As sondas BGP com carimbo OTC da Cloudflare flagraram duas Tier-1 removendo a proteção contra vazamentos

Os vazamentos de rota desviam o tráfego por caminhos não intencionais e já derrubaram grandes partes da internet, mas preveni-los exigia políticas de roteamento escritas à mão e sujeitas a erros. A RFC 9234 leva essa intenção para o BGP: uma capacidade de Role faz os vizinhos concordarem sobre seu relacionamento, e o atributo Only to Customer (OTC) marca uma rota que só deve se propagar para baixo, de modo que um roteador compatível rejeita um vazamento sem política do operador.

Medir a adoção da RFC 9234 é difícil porque o OTC pode ser carimbado na saída pelo remetente ou na entrada por um receptor, então um caminho público não revela quem o definiu. Contar valores OTC distintos no RouteViews e no RIPE RIS encontrou 361 candidatos, mas preenchimentos inflam esse número; casar o OTC com o primeiro AS do caminho deixou nove, e heurísticas elevaram a estimativa para 36. A própria rede da Cloudflare remove a ambiguidade: com milhares de pares diretos, ela verificou feeds BMP em busca de rotas cujo OTC fosse igual ao ASN do par, encontrando 67 ASes que definiram o atributo em três meses.

Para encontrar os removedores, a Cloudflare anunciou um prefixo IPv4 e um IPv6 com OTC definido para seu próprio ASN a partir de todos os locais de peering, e então os retirou para disparar a busca de caminhos. Qualquer caminho que terminasse no ASN da Cloudflare sem OTC havia sido removido pelo AS precedente, identificado pela análise de UPDATEs de coletores públicos e de seus próprios roteadores. A primeira passagem encontrou seis removedores, incluindo duas Tier-1, a GTT (AS3257) e a Arelion (AS1299); uma iteração com conjunto confiável encontrou mais nove. As duas Tier-1 apareceram em 96,6% dos caminhos IPv4 e 92,9% dos caminhos IPv6 sem OTC; 33,1% dos caminhos IPv4 e 17% dos caminhos IPv6 no total perderam o OTC.

A remoção importa porque o OTC é um atributo transitivo opcional: mesmo roteadores sem suporte à RFC 9234 devem repassá-lo, e removê-lo desativa a prevenção de vazamentos para ASes compatíveis vários saltos adiante. A GTT e a Arelion disseram à Cloudflare que removiam o atributo como prática defensiva após incidentes passados de tratamento de erros no BGP, incluindo um em que um OTC malformado reiniciava sessões. A Cloudflare compartilhou as descobertas com ambas: a Arelion implantou configurações que preservam o OTC logo depois, verificável em dados públicos, enquanto a configuração da GTT ainda o remove.

Anunciar prefixos de teste com carimbo OTC; observar quem os remove

Milhares de pares diretos dão à Cloudflare um ponto de observação onde o OTC pode ser atribuído a um único AS, eliminando a ambiguidade de entrada/saída que contamina os dumps públicos de RIB.

Anunciar prefixos de teste com OTC definido para o próprio ASN da Cloudflare e depois retirá-los produziu um fluxo de caminhos em que a ausência de OTC no salto final só podia significar que o vizinho nomeado o havia removido.

Analisar mensagens UPDATE em vez de instantâneos de RIB capturou tanto as fases de anúncio quanto as de retirada, revelando muito mais rotas para o algoritmo de atribuição.

Como o OTC é transitivo opcional, um punhado de Tier-1 removedoras quebrava silenciosamente a prevenção de vazamentos para ASes compatíveis atrás delas, o que tornou válido o esforço de engajar as duas redes.

Apresentar a cada rede as evidências converteu medição em mudança: a Arelion começou a preservar o OTC poucos dias após a conversa.

Quando os dados públicos não conseguem dizer quem obedece a um protocolo, emita seu próprio sinal de teste a partir de muitos pontos de observação e veja quem o descarta: a observação direta converte ambiguidade em nomes, e nomes em correções.

A Arelion começou a preservar o atributo OTC pouco depois de a Cloudflare compartilhar as descobertas, e a mudança é verificável em dados de coletores públicos por meio de consultas monocle no prefixo de teste da Cloudflare. A configuração da GTT ainda remove o OTC, o que, segundo a Cloudflare, continuará dificultando a prevenção de vazamentos de rota da RFC 9234 através do AS3257 até que ela preserve o atributo ou configure BGP Roles. A Cloudflare começou a implantar gradualmente configurações de Role em seus próprios roteadores e planeja publicar os dados de adoção na seção Routing do Cloudflare Radar.