Resumen

  • BMP sustituye el screen scraping por snapshots y cambios estructurados, pero cada feed representa un router, instancia, peer, familia, etapa RIB y modo concretos.
  • Route Monitoring puede comprimir la historia; Route Mirroring puede preservar PDU exactos pero muestrear, perder mensajes y consumir recursos; Loc-RIB puede estar filtrado y no equivale a FIB.
  • Una conclusión responsable documenta el derecho de observación y las discontinuidades, protege los datos y correlaciona recepción, política, selección, exportación, programación y paquetes sin convertir al collector en un oráculo.

Durante la investigación de una fuga, el dashboard presenta tres hechos: la ruta llegó, superó el filtro y salió hacia un cliente. Después se descubre que el primer panel era Adj-RIB-In pre-policy, el segundo un Loc-RIB filtrado que excluía el VRF afectado y el tercero una inferencia basada en la etiqueta de un peer group, no en el post-policy Adj-RIB-Out de la sesión. Cada registro BMP era auténtico; la cadena causal no.

RFC 7854 creó BGP Monitoring Protocol para ofrecer acceso continuo a las RIB sin raspar pantallas CLI. Un router envía por TCP estado de rutas, ciclo de vida de peers y estadísticas a una o varias estaciones. La norma limita expresamente su autoridad: BMP no es un protocolo de routing. La estación observa; no decide reachability, y la configuración permanece en el router.

RFC 4271 separa las etapas. Pre-policy Adj-RIB-In contiene lo anunciado por un peer antes del juicio local. Post-policy Adj-RIB-In contiene el resultado tras filtros y modificaciones, antes de la selección. Loc-RIB conserva las rutas elegidas por el Decision Process. Adj-RIB-Out prepara anuncios para peers concretos.

Una ruta en la primera vista sólo prueba recepción dentro de un epoch de sesión. No prueba aceptación, best path, resolución, instalación de hardware, exportación ni uso por paquetes. Cada salto de esa escalera necesita evidencia nueva.

BMP dispone de Peer Up y Down, Initiation y Termination, Statistics Report, Route Monitoring y Route Mirroring. El modo normal envía un snapshot inicial por peer y luego anuncios y withdraw incrementales. No hay orden obligatorio en el dump; un End-of-RIB cierra la vista inicial.

El snapshot no congela el router. Los cambios incrementales avanzan mientras se recorre la tabla. El collector debe retirar una ruta cambiada después de su dump o ignorar de forma segura un withdraw que llega antes del objeto. Es una réplica de streaming, no un archivo estático.

El EOR demuestra que terminó el epoch inicial, no que la copia seguirá completa. Un corte TCP, queue overflow, restart, colisión de identidad o error de decode puede volverla obsoleta. “Sincronizado” necesita la última frontera completa y todas las discontinuidades posteriores.

Route Monitoring conserva estado, no necesariamente el wire exacto. Varias mutaciones pueden convertirse en un único estado final mediante state compression. Eso protege recursos, pero elimina el orden intermedio. El PDU generado también puede tener otra codificación, y los timestamps pueden faltar o tener precisión dependiente de la implementación.

Route Mirroring sirve cuando importan los bytes y la secuencia originales, por ejemplo para un mensaje malformed tratado como withdraw según RFC 7606. Sin embargo, mirroring no significa lossless. Puede ser muestreado y dispone de Messages Lost; el full fidelity puede exigir buffers sin límite, interferir con UPDATE y ralentizar convergence. La observabilidad no debe dañar el sistema observado.

La prueba de pérdida atraviesa productor, transporte y consumidor: queue depth, compression, drops, session epochs, resets, backpressure, ingest sequence, decode failures, storage commit y replay watermark. Dos estaciones que comparten la misma queue o parser defect no son testigos independientes.

El flag L distingue Adj-RIB-In antes y después de la política. Cambia el significado de la presencia. Una auditoría de import compara ambas vistas para el mismo peer, AFI/SAFI y epoch; restar counts de etapas distintas no mide una política.

RFC 8671 añade Adj-RIB-Out y el flag O. La vista post-policy debe representar lo efectivamente transmitido después de filtros, modificaciones y atributos formados al enviar. Es el testigo BMP más fuerte para una afirmación de egress policy.

Pre-policy Adj-RIB-Out sólo muestra la elegibilidad anterior a la política para ese tipo de peering. No es necesariamente todo Loc-RIB: IBGP, reflector client, EBGP, confederation y route server ya aplican reglas. Next hop y otros atributos pueden estar vacíos o provisionales antes del wire.

La auditoría correcta es un diff acotado: mismo peer, familia y epoch. Cada supresión o cambio se explica mediante la policy activa, y la salida post-policy se contrasta con una observación del receptor cuando importa la consecuencia. Un update group es una optimización, no evidencia de cada miembro; un Admin Label sigue siendo metadata local.

