Resumen

  • En un episodio expuesto en RIPE 93, unas 3.000 sondas RIPE Atlas agotaron el tiempo de espera al intentar llegar a L-Root por IPv4 durante varios días, frente a una base cercana a 1.000. El análisis aisló unas 1.700 sondas afectadas durante el pico en 97 países.
  • Los sitios de L-Root seguían respondiendo a otras sondas. El registro identificó una avería en trayectos de red; la charla no aportó una medición equivalente del daño sufrido por usuarios de resolutores DNS.

La pantalla tenía un culpable fácil: L-Root. Junto a ese nombre, una línea roja subía hasta unas 3.000 sondas con tiempos de espera agotados. En una reunión de incidentes, el dedo habría apuntado al operador antes de abrir un traceroute. Pero las máquinas a las que se culpaba seguían sirviendo consultas. Algunas rutas hacia ellas eran las que habían dejado de funcionar.

Giovane Moura llevó ese episodio a RIPE 93 el 27 de octubre. Su equipo construyó RootViz sobre los datos de medición que RIPE Atlas ya recoge. El tablero mostró un aumento persistente de fallos IPv4 hacia L-Root: el nivel habitual rondaba las 1.000 sondas y el pico alcanzó alrededor de 3.000 durante días. La comparación de un intervalo anterior con otro dentro del incidente encontró unas 1.700 sondas que antes llegaban al servicio y luego no podían hacerlo, repartidas en 97 países.

Es una alarma con tamaño suficiente para exigir trabajo. La investigación comenzó por las preguntas que un gráfico suele esconder. ¿Seguían conectadas esas sondas? ¿Fallaba también IPv6? ¿Podían llegar a otras letras del sistema raíz? Moura describió una señal centrada en IPv4; otras letras y las sondas examinadas seguían funcionando. Los investigadores compararon traceroutes y destinos anycast. Los sitios de L-Root mantenían servicio para otras sondas. La interrupción estaba en rutas intermedias, aunque el punto exacto de ruptura necesitaba más análisis manual.

RootViz utiliza una población más amplia que DNSMON. El servicio de monitorización del RIPE NCC se apoya en anclas Atlas, instaladas como referencias de medición más estables. El proyecto de Moura, vinculado a SIDN Labs y la TU Delft, incorpora las sondas corrientes. Así ve redes a las que una red de anclas llega con menor densidad. El informe anual 2025 del RIPE NCC contabilizó aproximadamente 14.400 sondas conectadas y 963 anclas conectadas. Son cifras de aquel año, no el tamaño exacto de la muestra del episodio de L-Root, y explican la magnitud de la diferencia metodológica.

Las sondas corrientes aportan alcance y desorden a la vez. Una conexión doméstica se cae; un equipo anfitrión se apaga; una sonda cambia de red. Al reunir miles de puntos, RootViz puede detectar una forma colectiva que desaparecía en una muestra pequeña. También debe separar el fallo del servicio de los fallos de los puntos de observación y del transporte. El nombre del servidor en el eje del gráfico identifica el destino probado. El camino recorrido hasta ese destino tiene muchos propietarios.

El caso de L-Root deja ver una disciplina útil. Primero se fija la cohorte de sondas que funcionaba antes y falló durante el pico. Luego se comparan familias de direcciones, otras letras, conectividad de las sondas y trazas. Después se mira si los sitios anycast permanecieron disponibles desde otros puntos. La secuencia redujo el espacio de búsqueda y evitó convertir una alarma de alcance en un parte de caída del servidor.

Quedaba una pregunta de mayor interés público. Hans Petter Holen, director ejecutivo del RIPE NCC, preguntó en la sesión cuánto importaba ese patrón para los resolutores y sus usuarios. Otro participante recordó que muchas personas no consultan directamente a un servidor raíz desde el lugar donde hay una sonda Atlas; usan un resolutor recursivo en otra parte de la red. Moura aceptó que el tablero mide trayectos desde sondas y carece de una equivalencia directa con usuarios afectados. Una observación sincronizada de resolutores en las mismas redes permitiría medir esa consecuencia.

Ese hueco concreto no vuelve inútil el detector. Una ruta defectuosa hacia una letra raíz merece atención aunque el usuario final obtenga respuestas por otra vía. Lo que cambia es la orden de trabajo. El operador de la letra comprueba sitios y anuncios; las redes de tránsito examinan el trayecto; los administradores de resolutores miran las consultas que realmente sirven. Si el informe público salta de «sondas con timeout» a «usuarios sin DNS», envía a todos a perseguir el titular en lugar de la avería.

RIPE Atlas pone la medición a disposición de terceros; RootViz la convierte en una señal visible. El valor de esa apertura se prueba en la siguiente etapa: conservar la muestra, mostrar las comparaciones y registrar quién puede actuar sobre el fallo localizado. El tablero ya sabe llamar la atención. Debe aprender a entregar un expediente, no un acusado.

Fuentes: sesión RootViz de RIPE 93 y transcripción oficial; documentación del RIPE NCC sobre DNSMON, mediciones integradas de RIPE Atlas e informe anual 2025.