Zo werken Nederlandse overheidsdiensten samen over het Defensie-netwerk

Zo werken Nederlandse overheidsdiensten samen over het Defensie-netwerk

Een grote storing legt een flink deel van de Nederlandse overheidsdiensten plat. Het probleem lijkt te liggen bij het Diginetwerk, een koppelingsmechanisme tussen meerdere overheidsdiensten, maar wordt waarschijnlijk veroorzaakt door een netwerkprobleem bij Defensie. Hoe dat kan, is nog niet duidelijk en zelfs niet logisch.

Op woensdagochtend ontstonden er problemen bij meerdere overheidsdiensten. Onder andere de Kustwacht, de Marechaussee en het Nationaal Cyber Security Centrum melden dat ze niet of slecht bereikbaar zijn. Maar ook het vliegverkeer op luchthaven Eindhoven Airport ligt plat. Dat is opvallend, want wat heeft een luchthaven te maken met het gebruik van DigiD?

Het probleem lijkt deels bij Defensie te liggen. Dat meldt in een summier bericht dat er 'problemen met de IT-netwerken' zijn. Een woordvoerder van het ministerie van Defensie wil daar tegen Tweakers echter niet verder over uitweiden 'vanwege operationele redenen'. Steeds meer bronnen wijzen erop dat het gaat om Nafin, Defensies eigen glasvezelnetwerk, waarover later meer.

Diginetwerk

De problemen bij Defensie veroorzaken weer problemen bij het Diginetwerk. Daar gaat het fout. Het Diginetwerk raakt namelijk de hele Nederlandse overheid en daarom kunnen er problemen ontstaan bij diensten zoals DigiD. Wat is het Diginetwerk precies?

Logius, de overheidsdienst voor ict die ook onder andere DigiD beheert, omschrijft het Diginetwerk als 'een afsprakenstelsel', vergelijkbaar met hoe iDeal een afsprakenstelsel is tussen banken. Maar een expert beschrijft het aan Tweakers als een 'besloten internet' waarmee verschillende diensten van Nederlandse overheden aan elkaar kunnen worden gekoppeld. De Belastingdienst moet bijvoorbeeld een koppeling kunnen maken met de Sociale Verzekeringsbank om rekeninggegevens uit te wisselen. Dat wil je niet via het openbare internet doen, omdat dat verkeer onderschept kan worden en kwetsbaarder is voor storingen.

Logius deelt IP-adressen uit aan overheidssystemen voor interne verbindingen.
Het Diginetwerk wordt door Logius beheerd. In de praktijk houdt dat in dat Logius IP-adressen kan uitdelen aan overheidssystemen en kan bepalen welke IP-adressen verbinding met elkaar kunnen leggen. Nederland telt honderden overheidsinstanties. Dat zijn niet alleen ministeries, provincies en gemeenten, maar ook zelfstandige bestuursorganen zoals de Kamer van Koophandel of de Autoriteit Persoonsgegevens, uitvoeringsorganisaties zoals de Dienst Uitvoering Onderwijs of het RIVM, of gemeentelijke samenwerkingsverbanden die bijvoorbeeld gezamenlijke afvalinzameling doen. Logius bepaalt welke van die systemen met elkaar verbonden mogen worden, meestal op basis van een wettelijke bepaling.

Het Diginetwerk is niet een enkel netwerk. Organisaties kunnen verzoeken om zich aan te laten sluiten op het Diginetwerk. Ze moeten zich dan aansluiten bij een zogenaamd Koppelnetwerk, waarvoor een bepaalde aanbieder dan het beheer moet regelen. Er kan dus een Koppelnetwerk ontstaan voor twee gemeenten die informatie willen uitwisselen over afvalverzameling. Daarmee zijn er tientallen of zelfs honderden koppelnetwerken binnen het Diginetwerk, die weer uitkomen in wat het Koppelnet Publieke Sector heet. De honderden Koppelnetwerken en het Koppelnet Publieke Sector heten samen het Diginetwerk. Logius heeft een heel handige grafiek die dat goed visualiseert.

Er bestaan op die manier meerdere netwerklagen die samen het Diginetwerk vormen. Gemeentes die onderling data uitwisselen, doen dat bijvoorbeeld via Gemnet, maar Rijksoverheidsdiensten hebben weer een eigen netwerk genaamd Haagsche Ring. Die twee netwerken kunnen ook weer onderling aan elkaar gekoppeld worden. Feitelijk bestaat het Diginetwerk dus uit heel veel verschillende netwerken die op verzoek aan elkaar kunnen worden gekoppeld.

