Resumo

  • A visibilidade BGP global não é uma medida completa do uso de IPv4. Os coletores de rotas registram os anúncios recebidos de seus pares; eles não revelam cada atribuição interna, implantação em nuvem preparada, dependência contratual, plano de migração ou opção de roteamento de emergência.
  • Um prefixo inativo pode ter um valor de opção real quando dá a um operador um direito exequível, mas não uma obrigação, de ativar capacidade após uma interrupção de serviço, durante o crescimento da clientela ou em uma transferência entre redes. O valor provém dos atrasos, renumerações e perdas de serviço evitados, e não apenas da escassez.
  • Essa mesma linguagem pode ocultar retenção especulativa. Uma reserva só é crível se o titular puder identificar o evento desencadeador, o tamanho do bloco exigido, o estado de prontidão técnica, o responsável operacional, o período de revisão, uma capacidade alternativa e uma regra de descontinuação se a necessidade expirar.
  • Os atuais corpus de políticas não estabelecem uma regra universal segundo a qual todo bloco não roteado seria recuperável. O atual contrato de serviços de registro da ARIN especifica expressamente que a ARIN não tem o direito, sob este contrato, de revogar os recursos incluídos por falta de uso, no entanto as políticas de solicitação e transferência de várias regiões continuam a examinar as necessidades demonstradas ou projetadas em circunstâncias definidas.
  • A documentação pública de provedores de nuvem e segurança demonstra que prefixos provisionados podem ser deliberadamente não anunciados entre dois usos. A AWS suporta provisionamento antes do anúncio, o Google Cloud deixa os clientes decidirem quando certos prefixos BYOIP são anunciados ou retirados, e a Cloudflare descreve o anúncio sob demanda durante um ataque. Esses exemplos estabelecem a possibilidade operacional, não a prevalência de reservas justificadas.
  • Um exame de uso rigoroso separa a observação do julgamento. Ele combina registros de registros, histórico BGP, evidências de gerenciamento de endereços, estado de prontidão de roteamento e RPKI, contratos, marcos de migração e testes de continuidade de negócios, enquanto protege a arquitetura sensível.
  • A Sociedade de Recursos Numéricos pode tornar essa distinção mais legível ao promover um perfil de prova portátil para reservas operacionais e defender um exame processual. Suas próprias posições permanecem uma defesa em primeira pessoa; ela não deve certificar a necessidade, definir preços de mercado ou substituir um RIR, um auditor ou um tribunal.

O coletor de rotas vê uma sombra, não a totalidade do ativo

A estatística IPv4 mais fácil de produzir é também uma das mais fáceis de interpretar em excesso. Pegue uma alocação de registro, procure em uma tabela de roteamento um anúncio abrangente, e chame o que está ausente de "não utilizado". O método é atraente porque é reproduzível e público. Pode identificar rapidamente grandes questões. Não pode, por si só, determinar se um operador tem um motivo defensável para o espaço.

O serviço de informação de roteamento RIPE explica claramente suas próprias limitações: os coletores de rotas ingerem dados BGP através de sessões de peering. A maioria dos coletores recebe rotas de pares nos pontos de troca onde estão conectados, enquanto os coletores multi-hop ampliam o leque de perspectivas. Os dados resultantes são inestimáveis para o estudo do sistema de roteamento. Eles permanecem observações de entidades pares, não um sensor universal dentro de cada rede.

Essa distinção tem duas consequências. Primeiro, a ausência em um único coletor é uma evidência mais fraca do que a ausência constatada em um conjunto variado de coletores ao longo do tempo. Uma rota pode ser filtrada, visível apenas para alguns pares, representada por um agregado abrangente, ou anunciada brevemente durante um evento. Segundo, mesmo uma ausência total da zona pública sem defeito estabeleceria apenas que o prefixo não foi anunciado globalmente durante a janela de observação.

Não estabeleceria que nenhum endereço foi configurado, nenhuma migração de cliente dependia dele, nenhuma interconexão privada os utilizava, nenhuma integração em nuvem havia começado, ou nenhum plano de contingência testado os reservava.

Os trabalhos da CAIDA sobre inferência do uso de IPv4 chegaram a uma conclusão metodológica similar a partir de outra direção. Seus pesquisadores combinaram conjuntos de dados ativos e passivos heterogêneos porque nenhuma fonte de medição única expunha toda a atividade dos endereços. Esse estudo melhorou a inferência; não transformou a inferência em decisão de propriedade. A medição pode reduzir a incerteza. Não suprime a necessidade de perguntar qual estado legal e operacional está sendo medido.

