件。它只表示一组边界网关协议更新信息是否收到来自多个屁股。如果一个事件纯粹是当地一个给定的,我们不应该能够看到相关峰值。在光谱的另一端,一个全球事件会被所有观测点,应该收到所有的屁股。在本节中,我们完善前面的分析分类,相关和单一,我们试图与当地的细化分类边界网关协议传播。5.1。利用距离信息以提供更好的洞察全球相关峰值的本质,我们计算出任意两个屁股跳距离收到群相关峰值。我们计算最短路径两个屁股之间基于拓扑地图(见第二节)。对于每个群相关峰值,然后我们计算的最大随着所有最短路径组中的任何两个屁股之间。这个最大跳距离对应于给定群相关峰值将用于推断相应的路由事件的位置的程度。举例来说,如果一组相关峰值被4收到路由器分隔为啤酒花,我们可以安全地假设相应的路由事件(或事件)的集合导致给定的飙升是全球的,分布在互联网的一个重要部分。相反,当一群观察相关峰值仅从2路由器属于2直接互联的屁股,我们可以假定路由事件或一系列事件,导致这个峰值相对当地。我们将单一峰值分成3组,根据能见度有屁股,发送这些单峰值之间的连通性。事实上,如果突然被归为单身,这上升的可能性是真的单身增加能见度的邻居之间的连接相应的增加。此外,随着相关峰值之间的跳数的增加,底层的路由事件的可能性全球也会增加。通过这种方式,我们可以评估的程度的位置在互联网路由事件。5.2。边界网关协议传播全球多少?现在我们转向的结果分类(见B。2详细描述)。在第三节,我们知道大多数的边界网关协议更新信息从公开数据相关。我们也知道小峰值往往含有相关更新一个更大的部分相比,大的峰值。在一起,这些观测结果表明,大部分的边界网关协议更新信息实际上可能源自路由事件,在全球范围内传播,但不涉及大量的边界网关协议前缀。在本节中,我们的目标是量化的程度底层路由事件在全球范围内传播,通过使用最大跳相关峰值之间的距离来衡量。我们首先看看小高峰,99边界网关协议前缀,因为这些峰值约占一半的边界网关协议更新信息我们观察。图8显示分解的峰值的大小99边界网关协议前缀不同的最大跳距离。我们观察到大多数高峰传播2或3啤酒花。鉴于大多数边界网关协议路径在互联网3 - 5是啤酒花长23和22,绝对不是本地底层路由事件。另一方面,他们没有范围内。峰值的大小在9800年和9899年之间边界网关协议前缀显示一个非常不同的画面,见图9。这些峰值主要分为单,从屁股,我们的可见性是有限的(少于三分之一的邻国所观察到的收藏家)。注意,有限的能见度在一定程度上是一个相对较好的覆盖的结果数据集ITC。不同图片的问题将是如果我们有一个更好的覆盖网络的边界网关协议数据是开放的。我们在前一节中,部分解决这个问题当我们限制了那些我们认为屁股有良好的可见性从边界网关协议。然而,这种驴的数量我们有良好的能见度太小,不能得出结论。The results for all spike sizes (Fig. 10) confirm the two previous trends, with a majority of BGP updates in correlated spikes that relate to non-local routing events, and the rest being single spikes that are likely to be caused by local routing events.Fig. 10.我们可以得出这样的结论:除非公开数据给了我们一个误导相关峰值的照片由于不完整的水平数据和没有足够的观察点,的确大多数边界网关协议更新信息相关,属于的边界网关协议数据包含几个前缀,和造成路由事件传播几跳之外,即。,而不是本地的。5.3。利用传播时间考虑到可能的水平数据的局限性,本节我们提供不同类型的证据,证实了前面的结果。边界网关协议在现实网络中传播需要时间,由于边界网关协议计时器等MRAI27,29,30,31,39和33。因此,通过研究边界网关协议峰值的时间,我们可以检查是否分类是确认收到的时间相关峰值的差异。事实上,inter-arrival时间更新造成的本地路由事件(或一组事件)应该是相对较小的相比,全球路由事件的传播时间。图11显示了使用盒子情节,inter-arrival时间的分布之间的第一个和最后一个的组相关峰值,峰值使用120年代的时间间隔。至于距离计算,我们只考虑对足够数量的更新在我们分析的峰值(使用条件(B.4)和(B.5),看到B)。这个盒子情节显示最小值和最大值,以及25日,50和75百分位数分布。Fig. 11.从图11,我们观察到强峰值之间的平均时间差异对于那些相隔一跳,比别人。当严格相关峰值由多个跳,边界网关协议传播时间超过2分钟对于大多数峰值,如预期从此前的研究边界网关协议收敛27,29和30。注意,由于MRAI计时器在互联网的广泛不同的配置,以及一些事件的具体性质,一些钉子能够传播得很快。5.4、起源为阐明相关峰值的位置,我们检查的数量不同来源出现在他们的屁股。如果相关峰值对应于一个单一的起源,我们预计相关的路由事件很可能是这一起源。事实上,路由事件发生在中间的路径可能会影响一组前缀的最佳路径穿过这个网络的一部分。我们提供在无花果。12日,每跳的距离,起源的屁股出现在相关峰值的数量。每跳距离,框图显示分布的起源的屁股。注意,对于一些前缀取款不能够识别的起源。因此,我们从分析排除这样的提款。我们看到在图12日,大多数相关峰值对应于一个单一的起源。很少有相关峰值涉及大量的起源的屁股,在路由的情况下会发生事件,发生在一个交通网络为例,可能涉及大量的最佳路径网络的变化。跳的距离2,25%的峰值涉及10多个来源的屁股,和不太可能起源屁股。因此,我们得出结论,大多数相关峰值与当地相关事件的起源,但这在互联网上传播。Fig. 12.6。讨论当前研究社区的心智模型的边界网关协议更新信息的传播是最边界网关协议更新信息与路由事件路由系统在全球范围内传播。这一信念源于先前的工作路由动力学40,41和6和地址空间的使用1,这表明大量的边界网关协议更新信息是过度引起的特定类型的网络,即多宿主的存根的屁股,然后在全球范围内传播。相反证据2,显示没有特定类型的网络贡献超过其公平份额的边界网关协议更新信息,而前缀de-aggregation或交通工程不能称作为一个主要部分的边界网关协议更新信息背后的原因。在本文中,我们提供的另一个视图边界网关协议路由系统,观察大多数边界网关协议更新信息属于相对小数量的prefixes-bursts方面的边界网关协议更新信息,传播一些啤酒花。大的边界网关协议更新信息另一方面保持相对局部的。我们的观察部分支持当前的心智模型,观察到大多数的边界网关协议更新信息确实是造成全球传播事件。然而,公开数据并不允许我们一定相关性的确切数额,作为数据可能会因此错过当地的活动。如果这样的信息至少可以从一些网络,我们可以增加我们的信心的相对份额局部和全局路由事件。给定边界网关协议数据分析的方法论上的挑战,公开数据的不完全性37,特别是在许多互联网交流点42和43,它仍然是开放的现实到底还有多少边界网关协议是已知的和可以观察到的多少。因此我们不能提供一个明确的答案的边界网关协议更新信息的数量由当地事件触发,不传播全球,及其后果interdomain路由系统的健康。相关性在边界网关协议更新信息不是强行非常有见地的直接应用,我们表明,通过结合边界网关协议路由的其他方面,例如,收敛时间,仍有大量的开放空间在更好地理解全球边界网关协议路由系统。例如,我们相信,分析相关峰值从足够数量的视角,研究inter-arrival边界网关协议更新信息和相关的拓扑结构,将使跟踪更新路由事件的爆发在传播,因此确定路由事件的可能位置。7。总结在这项工作中,我们开始重新审视边界网关协议更新信息,即量的相关性由不同的路由器在网络边界网关协议更新信息收到。感谢这个新方法的边界网关协议,我们开发了一个方法来分类的边界网关协议更新信息,称为峰值,为相关或不相关的(单)。基于公开数据,我们发现所有的边界网关协议更新信息的一个重要部分属于相关峰值,在多个地点在互联网上看到。此外,这些相关峰值时实际上是相对较小的数量来计算的边界网关协议前缀。我们相关的边界网关协议更新信息关联的拓扑范围边界网关协议收敛,这允许我们确定共同前缀在网络拓扑的影响领域更新(可能引起的常见路由协议)和分类更新拓扑程度取决于他们的峰值。我们发现相关峰值相对全球,即。至少,他们传播2或3跳走了。