Het beheer

Het beheer van het Diginetwerk begint bij Logius, dat de IP-adressen onderling verdeelt. Het onderhoud ligt echter weer ergens anders en is heel anders verdeeld. Er zijn meerdere beheerders die Koppelnetwerken beheren. Deels gebeurt dat door een handvol commerciële partijen, zoals eGem, KPN en Equinix, maar een ander deel beheert de overheid zelf. Zo worden Koppelnetwerken van Nederlandse gemeenten beheerd door de Vereniging van Nederlandse Gemeenten, specifiek door het Gemeentelijke Gemeenschappelijke Infrastructuur-netwerk, 'een beveiligd landelijk datanetwerk voor gemeenten en gemeentelijke samenwerkingsverbanden'. Overigens wordt dat beheer ook weer deels uitbesteed aan commerciële providers en hostingpartijen.

Die commerciële bedrijven en overheidsdiensten beheren de systemen en regelen dat de verbindingen in de lucht blijven door bijvoorbeeld het border gateway protocol te regelen, redundancy's in te bouwen zodat bij storingen alternatieve verbindingen kunnen worden gebruikt en meer van dat soort netwerkbeheer.

Nafin

Naast de commerciële bedrijven wordt het beheer van de Rijksoverheidsdiensten weer uitgevoerd door de overheid zelf. Dat heet het Haagsche Ring-netwerk. Meerdere tweakers die werken binnen het Diginetwerk zeggen tegen Tweakers dat ze vermoeden dat daar de storing ligt, aangezien specifiek Rijksoverheidsdiensten zoals de RvIG en C2000 last hebben van de problemen. Het gaat dan specifiek om problemen bij het Netherlands Armed Forces Integrated Network, afgekort Nafin, zeggen bronnen. Nafin is een glasvezelnetwerk waarbij 3300 kilometer glasvezeldraad niet alleen defensielocaties maar ook ministeries, politiecentra en datacenters van de overheid met elkaar verbindt. Nafin is tegelijk het netwerk waar C2000 gebruik van maakt. Daarnaast is Nafin het netwerk waarover Diginetwerk-verbindingen binnen de Haagsche Ring lopen. Daarmee heeft niet alleen Defensie last van de problemen, maar ook veel gerelateerde systemen.

Bronnen zeggen dat het erop lijkt dat de problemen bij Nafin liggen.
Bronnen zeggen verder ook tegen RTL Nieuws en de Telegraaf dat het probleem bij Nafin ligt. Nafin ligt momenteel onder een vergrootglas; de Algemene Rekenkamer doet momenteel onderzoek om te kijken hoe weerbaar het netwerk is. "De werking van dit netwerk is cruciaal voor het werk van Defensie en de dienstverlening van de overheid aan burgers en bedrijven", schrijft de Rekenkamer. "Uitval of sabotage van het netwerk zou kunnen betekenen dat de defensietaken niet meer goed uitgevoerd kunnen worden, maar ook dat toeslagen niet berekend kunnen worden of de hulpverlening in het geding komt." Het onderzoek kijkt in de eerste plaats naar de vraag of 'de publiek-private samenwerking' in het netwerk goed genoeg functioneert. Ook is een van de vragen: "Zijn er heldere responsscenario’s bij incidenten op het krijgsmachtnetwerk Nafin en zijn deze responsmaatregelen voldoende?"

Ook in de politiek zijn vragen over het gebruik van Nafin en dan specifiek hoe dat niet alleen door Defensie, maar ook door andere instanties wordt ingezet. In 2019 stelde Hanke Bruins Slot, toen nog CDA-Kamerlid, vragen aan de minister van Defensie over de veiligheid en betrouwbaarheid van het netwerk. "Klopt het dat in de afgelopen jaren steeds meer medegebruik door tweeden en derden plaatsvindt van het Nafin?" vroeg ze. "Ja", antwoordde de minister. "Vanwege het specifieke karakter van een strategische defensietoepassing als het Nafin, is samenwerking met andere partijen binnen de Rijksoverheid op het gebied van veiligheid en vitale processen passend."

Als er dus een storing plaatsvindt bij Nafin, wat overigens op dit moment nog niet is bevestigd, kan die via het Diginetwerk vergaande gevolgen hebben voor veel overheidsdiensten, specifiek die op Rijksniveau. Die krijgen het dan bijvoorbeeld niet voor elkaar om zaken aan elkaar te koppelen en data uit te wisselen. Ook is het met zo'n storing mogelijk dat data helemaal niet beschikbaar is. Dat de storing sinds dinsdagavond aan de gang lijkt en woensdagmiddag nog steeds niet volledig lijkt te zijn verholpen, toont de kwetsbaarheid van het systeem aan.