O vocabulário importa, portanto. "Não anunciado" deve significar que as observações BGP selecionadas não continham rota. "Não reativo" deve significar que as sondas selecionadas não provocaram resposta. "Não atribuído" deve descrever um fato de gerenciamento de endereços estabelecido a partir de registros apropriados. "Não necessário" é um julgamento sobre necessidades futuras e alternativas. "Abandonado" é uma alegação sobre intenção ou conduta. "Recuperável" é uma conclusão sob política, contrato ou lei aplicável. Passar do primeiro termo ao último sem evidência adicional não é salvaguarda. É uma falácia de categoria.

A escassez alterou o preço da espera

O período que começa em 2010 é importante porque o custo de substituição de um bloco IPv4 mudou fortemente nesse momento. A Number Resource Organization relata que o pool central livre da IANA foi esgotado em 3 de fevereiro de 2011, quando os últimos cinco blocos /8 foram alocados aos cinco RIRs. O esgotamento regional seguiu cronogramas diferentes. A ARIN indica que seu pool livre foi esgotado em 24 de setembro de 2015 e agora direciona a maioria das solicitações ordinárias para transferências, uma lista de espera, pools reservados estreitos ou IPv6.

Antes da escassez, um operador que decidisse liberar espaço excedente poderia razoavelmente esperar solicitá-lo novamente mais tarde sob as políticas vigentes se o crescimento retornasse. Após a escassez, a reaquisição pode exigir uma transferência negociada, corretagem, due diligence jurídica, aprovação do registro, renumeração, verificações de reputação e um cronograma incerto. O titular não cedeu apenas endereços. Ele cedeu uma escolha futura que poderia ser cara de recriar.

Essa é a fonte do valor de opção. Uma opção real é útil quando o futuro é incerto, a decisão pode ser adiada e o custo de reverter uma cessão é significativo. Um operador que detém um prefixo próprio pode escolher mais tarde anunciá-lo, dividi-lo, implantá-lo em uma nova região, migrar clientes para ele, usá-lo durante uma mitigação, alugá-lo nas regras aplicáveis ou transferi-lo. Liberar o bloco extingue algumas ou todas essas escolhas.

A escassez sozinha não torna cada escolha valiosa. Um /12 sem propósito operacional plausível não se justifica porque os endereços são caros. Uma opção sem caminho de exercício viável, sem proprietário, sem gatilho e sem data de revisão pode ser uma história contada posteriormente. A análise deve conectar um bloco particular a uma incerteza particular e a uma ação crível.

A boa pergunta econômica não é: "Este prefixo poderia ser vendido?" Quase todo ativo raro transferível pode ter um preço. É: "Qual perda de serviço, custo de migração ou expansão perdida o operador sofreria se liberasse o prefixo agora e encontrasse mais tarde a necessidade declarada?" A resposta pode ser grande, pequena ou nula. Depende da arquitetura do operador e da substituibilidade do bloco.

Nenhuma fonte pública fornece um denominador global para as reservas inativas justificadas. Os conjuntos de dados BGP contam as rotas observadas, não os planos de continuidade aprovados pelo conselho. As listas de transferência dos RIRs registram as mudanças aprovadas, não cada decisão de reter um bloco. Os operadores raramente publicam a totalidade de seus sistemas de gerenciamento de endereços IP, seus testes de recuperação de desastres ou suas previsões de clientela futura. Os provedores de nuvem descrevem as funcionalidades suportadas, não os inventários de reservas dos clientes.

As alegações de que uma determinada porcentagem do espaço não roteado é desperdício, seguro ou especulação exigem, portanto, uma definição e evidências que o registro público não fornece atualmente.

Quatro estados idênticos vistos de fora

Imagine quatro prefixos /20, nenhum visível na tabela de roteamento pública em uma terça-feira à tarde.

O primeiro pertence a um provedor que concluiu sua integração com uma rede de mitigação. As autorizações de rota, cartas de autoridade, túneis e procedimentos estão em vigor. Durante um ataque volumétrico, o provedor pode retirar sua rota ordinária e solicitar que a rede de mitigação anuncie o prefixo. O bloco está silencioso na periferia desse provedor porque seu valor reside em um caminho de resposta testado.

O segundo é afetado a uma nova implantação regional. O hardware está pedido, dois contratos de clientes estão assinados, os planos de sub-rede estão aprovados e um provedor de nuvem está finalizando a validação. A data de entrada em serviço anunciada é daqui a três meses. O prefixo ainda não produz tráfego, mas liberá-lo inviabilizaria um projeto comprometido.

O terceiro faz parte de um programa de renumeração. Os endereços antigos e novos devem coexistir enquanto os valores TTL do DNS diminuem, as listas de controle de acesso mudam, os parceiros autorizam os novos endpoints, os certificados e licenças são atualizados e os equipamentos dos clientes são substituídos. O bloco pode permanecer amplamente silencioso antes da comutação ou após o tráfego ter fluído, mesmo que seja essencial para o rollback.