相关峰值随路由可能会在整个互联网传播。On the extent of correlation in BGP updates in the Internet and what it tells us about locality of BGP routing events1. IntroductionTodays Internet grows steadily and this growth often creates operational problems. The most urgent and well-known example is running out of IP addresses3. Although IPv64solves this specific problem, it does not address the scalability of the routing system, especially of its main routing protocol, BGP.BGP is a path-vector protocol through which neighbouring routers exchange reachability information. For BGP, a reachable network is represented by a network prefix, i.e., a block of IP addresses. Based on the set of alternative paths it learns from its neighbours, a BGP router selects its best path to reach prefix it knows, and informs its neighbours about these path changes through BGP update messages. Contrary to link-state protocols, BGP messages do not provide direct information about which part of the topology underwent a change that triggered the BGP message.Since BGP is the glue that binds all networks of the Internet together, it suffers from Internet growth more than other routing protocols. Each BGP router has a table where it stores routes to all possible destination networks (prefixes) in the Internet: more than400,000routes nowadays5. With this large number of networks that make the Internet, the number of BGP messages grows as well5, and seems to mostly depend on the growth of the Internet itself6. Further, sometimes BGP routers send to each other up to 100 times more update messages than usual7and8. However, the causes and the amount of locality in BGP updates is still mostly unknown. With the imminent deployment of IPv6 and the trend towards network virtualisation, the Internet routing system might be under even more pressure in the future.Multiple previous works have investigated BGP dynamics. Lad et al.9proposes a graphical tool to capture BGP routing dynamics. Flavel et al.10present a mathematical model of the evolution of the number of BGP entries in the BGP routing table, at a given vantage point. Mao et al.11rely on BGP beacons to better understand the global BGP dynamics in the Internet by injecting controlled BGP updates in the network. Feldmann et al.12use passive monitoring for locating routing instabilities. Park et al.13analyse the inter-dependencies of BGP updates received from one peer inside an AS. The seminal paper in the area from Feldmann et al.12has developed, back in 2004, a methodology for locating routing instabilities causing update bursts. Despite this work and many others14,15,16,17,18,19,20and21, we believe that the current state-of-the-art, including our own work, is far from have reached a sufficient understanding of the locality of BGP routing events.In this work, we analyse BGP update streams from multiple public observation points. We study how much of the BGP prefix updates received in the Internet are dependent on each other. We also estimate the locality and spread of routing events and classify streams of BGP prefix updates caused by these events as either correlated or not, i.e., as either global or local. Coming up with such a classification is not as straightforward as might appear at first. Indeed, developing the necessary methodology reveals multiple challenges in analysing BGP streams in time and space, such as distinguishing between spikes and noise, matching the different streams of BGP updates efficiently, estimating the distance (in AS hops) as well as the maximum