Reacties (101)

[CyberTijn]

In het artikel wordt al even gerept over BGP, oftewel het border gateway protocol. Dit protocol zorgt dat alle routers op internet met elkaar route informatie uitwisselen, maar wordt ook gebruikt binnen het diginetwerk.
Als netwerkspecialist met 20 jaar ervaring kan ik niet genoeg benadrukken hoe waanzinnig complex BGP kan zijn in dit soort grote netwerken. Er zijn tal van “add-ons” ontwikkeld de afgelopen jaren routers moeten beschermen tegen configuratiefoutjes door een buur-organisatie, maar nog steeds kun je met één fout commando op een core router hele IP blokken uit de lucht halen. Daarnaast kan de engineer tegen een bug aan zijn gelopen tijdens een goed voorbereide change.

Waarschijnlijk dus gewoon een menselijke fout.

[koppie]

Ik denk dat je gelijk hebt, hoogstwaarschijnlijk gewoon een fout, misschien door een ketenpartij, misschien door defensie zelf, maar ergens een fout in een inrichting kan zoveel ellende veroorzaken. Dat gebeurde ook bij enorme partijen als Meta en MS.

[Houtenklaas]

Het Diginetwerk gebruikt inderdaad BGP, maar de oorzaak zat niet in het Diginetwerk meldde een eerder artikel. Dat Diginetwerk is slechts een gebruiker van het Core netwerk wat blijkbaar NAFIN heet. Omdat - vanuit security gezien - BGP een volstrekt onbetrouwbaar protocol is zou het mij verbazen dat dat gebruikt wordt in dat Core netwerk. Mijn aanname is dat dat NAFIN netwerk wellicht het best beveiligde netwerk van NL is en daar past BGP als protocol gewoon niet in.

Maar als ik de berichten goed lees, lijkt het er dus op dat er op het Core netwerk iets heel erg omgevallen is waardoor de Diginetwerk endpoints elkaar niet meer kunnen "zien". Of je dan wel of geen BGP gebruikt doet dan niet meer ter zake. Je meldt ook ergens verderop: "Mijn organisatie heeft ook een diginetwerk aansluiting, en sinds 22:40 gisteravond kreeg ik geen antwoord meer van de diginetwerk DNS servers." Oftewel, als je een soort Remi bent geworden in je Diginetwerk is het gewoon klaar.

Reuzebenieuwd of de oorzaak nog gedeeld gaat worden.

[Reactie gewijzigd door Houtenklaas op 28 augustus 2024 23:18]

[nullbyte]

Verkeerde reactie

[Reactie gewijzigd door nullbyte op 28 augustus 2024 22:31]

[-Colossalman-]

Bgp was ook meteen mijn eerste gedachte. Hoe snel daar iets fout kan gaan bij een (foute) configuratie wijziging...

[wooha]

Ik snap dat er fouten gemaakt worden, maar vraag me af waarom het zo lang duurt om dat te herstellen. De eerste problemen kwamen volgens berichten al om half elf gisteravond naar voren.

Het klinkt haast alsof ze na het terugrollen, of zelfs zonder wijziging, tegen een bug aanliepen, die door een leverancier onderzocht moest worden.

Ik ben heel benieuwd of de root cause bekend gemaakt wordt, gezien de vertrouwelijke omgeving.

[CyberTijn]

Dat is voor mij ook het grote raadsel. Mijn organisatie heeft ook een diginetwerk aansluiting, en sinds 22:40 gisteravond kreeg ik geen antwoord meer van de diginetwerk DNS servers. Dat zo’n storing 13 uur moet duren vind ik ook verbazingwekkend.

[wooha]

https://x.com/DefensieMin/status/1828887912408330658

"Door een fout in de softwarecode was het niet mogelijk verbinding te maken met dit [NAFIN] netwerk".

"Defensie monitort de situatie uiteraard nauwgezet en zal deze storing met betrokken partijen evalueren".

Denk alleen dat de eindgebruikers/burgers niet tot de betrokken partijen worden gerekend.

[nullbyte]

Ongewenste pakketjes?

[Reactie gewijzigd door nullbyte op 28 augustus 2024 22:33]

[tweazer]

Voor de uiteindelijk ontvanger van die pretpakketjes

[pauldebra]

Het is helemaal niet verwonderlijk dat Eindhoven Airport getroffen is want de luchthaven is nog altijd in de eerste plaats de militaire basis Welschap, en de burgerluchtvaart *mag* van de luchthaven gebruik maken (mits dit militaire operaties niet in de weg zit). Burger-vlieguiten moeten regelmatig wachten omwille van een militaire operatie. De luchtverkeersleiding is ook (grotendeels of helemaal?) van defensie.
Het militaire karakter van de luchthaven wordt door de miljoenen toeristen al gauw vergeten. Het wordt soms duidelijk, zoals bij een bezoek van een buitenlands staatshoofd dat soms via Eindhoven verloopt, en het was ook duidelijk bij militaire operaties zoals de repatriëringen uit Afganistan en het terugbrengen van menselijke resten na het neerhalen van de MH17.

