A experiência que expôs uma reescrita silenciosa

A 24 de julho, dois engenheiros da Cloudflare publicaram o resultado de uma experiência deliberadamente ruidosa. Iliana Xygkou e Bryton Herdes anunciaram prefixos IPv4 e IPv6 a partir da própria rede da Cloudflare, AS13335, cada um com um valor diferente num antigo campo do BGP chamado ORIGIN. Retiraram depois os prefixos para forçar a internet à procura de caminhos, leram com a ferramenta BGPKIT o que voltava pelos coletores RIPE RIS e RouteViews e pelos fluxos BMP da própria Cloudflare, e compararam o valor que tinham enviado com o valor que o resto do mundo via.

Os valores não coincidiam. O ORIGIN é um dos atributos mais antigos do BGP e regista como uma rota entrou no protocolo: IGP, EGP ou INCOMPLETE, nessa ordem de preferência. Cerca de 70% dos caminhos IPv4 observados, e 67% dos IPv6, chegaram com o ORIGIN reposto em IGP, o valor com maior prioridade. Aproximadamente 10% dos seus 352 pares IPv4 diretos faziam a reescrita, com uma proporção semelhante entre 315 pares IPv6.

O mecanismo explica o motivo. O ORIGIN é consultado na escolha do melhor caminho quando duas rotas empatam na Local Preference e no comprimento do AS_PATH, e ganha o valor de ORIGIN mais baixo. Repô-lo em IGP faz passar um caminho à frente dos concorrentes sem tocar no AS_PATH, que é o campo que todos vigiam. Hoje 89,8% das rotas levam IGP, 3,5% levam EGP e 6,7% levam INCOMPLETE, uma distribuição que parece arrumada sobretudo porque boa parte dela é fabricada em trânsito.

Os números apontam para as maiores redes

O interessante não é a extensão, é a concentração. A Cloudflare concluiu que 26% dos 50 maiores sistemas autónomos segundo o AS Rank manipulam o ORIGIN, a par de 20% dos 100 primeiros, e que 20,3% de todas as redes que reescrevem estão dentro desses 50 primeiros. Seis das dezasseis redes Tier-1 fazem-no. As redes com maior capacidade de puxar tráfego para os seus próprios caminhos são, de forma desproporcionada, as que forçam o campo que decide os casos apertados.

Um detalhe parece comercial e não acidental. Uma única rede Tier-1 reescreve o ORIGIN nas rotas que aprende de pares e preserva o valor nas rotas que aprende de clientes. Não é a assinatura de um modelo esquecido num router: é uma regra que trata de modo diferente o tráfego de trânsito pago e o tráfego de peering gratuito.

O ganho foi mensurável na própria experiência. As redes que reescreviam ganharam 12 caminhos IPv4 adicionais através de si mesmas, um aumento de 18%, e 33 caminhos IPv6 adicionais, um aumento de 40%. É esse o ponto: a reescrita de um único atributo, invisível para a rede que o definiu, deslocou uma parte relevante dos caminhos candidatos para quem reescrevia.

A avaliação da Cloudflare é direta. Não encontrou justificação técnica válida para a prática e aponta dois danos: as redes que cumprem a RFC ficam em desvantagem face às que não cumprem, e o tráfego é afastado de operadores alternativos que de outro modo teriam ganho o desempate. A proposta é retirar por completo a influência do atributo na escolha de rotas, começando por implementações que ponham em IGP toda a rota recebida e anunciada.

Onde uma tese de resiliência cai em silêncio

A consequência operacional não é bem sobre o ORIGIN, é sobre o que prova a frase "temos vários operadores". Ter vários operadores dá-lhe mais do que uma saída física, e essa parte é real. O que não lhe dá é controlo sobre o caminho pelo qual o tráfego regressa efetivamente até si, porque quase todos os atributos que expressam preferência são apenas indicativos assim que passam a sua fronteira. A Local Preference é a exceção que conta: define-a nos seus próprios routers, está acima do ORIGIN na ordem de decisão e nunca atravessa uma fronteira eBGP, e é precisamente por isso que é a única preferência que mais ninguém pode substituir.

Essa distinção já conta por escrito. Com a NIS2, a resiliência de rede é algo que se demonstra e não que se afirma, e a diversidade de caminhos está entre as afirmações mais fáceis de fazer num questionário de fornecedores. Se uma única rede central consegue trazer para si uma parte mensurável dos caminhos candidatos ao repor um atributo, então uma afirmação de diversidade construída sobre anúncios, e não sobre contratos e sobre a Local Preference, é uma afirmação que não conseguirá sustentar quando alguém a verificar.

O rumo da normalização também deve encurtar a sua espera. Um projeto do IETF intitulado "Scrubbing BGP ORIGIN Attribute", publicado a 3 de novembro de 2025, atualiza as RFC 4271 e RFC 7606 para tornar o atributo semiopcional e permitir explicitamente repô-lo em IGP. A sua própria medição da default-free zone em setembro de 2025 encontrou cerca de 9% das rotas com INCOMPLETE e menos de 1% com EGP. Leia o rumo com honestidade: o processo de normalização caminha para legitimar a reescrita em vez de a travar, pelo que o comportamento não será corrigido em seu nome.

Três verificações antes da próxima renovação de trânsito

Faça a pergunta a que a medição permite responder. Primeiro, peça por escrito a cada operador de trânsito o que faz aos atributos BGP dos seus anúncios e se trata de forma diferente as rotas aprendidas de pares e as aprendidas de clientes. Segundo, deixe de usar o ORIGIN como sinal de encaminhamento em qualquer ponto da sua própria política, porque a medição mostra que não sobrevive aos primeiros saltos. Terceiro, passe a expressão real da sua preferência para a Local Preference na sua própria fronteira e para comunidades cujo respeito tenha confirmado junto do operador, e depois teste isso em vez de o presumir.

Depois ponha preço na resposta. Na Europa, os contratos de trânsito são cotados quase sempre em euros por Mbps comprometido, e em libras no Reino Unido, e o tratamento das rotas quase nunca lá figura. Se paga um acréscimo por um segundo ou terceiro operador precisamente para manter diversidade de caminhos, essa diversidade merece ser escrita no contrato como um compromisso de tratamento de rotas. Um operador que não queira dizer o que faz aos seus atributos já lhe disse algo útil sobre que caminhos são realmente seus.

Leia a seguir: Uma mensagem alcançou as chaves SSH  |  Uma IA de teste invadiu uma empresa para copiar