Summary

  • Bryton Herdes anunció un prefijo de prueba por una sesión cuyo vecino era AS13335, pero puso delante otro ASN propio, AS402542. Siete de los catorce Tier‑1 examinados aceptaron e instalaron la ruta.
  • La defensa está en la sesión receptora: exigir que el primer AS del camino coincida con el vecino eBGP. RFC 7947 permite una excepción por vecino para los servidores de rutas transparentes de los puntos de intercambio.

En la mesa de entrada figuraba AS13335. En la primera casilla del documento, AS402542. El experimento de Bryton Herdes consistió en entregar ese documento deliberadamente equivocado y mirar qué redes leían la casilla. La investigación original da una respuesta simétrica: siete Tier‑1 rechazaron el anuncio; otros siete lo aceptaron.

Herdes presentó el método en NANOG 98 el 20 de octubre. Sus diapositivas originales enseñan la política de exportación: el equipo envía su prefijo desde AS13335 y antepone AS402542 al AS_PATH. El origen conservaba un aspecto autorizado. ROV comprueba el origen del prefijo; una trayectoria recortada puede dejar poco material para que ASPA encuentre una relación de tránsito contradictoria. El receptor ya conoce al vecino que abrió la sesión. Ahí puede comparar el primer número del camino con el número del vecino.

El ensayo midió una política concreta en un conjunto concreto. Los dos ASN y el prefijo pertenecían al equipo que realizó la prueba. También descubrieron una trampa para la vigilancia permanente: algunos pares reiniciaban BGP al recibir un camino mal formado, en lugar de retirar solo la ruta. La prueba continua que habían imaginado podía perturbar sesiones reales; la dejaron de lado.

Existe una excepción legítima. Un servidor de rutas de un intercambio reenvía rutas sin colocar su propio ASN al principio. RFC 7947 pide que el cliente pueda desactivar la comprobación para ese vecino. La frase importante es «ese vecino». Si el operador apaga la regla para todo el router, la comodidad de un servidor transparente se convierte en permiso para los demás pares.

Los valores predeterminados de las implementaciones varían según las diapositivas de Herdes. Por eso la respuesta práctica es un inventario de sesiones, no una lista de marcas. Para cada vecino eBGP: ASN configurado, función del vecino, comprobación efectiva y resultado observado de una prueba autorizada. El control de origen seguirá haciendo su trabajo. El primer AS debe hacer el suyo en la puerta.

Fuentes: sesión NANOG 98 · diapositivas de Herdes · informe original del equipo · RFC 7947.