[TijsZonderH]

Ik heb van heel veel tweakers inmiddels heel veel uitleg gekregen over het Diginetwerk, waarvoor dank! Maar het kan natuurlijk dat ik ondanks alles in zo'n korte tijd ergens toch nog iets verkeerd begrepen heb, dus voel je vrij me hier in de comments te corrigeren als er iets staat dat niet helemaal klopt of om me aan te vullen!

[Odie]

Ik denk dat er best een aantal Tweakers zijn die hun ambtseed of belofte nog eens moeten nalezen, met name het volgende stukje:

Ik ga zorgvuldig om met informatie. Ik draag bij aan een open overheid en weet ook dat ik vertrouwelijke informatie geheim moet houden.

[TijsZonderH]

Ik heb van niemand vertrouwelijke informatie gekregen. Alleen uitleg over een complex proces dat wel staat uitgelegd maar ik niet meteen begreep.

[naaitsab]

"Veiligheid door obscuriteit" is bij de overheid en zeker Defensie traditioneel een belangrijke factor. Uitleg geven hoe de verbindingen geregeld zijn en bij welke (dark)fiber tak bepaalde diensten zijn aangesloten. Is daarom wel informatie die heel snel in de vertrouwelijke sfeer valt die men dan ook niet zo maar mag delen. Als deze informatie niet publiekelijk is loop je klem op de opmerking die @Odie terecht aanhaalt.

Hoe of hoe maakt het niet minder interessante stof om te lezen.

[Saint2Saint]

De nationale rekenkamer publiceert vrij inhoudelijk over het Nafin. Zoek daarna eens verder op diginetwerk, nora, haagse ring en andere steekwoorden, dan kom je er snel achter dat wat @TijsZonderH opschrijft publieke informatie is die hier goed en duidelijk samengevat worden. Niets geheimzinnigs, er wordt niets verteld over de beveiligingsmaatregelen of andere geheime informatie.

[Reactie gewijzigd door Saint2Saint op 28 augustus 2024 20:23]

[nullbyte]

"Veiligheid door obscuriteit" is overal een belangrijke factor. De juiste informatie op het juiste tjidstip is goud waard. Geen enkel interessant bedrijf wil zijn netwerktopologie op straat hebben. Bedrijfsspoinage, staatshackers. Het is aan de orde van de dag in deze cyberoorlog

Reconnaissance attack.mitre.org/tactics/TA0043/

[Reactie gewijzigd door nullbyte op 28 augustus 2024 22:42]

[Odie]

Misschien had ik algemener moeten zijn. Ik zie de hele dag al “bronnen”. Als ik dit bijvoorbeeld lees:

"We krijgen hier in het veld te horen dat het om NAFIN draait", zegt een bron binnen Defensie tegen RTL Nieuws.

Als je bij defensie werkt zou ik héél terughoudend zijn om dit soort uitspraken naar de pers te doen.

[Reactie gewijzigd door Odie op 28 augustus 2024 17:43]

[Sebastian1313]

Alles over NAFIN kun je publiekelijk teruglezen op Wikipedia. Dus dat zijn geen staatsgeheimen.

Wikipedia: Netherlands Armed Forces Integrated Network

[Trucker Her]

Heel NAFIN samengevat in 3,5 alinea's, niet bepaald alles te noemen... Er zijn érg veel dingen die ik zie rondzingen waarvan ik me afvraag wat de afkomst van die informatie is.

Overigens vind ik persoonlijk dat er dan op de website van defensie al meer te vinden is dan Wikipedia.. Zie: magazine defensie en nog een magazine

Enzovoorts.

[Odie]

Ook hoe aspecten van de beveiliging geregeld zijn en op welke locatie? Want dat bericht de Televaag gewoon doodleuk.

[Stimpy68]

Er werken op dit moment aardig veel niet defensie mensen bij defensie van commerciële partijen, in het kader van het Project Grensverleggende IT (leesvoer: https://www.adviescollege...ect-grensverleggende-it-6 ). En deze hebben een andere houding en kijk op defensiezaken en geheimhouding tbv landsbelang etc etc helaas. Zou zo maar kunnen dat daar de "bronnen" zitten.
Ja, ze zijn gescreend e.d. maar een defensie medewerker heeft over het algemeen een andere mindset dan een deze mensen.

[Odie]

Ik lees nu zelfs strategische informatie over de beveiliging van nafin in de media, wat voor welk doel waar staat. Ik mag toch hopen dat er bij inhuur contracten van defensie ook iets over geheimhouding staat.

[nst6ldr]

Jazeker, daar hebben we de ABDO voor. Ik zie overigens ook allerlei onjuistheden voorbij komen, maar mag die niet corrigeren - dat is irritant.