RFC 9069 permite observar Loc-RIB directamente. Inferirlo mediante otro router añadía export policy, agregación y correlaciones frágiles. Peer Type 3 representa una instancia Loc-RIB, identificada por distinguisher, router ID y, cuando existe, nombre de VRF o tabla.

Ese namespace debe conservarse. Dos tablas llamadas global no son el mismo objeto. El collector también sigue el Peer Up emulado, capacidades, familias y ciclo de vida de cada instancia.

Loc-RIB puede filtrarse antes de enviarse. RFC 9069 exige el flag F cuando la estación recibe sólo un subconjunto. El claim deja de ser “todas las rutas seleccionadas” y pasa a ser “las rutas seleccionadas autorizadas”. El filtro puede proteger privacidad y escala; el error aparece cuando se pierde su contrato y ausencia se interpreta como inexistencia.

Loc-RIB también admite state compression. Cinco cambios en un segundo pueden convertirse en uno. Un feed quieto puede indicar estabilidad, churn que no cambió el winner, compresión o fallo de reporting. La salud del productor y del collector decide cuál.

Loc-RIB tampoco es FIB. El next hop puede fallar en recursion, el hardware instalar menos ECMP, la line card ir retrasada o túneles y protección alterar el trayecto. BMP atestigua selección de control plane, no paso de paquetes.

RFC 9972, publicado en mayo de 2026, añade gauges para inputs pre/post, Loc-RIB y outputs pre/post, además de damping, límites, licencias y estados RPKI. Un gauge es una fotografía, no un event ledger. Algunos tipos sólo se generan con la función correspondiente activa y su scheduling es específico de implementación.

Los totales globales pueden no igualar la suma por AFI/SAFI por races o partial failures. Debe registrarse la advertencia, no ajustar silenciosamente los números ni cortar el protocolo. Un manual clear u overflow crea discontinuidad. Durante GR/LLGR, el productor puede reducir estadísticas para dar prioridad a convergence; un gráfico tranquilo durante un incidente es ambiguo.

La documentación actual muestra el coste. Cisco IOS XE describe multiple stations, pacing del refresh, buffers y delays. IOS XR ofrece vistas pre/post y Loc-RIB simultáneas en plataformas y releases indicadas, con scan intervals. Junos configura memoria y management routing instance. Ninguna sintaxis debe generalizarse más allá del inventario probado.

La seguridad pertenece a la calidad de evidencia. Un dump puede revelar L3VPN privadas, peers y policy effects. Sin mutual authentication, un atacante puede hacerse pasar por router o station; sin confidentiality, leer o alterar el feed. RFC 7854 recomienda IPsec tunnel mode con pre-shared keys cuando aplica. TCP solo no proporciona identidad ni secreto.

El sistema moderno añade endpoints autenticados, cifrado, separación de tenants, least privilege, retención, almacenamiento tamper-evident y revocación. Quitar el derecho a una estación no debe parar BGP ni destruir evidencia de otra parte autorizada.

Cuatro artefactos sostienen producción. La observation-entitlement matrix enumera router, instance, peer, AFI/SAFI, station, etapas, L/O/F, filter, cadence, compression y buffer. El replica-health ledger conserva epoch TCP, Peer Up/Down, EOR, timestamps, queue, pérdidas, lag y commits. El diff de prefijos sentinela recorre cada etapa de policy. La prueba cross-plane conecta winner, recursion, FIB/ASIC, interface y packet path.

El rollout prueba rutas aceptadas y rechazadas, rewrite, cambio de best, export suppression, flaps BGP/BMP, backpressure, queue loss, filtro, timestamp cero, counter reset y restart. Se miden CPU, memoria, latencia y convergence por modo.

Rollback no debe alterar routing. Reducir scan, apagar mirroring, estrechar filter o revocar collector no debe resetear BGP. La pérdida de evidencia se muestra como coverage gap, no como gráfico vacío.

La autoridad se separa: routing policy, capacidad de plataforma, transporte y parsing, seguridad y retención, revisión de incidentes y forwarding validation. El operador del collector no puede definir el feed, ocultar huecos y certificar su conclusión.

La especificación inicial mínima de Heng Lu favorece un formato común delgado que no delega selección. Las futuras decisiones siguen locales mediante stages, filters, cadence, stations y revocation. La primacía del código en ejecución ordena configuración, registro BMP, base del collector, Loc-RIB, FIB y paquete. Ningún nivel inferior toma prestada la autoridad del superior.

Soberanía práctica significa controlar qué rutas salen, quién las correlaciona, cuánto persisten, cómo se detecta la alteración y cómo termina el acceso. BMP es un testigo extraordinario cuando declara con precisión su jurisdicción.

El monitor vio una ruta. Falta saber cuál, en qué etapa e instancia, tras qué compresión o pérdida, bajo qué filtro y corroborada por qué paquete.

Fuentes