[论文解读] Waiting for QUIC: Passive Measurements to Understand QUIC Deployments

Jonas Mücke, Marcin Nawrocki+7 more|arXiv (Cornell University)|Sep 2, 2022

Energy Harvesting in Wireless Networks被引用 5

一句话总结

本文提出一种利用恶意QUIC扫描产生的互联网背景辐射（IBR）进行被动测量的方法，以逆向分析超大规模公司（hypergiants）的QUIC部署配置。通过分析CAIDA网络望远镜捕获的回传流量，作者识别出不同的QUIC配置，包括重传超时、连接ID结构及负载均衡器类型，揭示了Google采用基于CID的负载均衡，而Facebook则在CID中编码服务器拓扑信息但不依赖CID意识。

ABSTRACT

QUIC experiences a rapid adoption since its standardization in 2021, and hypergiants configure their infrastructure to optimize for QUIC performance. In this paper, we introduce a passive measurement method to study both the progressive rollout and individual hypergiant configurations during the last five years. By analyzing backscatter traffic of the UCSD network telescope, we are able to make the following observations. First, Meta, Google, and Cloudflare configure significantly different maximal retransmission numbers and timeouts. Second, we can identify different off-net deployments of hypergiants, using packet features, such as QUIC connection IDs, packet coalescence, and packet lengths. Third, we observe changing hypergiant deployment configurations during our different measurement periods. Fourth, connection IDs can allow further insights into load balancer deployments, such as the number of servers. We bolster our results using two orthogonal measurements: passive recording of QUIC flows and active probing.

研究动机与目标

• 在不进行主动探测的前提下，通过被动测量未请求的QUIC流量，理解超大规模公司的大规模QUIC部署情况。
• 从QUIC报头元数据中挖掘隐藏的基础设施细节，如负载均衡器架构和QUIC协议栈配置。
• 证明QUIC连接ID（CID）编码了关于服务器部署的结构信息，从而实现对超大规模服务的指纹识别。
• 通过受控的主动探测活动验证被动观测结果，确认负载均衡行为和配置差异。
• 评估被动QUIC测量作为长期、非侵入性方法在监测协议部署趋势方面的可行性与可扩展性。

提出的方法

• 从CAIDA网络望远镜被动收集并分析为期一个月的QUIC回传流量，该流量捕获了未请求的恶意QUIC数据包。
• 提取并分析QUIC数据包特征，包括源连接ID（SCID）、数据包聚合模式及数据包长度，以推断服务器端配置。
• 通过重传超时（RTO）和重传次数的统计分析，推断QUIC实现的本地协议栈配置。
• 将观察到的SCID模式与已知的部署特征（如负载均衡器类型）进行关联，并通过针对VIP的受控主动探测验证发现结果。
• 利用QUIC长头字段未加密的特性，无需TLS解密即可被动检查SCID和DCID。
• 应用CID结构分析，推断CID是否编码信息（如主机或工作节点ID）或仅为纯随机值，从而区分结构化与非结构化CID使用方式。

实验结果

研究问题

• RQ1 能否通过被动测量QUIC回传流量，揭示超大规模公司QUIC部署之间的详细配置差异？
• RQ2 QUIC连接ID在多大程度上编码了服务器基础设施的结构信息，如负载均衡器拓扑或服务器实例身份？
• RQ3 Facebook、Google和Cloudflare等主要超大规模公司之间的重传超时和最大重传次数有何不同？
• RQ4 被动分析能否在生产环境的QUIC部署中区分基于CID的负载均衡与非基于CID的负载均衡？
• RQ5 考虑到扫描源可能带来的偏差，被动回传数据在多大程度上能代表更广泛的QUIC部署趋势？

主要发现

• Facebook使用结构化的源连接ID（SCID），编码主机和工作节点标识符，表明其采用非CID意识的负载均衡器，且路由决策基于CID内容。
• Google采用CID意识的负载均衡，即使在不同五元组下，同一服务器实例也能在多次握手间被稳定访问，该结论由240秒的重传超时时间验证。
• Facebook的重传超时为0.4秒，重传次数为7–9次；Google则为0.3秒，重传次数为3–6次，表明其QUIC协议栈配置存在显著差异。
• Cloudflare采用数据包聚合和由服务器选择的CID，但SCID中未编码结构化信息，表明其采用不同的负载均衡策略。
• 基于CID多样性与重传模式，推断出Facebook每个接入点（PoP）的第7层负载均衡器数量为12–16个。
• 2021年至2022年期间，QUIC回传流量增长了440%，表明被动QUIC测量在未来将日益适用于长期协议监控。