Of deze informatie bij GrIT vandaag komt weet ik overigens niet, dat niet alle inhuur even serieus omgaat met de informatie die ze onder ogen krijgen kan ik absoluut beamen. Weet wel dat er onder een groot deel van het vaste personeel een hoge mate van verantwoordelijkheidsgevoel zit en men elkaar aanspreekt op losse lippen - inhuur krijgt zelfs gelijk exit en soms zelfs een onderzoek met juridisch vervolg.

[nullbyte]

Ja, ze zijn gescreend e.d. maar een defensie medewerker heeft over het algemeen een andere mindset dan een deze mensen.

Het zit hem in de mindset van vrijwel elke burger.
https://www.defensie.nl/a...id-zijn-op-groot-conflict

[tweazer]

Ja, ze zijn gescreend e.d. maar een defensie medewerker heeft over het algemeen een andere mindset dan een deze mensen.

De ene is verbonden met z'n baan, de ander tegen betaling beschikbaar voor meer werk, de crux bij uitbesteden en de dagelijkse dynamiek. Het minimaal noodzakelijk doen is het verdienmodel bij ingehuurde partijen. Meer noodzaak, meer (hoger betaald) werk ....

[Reactie gewijzigd door tweazer op 29 augustus 2024 10:05]

[Saint2Saint]

Maar de conclusie dat het om
NAFIN gaat is natuurlijk snel en makkelijk te trekken als je diginetwerk en kent en op de hoogte bent van de overheidsnetwerken. Helemaal nadat bekend is dat C2000, een andere gebruiker van het NAFIN ook storing heeft. Dat is namelijk allemaal info die vrijelijk op het internet gevonden kan worden.

[mrmrmr]

Je hebt gelijk dat je als burgerambtenaar bij Defensie niet zo open hoort te zijn.

Ik zweer / beloof dat ik plichtsgetrouw en nauwgezet de mij opgedragen taken zal vervullen en zaken die mij uit hoofde van mijn functie vertrouwelijk ter kennis komen of waarvan ik het vertrouwelijke karakter moet inzien, geheim zal houden voor anderen dan die personen aan wie ik ambtshalve tot mededeling verplicht ben; Bron

Er is wel het een en ander publiek te vinden, maar het past niet de vijand daarmee te helpen. Helaas is de vijand niet fictief en wij zijn naar mijn mening als land iets te open over strategische en tactische informatie.

[Reactie gewijzigd door mrmrmr op 28 augustus 2024 20:26]

[William_H]

Welke feitelijke informatie is er nu gedeeld die gevaarlijk is. Dat er koppelingen zijn tussen bepaalde systemen? Als je een hackert in het systeem hebt, dan weet die dat binne het half uur. Dus geheim door het geheim te houden is niet zo'n beste beveiliging. Dat weten alle IT-ers.

[nst6ldr]

Dat is te makkelijk gesteld: de som doorlooptijd van de inbraakpoging minus uitsteltijd moet altijd negatief uitvallen, oftewel zorg dat een 'hackert' eerder alarm triggert bij het DCSC dan dat hij een TBB weet te bereiken. Door allerlei onderzoek voor te kauwen kan de hacker af met minder proben/scouten en gaat de doorlooptijd omlaag.

[mrmrmr]

1. De eed is toch tamelijk duidelijk? Niet jouw beslissing.
2. Defaitisme is geen securitymaatregel.
3. Informatie over strategisch belangrijke voorzieningen dient naar mijn mening niet in handen van de vijand te komen. Het is een van vele te nemen maatregelen.

De aanname dat security enkelvoudig zou zijn, is onjuist. Er zijn weinig maatregelen die elkaar uitsluiten.

Iedereen met enige basiskennis over de tweede wereldoorlog weet dat winnen en verliezen een sterk verband heeft met het hebben of niet hebben van informatie. Er woedt al meer dan 20 jaar een digitale informatieoorlog, bijvoorbeeld door Chinezen.

[BezurK]

Onwijs knap hoe je in zo'n korte tijd zo'n compleet, diepgaand artikel kunt maken! Respect.

[tweazer]

Ditto that. Misschien had men het niet nafin maar 'het beveiligd netwerk' o.i.d. moeten noemen. Met nafin als naam en google is snel veel info te vergaren

[delphium]

Ook mijn complimenten Tijs. Goed informatief en onderbouwd stuk in zeer korte tijd.
Dankjewel daarvoor.

[kodak]

wordt waarschijnlijk veroorzaakt door een netwerkprobleem bij Defensie. Hoe dat kan, is nog niet duidelijk en zelfs niet logisch.

Uit niets in het artikel of nieuws maak ik op dat een storing als deze niet logisch zou zijn. Eerder juist dat het logischerwijs juist te verwachten is dat de praktijk niet zomaar storingvrij is als er een of meer ongewenste gebreken veroorzaakt worden. Daarbij kumnen er heel veel omstandigheden zijn met soortgelijke gevolgen. Dus zelfs al doet een specifieke oorzaak zich maar eens in de 10 jaar voor dan nog kun je dagelijks vele oorzaken hebben die zich voordoen en bijna onmerkbaar gemitigeerd worden en om de paar maanden of jaren een andere omstandigheid met wel merkbare gevolgen.

