Resumen

  • RFC 7999 define la comunidad bien conocida BLACKHOLE, registrada como 65535:666, para que una red de origen solicite a un vecino descartar tráfico destinado a un prefijo.
  • La etiqueta es consultiva: solo debe surtir efecto tras un acuerdo, dentro del espacio que el vecino puede anunciar, con política local explícita y propagación limitada.

La señal solicita un fallo deliberado

La mayoría de las señales de enrutamiento busca conservar la conectividad. BLACKHOLE pide lo contrario. Si un ataque llena un enlace ascendente, hacer inalcanzable una dirección atacada puede proteger capacidad para otros servicios. También elimina el tráfico legítimo hacia el destino: es un sacrificio controlado, no una recuperación.

IANA registra BLACKHOLE como 0xFFFF029A, escrito habitualmente 65535:666. El AS de origen lo adjunta a un prefijo que cubre a la víctima; un vecino participante puede interpretarlo como petición de descartar paquetes dirigidos allí.

Compartir el código no comparte la autoridad. El emisor nombra el destino sacrificable, pero el receptor controla el equipo que descarta. Si la comunidad fuera una orden automática, un par convertiría un anuncio normal en control remoto sobre la pérdida de paquetes. RFC 7999 no concede ese poder.

El acuerdo precede a la activación

En una relación bilateral, ambas redes deben acordar el uso de BLACKHOLE antes de anunciarlo. Sin una directiva explícita del operador, los equipos no deberían descartar tráfico solo por ver la etiqueta. Reconocer un valor estándar no equivale a consentir su ejecución.

El receptor solo debe honrar un anuncio cuando el prefijo esté cubierto por otro igual o más corto que el vecino esté autorizado a anunciar, y cuando esa sesión tenga permiso para usar el mecanismo. Un acuerdo no autoriza a inutilizar espacio ajeno.

La especificidad limita quién paga

El prefijo debe ser tan específico como sea posible, normalmente /32 en IPv4 o /128 en IPv6. Un agregado amplio puede desconectar direcciones inocentes. La víctima, el enlace y los servicios vecinos pueden beneficiarse, pero el destino elegido pierde todo el tráfico, incluido el legítimo.

Las fuentes no cuantifican capacidad salvada, duración ni despliegue por operadores concretos. La comunidad tampoco autentica por sí misma la historia del ataque. La autorización real reside en la sesión BGP, los filtros de prefijos y la política del receptor.

La propagación debe quedar contenida

El receptor debería añadir NO_ADVERTISE, NO_EXPORT o una restricción equivalente. La fuga de una ruta más específica de descarte puede afectar a redes que nunca aceptaron esa capacidad. RFC 7999 también anima a conservar las actualizaciones BLACKHOLE para análisis y auditoría.

La evidencia debe unir par solicitante, prefijo, ruta autorizada que lo cubre, acuerdo de sesión, acción aplicada, control de propagación, activación y retirada. El éxito exige probar tanto el descarte deseado como la ausencia de alcance no autorizado.

Evidencia y límites

RFC 7999 establece estas condiciones; RFC 1997 aporta la semántica de comunidades, RFC 4271 el contexto BGP e IANA el valor asignado. Considerar BLACKHOLE una capacidad de emergencia estrechamente delegada es una inferencia de liderazgo. Nada de ello prueba un despliegue, ataque o resultado de un operador nombrado, y no se formula ninguna acusación.

Fuentes