Las sondas BGP con sello OTC de Cloudflare detectaron a dos Tier-1 eliminando la protección contra fugas

Las fugas de rutas desvían el tráfico por caminos no previstos y han dejado fuera de línea a grandes partes de internet, pero prevenirlas ha exigido políticas de enrutamiento escritas a mano y propensas a errores. RFC 9234 traslada esa intención a BGP: una capacidad Role hace que los vecinos acuerden su relación, y el atributo Only to Customer (OTC) marca una ruta que solo debe propagarse hacia abajo, de modo que un router compatible rechaza una fuga sin necesidad de política del operador.

Medir la adopción de RFC 9234 es difícil porque OTC puede ser estampado en la salida por el emisor o en la entrada por un receptor, así que una ruta pública no revela quién lo estableció. Contar valores OTC distintos en RouteViews y RIPE RIS encontró 361 candidatos, pero los rellenos inflan esa cifra; al emparejar OTC con el primer AS de la ruta quedaron nueve, y las heurísticas elevaron la estimación a 36. La propia red de Cloudflare elimina la ambigüedad: con miles de pares directos, revisó los feeds BMP en busca de rutas cuyo OTC coincidiera con el ASN del par, y encontró 67 ASes que establecieron el atributo en tres meses.

Para encontrar a quienes lo eliminan, Cloudflare anunció un prefijo IPv4 y otro IPv6 con OTC establecido en su propio ASN desde todas las ubicaciones de peering, y luego los retiró para provocar la búsqueda de rutas. Cualquier ruta que terminara en el ASN de Cloudflare sin OTC había sido despojada del atributo por el AS precedente, identificado al analizar los UPDATE de los colectores públicos y de sus propios routers. La primera pasada encontró seis eliminadores, incluidos dos Tier-1, GTT (AS3257) y Arelion (AS1299); una iteración con conjunto de confianza encontró nueve más. Los dos Tier-1 aparecieron en el 96,6% de las rutas IPv4 y el 92,9% de las IPv6 sin OTC; el 33,1% de las rutas IPv4 y el 17% de las IPv6 en general perdieron OTC.

La eliminación importa porque OTC es un atributo transitivo opcional: incluso los routers sin soporte de RFC 9234 deben reenviarlo, y eliminarlo desactiva la prevención de fugas para ASes compatibles situados a varios saltos de distancia. GTT y Arelion dijeron a Cloudflare que eliminaban el atributo como práctica defensiva tras incidentes pasados de manejo de errores BGP, incluido uno en el que un OTC malformado reinició sesiones. Cloudflare compartió los hallazgos con ambas: Arelion desplegó configuraciones que preservan OTC poco después, verificable en datos públicos, mientras que la configuración de GTT sigue eliminándolo.

Anunciar prefijos de prueba con sello OTC; observar quién los elimina

Miles de pares directos dan a Cloudflare un punto de observación donde OTC puede atribuirse a un solo AS, lo que elimina la ambigüedad de entrada/salida que contamina los volcados de RIB públicos.

Anunciar prefijos de prueba con OTC establecido en el ASN de Cloudflare y luego retirarlos produjo un flujo de rutas en el que la ausencia de OTC en el último salto solo podía significar que el vecino nombrado lo había eliminado.

Analizar los mensajes UPDATE en lugar de instantáneas de RIB capturó tanto las fases de anuncio como de retirada, lo que sacó a la superficie muchas más rutas para el algoritmo de atribución.

Como OTC es transitivo opcional, unos pocos Tier-1 que lo eliminaban rompían silenciosamente la prevención de fugas para los ASes compatibles situados detrás de ellos, lo que hizo que valiera la pena involucrar a las dos redes.

Presentar a cada red las pruebas convirtió la medición en cambio: Arelion comenzó a preservar OTC pocos días después de la conversación.

Cuando los datos públicos no permiten saber quién obedece un protocolo, emita su propia señal de prueba desde muchos puntos de observación y vigile quién la descarta: la observación directa convierte la ambigüedad en nombres, y los nombres en correcciones.

Arelion comenzó a preservar el atributo OTC poco después de que Cloudflare compartiera los hallazgos, y el cambio es verificable en los datos de los colectores públicos mediante consultas de monocle sobre el prefijo de prueba de Cloudflare. La configuración de GTT sigue eliminando OTC, lo que, según Cloudflare, seguirá obstaculizando la prevención de fugas de rutas de RFC 9234 a través de AS3257 hasta que preserve el atributo o configure BGP Roles. Cloudflare ha comenzado a desplegar gradualmente configuraciones de Role en sus propios routers y planea publicar los datos de adopción en la sección Routing de Cloudflare Radar.