[laurxp]

Dat wil je niet via het openbare internet doen, omdat dat verkeer onderschept kan worden en kwetsbaarder is voor storingen.

Tsja, dat is dus nog maar de vraag. Het lijkt er op dat de overheid hier voornamelijk een enorme single-point-of-failure heeft opgezet.

Voor Top Secret defensie-data kan ik me nog wel voorstellen dat je per sé een airgapped netwerk wil, maar is dat nou écht nodig voor huis-tuin-en-keuken overheidsdata? Dit is toch precies waar SD-WAN voor is bedacht: een virtueel netwerk dat over het publieke internet gaat, waarbij de data geheim blijft door end-to-end encryptie.

Sluit iedere overheidsdienst aan op het internet via twee (of meer) onafhankelijke internetproviders, en je bent ineens een heel stuk minder storingsgevoelig - zelfs als één provider-netwerk compleet onderuit gaat.

[Keypunchie]

Tsja, wat is een single point of failure.

Als je netwerken aan elkaar knoopt, zul je moeten routeren… als die routing table niet goed werkt, dan ligt je netwerk plat. (Geen idee of dat het is, maar het voelt heel sterk als een routing issue. Weinig andere dingen hebben zo’n wijde impact)

Kun je mooi meerdere routes hebben, inclusief over het internet, maar heb je niks aan.

De enige “echte” oplossing zou dan zijn om dan je netwerk fysiek dubbel uit te voeren.

En dan nog, zo’n foutje in een router-tabel, waarom zou die niet ook in het tweede netwerk geïntroduceerd zijn?

Kortom, dit gebeurt zo “laag” in je infra, dat redundantie niet mogelijk is. En bedenk ook, dat betekent ook dat elke vorm van netwerk beveiliging en excepties twee keer moet worden uitgevoerd. Ook kwetsbaar.

[Reactie gewijzigd door Keypunchie op 28 augustus 2024 16:42]

[Jerie]

Bij een foutje in een routing table treed STP op en bij redunantie gebruik je VRRP of CARP voor een goede failover. Ook LACP kan hierbij helpen.

Kortom, dit gebeurt zo “laag” in je infra, dat redundantie niet mogelijk is.

Dat weet je niet. Iedere keer dat de redundantie op heeft getreden hoor jij of ik er niets van. Deze keer heeft het niets uitgehaald. Het kan best zijn dat men al gebruik maakte van een redundant stukje netwerk en dat dat ook over de zeik is gegaan. We weten het niet.

De enige “echte” oplossing zou dan zijn om dan je netwerk fysiek dubbel uit te voeren.

Bij een star topologie heb je een duidelijk SPOV wat je kunt doen is meerdere star topologien maken en die met elkaar verbinden. Iets als failover kan dan al helpen. Dit maakt iets als onderhoud ook eenvoudiger waardoor je uptime kunt garanderen.

Kortom, hiervoor hoef je echt niet alles redundant uit te voeren.

Hoe dan ook, ik zou maar niet uitgaan van onkunde. Dit netwerk is ook altijd stabiel geweest voor zover wij weten. Dan mag het ook wel een keertje fout gaan. Daar kun je dan van leren.

[bakvis]

Je verhaal klopt niet:

STP is een laag 2 protocol (switching laag) en heeft niets met routering te maken, STP gaat geen fouten in je routeringstabel oplossen. STP gaat je alleen helpen bij loops in je lokale broadcast domain. Op het niveau waar dit soort overheidsnetwerken gekoppeld worden heb je hele kleine broadcast domains (/30 netwerken met 2 bruikbare op’s bijvoorbeeld).

Verder kunnen VRRP/HSRP inderdaad voor (hardware) redundantie en beschermen je tegen hardware uitval.

Vaak komen routeringsproblemen van dit kaliber (wat we verwachten) echter niet van hardware fouten die afgehandeld worden door redundantie maar van menselijk ingrijpen in routerings protocollen als BGP, EIGRP etc.

In dit soort complexe omgevingen is het niet ondenkbaar dat:
- routes semi statisch geïnjecteerd worden in BGP;
- re-distributie tussen verschillende protocollen complexe route lijsten opleveren
- routes “getagged” worden in BGP om ze enkel te delen met de instanties die daar toegang toe moeten hebben.

Wanneer in 1 van bovenstaande configuraties een menselijke (of geautomatiseerde SDN) fout wordt doorgevoerd zijn de consequenties soms niet te overzien. Ik heb vaak genoeg gezien dat beheerders met dit soort configuraties volledig buiten gesloten van management IP adressen en aangewezen zijn op een los staand management emergency access netwerk.