O quarto foi alocado há anos. O titular não consegue identificar nem uma atribuição em andamento, nem um projeto aprovado, nem uma dependência de cliente, nem um teste, nem um orçamento, nem um plano de rota, nem uma data de decisão. Os dirigentes sabem apenas que os endereços podem ser úteis um dia e que valorizaram. É o candidato mais óbvio para liberação, aluguel ou transferência.

Um instantâneo rotula os quatro como inativos. Uma auditoria deveria rotulá-los de forma diferente: reserva de contingência, crescimento comprometido, sobreposição de migração e inventário não fundamentado. A distinção não exige que o registro gerencie as redes. Exige que o titular produza evidências proporcionais à demanda.

É também por isso que uma porcentagem de uso binária pode ser enganosa. Se o primeiro provedor reserva um /20 agregável porque o serviço de emergência só aceita essa unidade de roteamento, a contagem de interfaces configuradas pode mostrar uso próximo de zero. Fragmentar o bloco entre clientes ordinários poderia aumentar um índice nominal enquanto destrói o design de contingência. Inversamente, um operador pode inflar os registros de atribuição sem criar demanda significativa. Uma gestão eficiente de recursos segue a função de serviço e a menor unidade operável, não uma ocupação cosmética.

A recuperação de desastres é um direito de mudar de caminho

A resiliência operacional frequentemente depende de recursos deliberadamente inativos em condições normais. Um gerador de backup não é desperdiçado porque não produz eletricidade em um dia comum. Um segundo data center não é inútil porque o tráfego prefere normalmente o primeiro. Os critérios relevantes são estado de prontidão, necessidade e proporcionalidade.

As reservas IPv4 podem desempenhar o mesmo papel. Um operador pode precisar de um bloco estável capaz de migrar para um provedor de mitigação, um transportador alternativo, uma região de recuperação ou uma plataforma de substituição sem alterar os endereços visíveis ao cliente. O prefixo preserva a identidade enquanto a rota muda. Isso pode evitar alterações DNS de emergência, caches de resolvedores desatualizados, falhas de whitelists de parceiros e dependências de certificados ou aplicações ligadas a endereços.

A documentação da Cloudflare sobre Magic Transit sob demanda fornece um mecanismo concreto. Ela descreve a ativação do anúncio de prefixo durante um ataque e sua desativação após o incidente. Sua documentação sobre anúncio dinâmico explica separadamente que os clientes podem anunciar ou retirar prefixos via API ou painel. Um prefixo retirado não prova que o cliente o esqueceu; nesse design de serviço, a retirada pode ser o estado normal desejado.

A AWS documenta uma capacidade de migração relacionada para Bring Your Own IP. Um operador pode configurar os recursos AWS para usar endereços antes que a faixa seja anunciada, depois parar de anunciar a partir do local existente e começar a anunciar via AWS. O modo BYOIP regional recomendado pelo Google Cloud também separa o provisionamento do anúncio e especifica que o cliente decide quando anunciar ou retirar. Essas são descrições de serviço de primeira mão. Elas provam que as grandes plataformas modelam deliberadamente um estado provisionado mas não anunciado.

Elas não provam que cada rota ausente é resultado de tal design. Elas não divulgam quantos clientes usam o recurso, com que frequência a comutação é bem-sucedida, quanto espaço permanece reservado, nem se um titular específico concluiu os testes. Um titular invocando recuperação de desastres deve, portanto, mostrar mais do que um link para uma página de produto.

Um dossiê de evidências defensável identificaria o serviço protegido, o prefixo, as origens primária e alternativa, as cartas de autoridade, o plano RPKI, o estado do túnel ou interconexão, a autoridade de gatilho, o tempo de propagação esperado, o último teste e o método de rollback. Indicaria se o prefixo é retirado em todos os lugares ou anunciado a partir de um site primário em operação normal. Registraria as dependências que impedem o uso de um bloco menor.

O plano também precisa de um modelo de falha. Se a propagação de rota pode levar minutos e o objetivo de serviço exige segundos, o prefixo pode não oferecer a proteção reivindicada. Se uma autorização de origem de rota RPKI cobre apenas o ASN normal, o anúncio de emergência pode ser inválido. Se o provedor de mitigação só aceita rotas IPv4 /24 ou mais curtas, uma reserva composta de fragmentos mais longos pode não ser anunciável globalmente. O valor de opção é medido após essas restrições, não antes.

A reserva de crescimento compra tempo, mas as previsões expiram

O crescimento produz uma opção diferente. Uma rede que adiciona assinantes, regiões, serviços ou alvos de aquisição pode precisar de espaço de endereçamento contíguo antes que cada endpoint exista. O planejamento de capacidade precede necessariamente a demanda. Se a política reconhecesse apenas os endereços ativos hoje, os operadores nunca poderiam construir à frente para os clientes de amanhã.