inter-arrival time between two correlated spikes. We believe that our methodology as well as our results will help further work to develop a much better methodology to understand the spatio-temporal dynamics of BGP, and the actual locality of BGP routing events.Our contributions are the following:We analyse the correlation of prefixes in BGP update messages when seen from multiple vantage points.We find that a significant part of BGP updates in fact contains correlated information about routing events that are seen by many other routers up to 94%. The number of such correlated updates strongly depends on the number of peering links among the other routers that also observe these events.Using correlation in BGP update messages together with AS topology information, we propose a methodology1capable of identifying the locality of routing events caused by bursts of BGP updates, by dividing them into either global and local events.Our results show that a large majority of BGP updates observed from publicly available vantage points are related to routing events that propagate multiple AS hops and involve a limited number of BGP prefixes. Further, large bursts of BGP updates in terms of BGP prefixes tend to be more localised than small bursts.The remainder of this paper is structured as follows. We start in Section2by describing the data used. We examine situation when routers receive identical updates (“correlated spikes”) from their neighbours in Section3. Section4presents our classification of BGP updates based on the notion of “correlated spikes”. In Section4, we provide a basic classification which is refined in Section5. We discuss the wider implications of our work in Section6and summarise our work in Section7. An appendix(B)provides details on the spike classification methods used in Sections4and5.2. DataIn this paper, we use BGP data from RouteViews22and RIPE NCC23, as well as AS-level maps of the Internet from the Internet Topology Collection24and CAIDA25.The RouteViews Project22collects real-time information about the interdomain routing system. Another public source of BGP data is available from RIPE NCC23 Regional Internet Registry. Both RouteViews and RIPE route collectors rely on multi-hop BGP sessions to peer with different ASs at multiple locations. All received updates, as well as collectors RIBs2are stored in MRT format. Each update has a timestamp in Unix time format (route collectors are NTP-synchronised).In total, we have analysed 37 million globally distributed BGP update messages during a 24h period on June 1 2009 by 20 collectors: 7 at RouteViews22and 13 at RIPE NCC23.Table 1summarises the collectors used, their location, the number of monitors3from which the collectors received BGP data, and the number4of BGP prefix updates we used from them.Table 1.BGP collectors.CollectorLocationNumber of monitorsNumber of prefix updateroute-views2.routeviews.orgUniversity of Oregon, Eugene, USA3210128729route-views4.routeviews.orgUniversity of Oregon, Eugene, USA61371562route-views.eqix.routeviews.orgEquinix, Ashburn, USA71857771route-views.isc.routeviews.orgISC (PAIX), Palo Alto, USA122849866route-views.linx.routeviews.orgLINX, London, UK166868316route-views.wide.routeviews.orgDIXIE (NSPIXP), Tokyo, Japan5464883route-views.kixp.routeviews.orgKIXP, Nairobi, Kenya124474rrc00RIPE NCC, Amsterdam, Netherlands152018173rrc01LINX, London, UK8245717rrc03AMS-IX, Amsterdam, Netherlands99659075rrc04CIXP, Geneva, Switzerland15852655rrc05VIX, Vienna, Austria531644456rrc06JPIX, Otemachi