[dempsey1965]

Starnetwerk heeft standaard een spof?? Ik heb geen starnetwerk gezien met een spof. Altijd op basis van chassis/mlag met lacp en bgp met ecmp of prepending.

Stp is wel een beetje voor watjes. Ik vetrouw mijn ontwerp cq mensen niet dus dan gooi ik de helft van mijn bandbreedte weg en implementeerd stp.

[Jerie]

Natuurlijk heeft een star netwerk een SPOF. Als je het midden eruit haalt, dan kan niets meer met elkaar communiceren. Probeer het maar eens. Je pakt je switch, en je dondert hem zo in de kliko. Kijken of alles dan nog werkt. Niets zal het meer doen.

[dempsey1965]

zowel spine als leaf staan altijd in een chassis of mlag configuratie. dus dan moet je er al twee weggooien.

Moet ik wel even bij zeggen dat een chassis leuk is als een onderdeel helemaal kapot gaat maar dat doen ze nooit altijd bijna helemaal en dan heb je er ook niks aan.

[Reactie gewijzigd door dempsey1965 op 28 augustus 2024 21:56]

[Jerie]

Nou, niet altijd, maar als je het geld hebt en het is belangrijk dan wel. Dan is het echter al geen standaard star netwerk meer maar een variatie.

Het staat hier trouwens netjes genoemd bij de nadelen Wikipedia: Star network ik weet het nog van m'n opleiding

[Houtenklaas]

Tsja, dat is dus nog maar de vraag. Het lijkt er op dat de overheid hier voornamelijk een enorme single-point-of-failure heeft opgezet.

Dat is niet meer dan speculatie uiteraard. Ook bij de overheid werken heel slimme netwerkmensen hoor, met een opmerking als dit doe je die echt te kort. Ook een airgapped netwerk kan je volslagen redundant maken, net als een "internet aansluiting". Vergeet niet dat die internetproviders door eenzelfde kabelgeul kunnen lopen qua netwerk, ze ergens qua peering bij elkaar kunnen komen. Iets écht redundant maken is meer dan twee verschillende endpoints. Logius bedient ook de BV Nederland met internetaansluitingen en heeft daar redundante providers voor. Dat bleek uit een melding kortgeleden waar DigiD even niet bereikbaar was.

Blijft dat het even machtig spannend is wat er nu precies misgaat hier!

[D3LTA]

Inderdaad ZTNA icm SD-WAN zou hiervoor prima wezen...

[Jerie]

SD-WAN is juist bedoeld voor wanneer je de infra niet galvanisch kunt scheiden. De overheid is eigenaar van de infra, dus die kunnen wel galvanisch scheiden. Zeker in een tijd dat cryptografische standaarden nog relatief zwak waren, snijdt dat hout. Nu misschien minder.

[xSNAKEX]

SD-wan gaat echter over beschikbaarheid en niet over veiligheid. Het koppel punt lijkt dus vooral gericht op veiligheid en het niet individueel aan alle partijen los over laten hiervan. De redundantie laat echter dus overduidelijk het een en ander te wensen over.

[Eusebius]

Als er dus een storing plaatsvindt bij Nafin,

Zou het te maken kunnen hebben met migratie van staatsgeheimen vanaf de Binnenhof? Dat iemand ergens een draadje heeft doorgeknipt of iets heeft ontkoppelt waardoor de boel plat ligt? Of dat men bewust de boel plat legt om te kunnen verhuizen, alles staat weer op zijn plek en één of ander centrale hub wordt weer aangezet?

Het is maar een gedachtespinsel, maar zou over een jaar of wat een leuke documentaire van Nieuwsuur opleveren.

[wica]

Bij verschillende datacenters en ook die van de Rijksoverheid mee gemaakt. Het glas zou redundant paden moeten hebben, volgens de leverancier*.
Maar bij graaf werkzaamheden, toch alles plat. Het zij doordat de vezels letterlijk naast elkaar liggen of dat er net onderhoud was op 1 van de paden.

De grote vraag is, hoe kan je dit als afnemer controleren?
Daarnaast, waar die vezels liggen, is nou niet echt top geheim.

Maar ik denk niet, dat het binnenhof er iets mee te maken heeft, de echte oorzaak weten we pas over een x aantal jaar. Ik vermoed, dat de oorzaak van deze storing staatsgeheim zal worden.

* Ook meerde leverancier gebruiken is geen oplossing. Daar de vezels vaak naast elkaar liggen.

[Reactie gewijzigd door wica op 28 augustus 2024 16:36]

[john milton]

Vezels naast elkaar zouden niet echt gescheiden routes zijn. Dat is een behoorlijke SPoF, mag hopen dat dit niet zo is.

[ijdod]

Dit incident? Geen idee, maar in de praktijk wil je niet weten hoe vaak het voorkomt dat gescheiden routes toch bij elkaar blijken te komen; en dat is idd een SPoF. Soms omdat er iemand niet op heeft zitten letten bij zowel de leverancier of de klant (je verifieert immers je aanvraag, toch?), soms ook omdat de realiteit niet overeen blijkt te komen met de documentatie...

[ernstoud]

Gewoon doorvragen bij de leveranciers net zolang tot je antwoorden hebt. En dat dan auditen.

Heb gewerkt bij een private DC in Amsterdam waar de eerste plek waar de twee netwerk leveranciers bij elkaar kwamen voor ons voldoende ver weg was. Voor een andere leverancier was dat zo ongeveer bij een straatkant. Die viel dus af.

[RobTweaks]

Onmogelijk, AZ is net als alle andere afnemers hooguit een eindpunt van het Diginetwerk. Geen schakel in belang van het grotere geheel.

[William_H]

Dat roep ik ook al de hele dag. Maar het blijft lastig praten met mensen die niks van netwerken snappen...

[b12e]

Dat iemand ergens een draadje heeft doorgeknipt of iets heeft ontkoppelt waardoor de boel plat ligt?

Ik hoop echt van harte dat Nafin niet volledig plat kan gaan door 1 draadje door te knippen, of door ergens een stekker uit te trekken.

Dat dat voor je internet thuis kan, dat snap ik, maar voor een defensienetwerk hoop ik echt dat het niet zo makkelijk is om de boel te saboteren.

[Eusebius]

Dat zou ook niet horen, want ARPANET was de voorloper van internet en opgezet als de-centraal.

Maar ik kan me zo voorstellen dat in een nieuw(er) systeem ergens in een laag naar bv. een token wordt gevraagd voor identificatie waarbij de aanvraag naar een server wordt gedaan. Het is toch data die versleuteld moet worden.

Disclaimer: kan, want van NAFIN heb ik geen verstand.

[nst6ldr]

[...]

Zou het te maken kunnen hebben met migratie van staatsgeheimen vanaf de Binnenhof?

Nee, niet echt.

[rjberg]

Rare vraag, maar hoe kan een partij bij defensie het hele netwerk platleggen? Moet dat niet afgeschermd zijn?

Dit is zoiets dat als een leverancier een formulier verkeerd invult bij een webwinkel als bol.com en dan klanten niet meer bij de site kunnen. Tenzij sprake is van een hack of DDOS aanval, natuurlijk.

[BadRespawn]

hoe kan een partij bij defensie het hele netwerk platleggen? Moet dat niet afgeschermd zijn?

Dat zou je kunnen denken, maar zoals het artikel uitlegt: de getroffen instanties/diensten maken gebruik van het gesloten glasvezel netwerk van NL defensie (Nafin). Bij ieder netwerk zijn er technische zaken die essentieel zijn voor het functioneren van dat netwerk, als daarmee iets mis gaat dan ligt dat netwerk plat en dat treft dan ook de daaraan gekoppelde netwerken.

[rjberg]

Ah, dus het is de netwerkinfrastructuur zelf die onder de diensten zit. Dat is duidelijk.

[walletje-w]

Bijzonder dit artikel! Zo snel een informatief achtergrond stuk. Ik waardeer het

[M_Peror]

Top gedaan, zo snel een informatief verklarend artikel.

[the_stickie]

Hoe dan ook, wat de root cause ook moge zijn, legt dit incident een zwakke plek bloot. Zoveel partijen (sommige die op het eerste zicht niet eens gerelateerd zijn), zo ernstig geïmpacteerd, voor zo lange tijd, kan niet de bedoeling zijn.
Gelukkig biedt een ferm incident vaak initiatief, momentum en budget om verbeteringen, preventie en mitigatie op de agenda te zetten.

Succes aan de IT'ers die het moeten oplossen alvast!

[vrije_vogel]

Medegebruik van Nafin is wel een strategisch te maken afweging.
Een voordeel is dat je de investering goed benut. Als het in de praktijk veel gebruikt wordt ontdek je mogelijk ook issues die anders onopgemerkt blijven.

Maar je hebt dus geen militair back up netwerk, dat geheel los staat.

Bestuurlijk kun je je afvragen of je wilt dat de dagelijkse gang van zaken binnen het landsbestuur en de uitvoering over defensie verloopt. Defensie als kolom apart houden, daar valt een en ander voor te zeggen.

Ook wordt het JIVC steeds groter, met een vermenging van civiele en militaire taken. Zie het maar te managen. Civiel werk wordt niet transparant want het valt allemaal binnen defensie. Bij misstanden heb je bij een gewoon ambtelijk netwerk nog enige kans dat mensen aan de bel trekken, bij defensie ligt ook dat een stukje lastiger.