As regras dos RIRs reconheceram historicamente o uso planejado. O atual NRPM da ARIN inclui circunstâncias onde as organizações demonstram necessidades imediatas e projetadas, e utiliza o uso das posses existentes como critério para certas solicitações adicionais. A política de recursos da APNIC indica que as solicitações devem ser apoiadas por estimativas baseadas na necessidade futura imediata e projetada, enquanto suas diretrizes públicas de elegibilidade exigem que um solicitante primário de IPv4 mostre um plano detalhado de uso do bloco solicitado dentro de um ano.

A política de transferência da RIPE também preserva um critério prospectivo para transferências provenientes de regiões que exigem política baseada em necessidades: o beneficiário fornece um plano de uso de pelo menos metade dentro de cinco anos.

Essas regras diferem em seu escopo e não devem ser fundidas em um único limite global. Uma solicitação inicial junto a um pool livre ou reservado não é a mesma coisa que uma transferência de uma posse existente. Um recurso histórico pode ter um tratamento contratual diferente de uma alocação recente. Uma regra usada para determinar elegibilidade para espaço adicional não se torna automaticamente um poder permanente de confiscar tudo abaixo do limite.

A lógica compartilhada é mais estreita: a demanda futura pode ser legítima quando suficientemente detalhada para ser testada. Uma reserva de crescimento deve estar ligada a uma previsão de serviço, compromissos de clientes, cronograma de site, plano de aquisição ou arquitetura de transição. O titular deve explicar por que a capacidade livre existente, IPv6, NAT de grande escala, aluguel ou uma transferência posterior não atenderiam à mesma necessidade com risco razoável.

As previsões se degradam. Um plano aprovado em 2022 para um lançamento em 2023 não pode permanecer evidência suficiente em 2026 se o lançamento nunca ocorreu. O operador deve atualizar a probabilidade, a data prevista e o tamanho do bloco. Se o projeto for cancelado, a reserva retorna à fila de decisões de portfólio. Se a demanda chegar mais lentamente, parte do bloco pode ser liberável sem sacrificar a agregação.

É aqui que a linguagem das opções pode disciplinar, não desculpar, a retenção. Opções financeiras expiram ou perdem valor à medida que as suposições mudam. Uma reserva operacional também deve ter pontos de revisão e gatilhos de abandono. A opção é valiosa porque a direção pode escolher; uma direção responsável deve efetivamente reconsiderar a escolha.

A migração exige sobreposição, não pureza instantânea

A renumeração é frequentemente discutida como se fosse uma edição de banco de dados. Em uma rede viva, é uma sequência de dependências. Servidores precisam de novas interfaces. Firewalls e listas de controle de acesso precisam de valores antigos e novos. Parceiros podem ter whitelists manuais. Registros DNS precisam mudar e os caches precisam expirar. Monitoramento, geolocalização, contatos de abuso, DNS reverso, objetos RPKI e filtros de rota podem precisar de atualizações. Equipamentos de clientes podem escapar do controle imediato do operador.

Durante esse intervalo, espaço aparentemente inativo pode estar em um lado ou outro da comutação. O prefixo de destino pode ser configurado em preparação, autorizado no RPKI e aceito pelos provedores upstream antes que o tráfego mude. O prefixo fonte pode permanecer anunciado ou pronto para rollback após o fluxo principal ter saído. Nenhum dos dois estados é uma ocupação produtiva permanente. Ambos podem reduzir o risco de migração.

O guia BYOIP da AWS torna o sequenciamento concreto: configurar recursos antes do anúncio, depois coordenar a retirada de um site e o anúncio de outro para minimizar interrupções. A instrução não é uma lei geral de migração, mas expõe a falha do uso instantâneo. A preparação tem valor antes que o tráfego apareça.

A RFC 1918 fornece um lembrete histórico mais profundo. Ela recomendava o espaço de endereçamento privado em parte para conservar o espaço globalmente único, mas também advertia que passar de endereçamento privado para público pode impor uma renumeração cara. O endereçamento privado é, portanto, uma alternativa com compromissos, não a prova de que cada empresa pode abandonar seu espaço público sem consequências.

Uma reserva de migração deve ser enquadrada por marcos: design concluído, destino validado, operação dupla iniciada, porcentagem de comutação de clientes, janela de rollback, retirada da rota antiga e disposição final. Atrasos devem ser justificados. A auditoria deve perguntar se a sobreposição ainda é necessária e se o prefixo inteiro, em vez de uma parte menor, é necessário.

A "migração" permanente não é uma categoria defensável. Se o mesmo projeto aparece ano após ano sem trabalho de engenharia, orçamento ou redução de dependências, seu valor de opção deve ser reduzido a zero. O titular pode sempre escolher manter o ativo por razões de investimento quando contratos e políticas permitirem, mas não deve rotular erroneamente essa escolha como uso operacional iminente.

O bloco não é perfeitamente divisível

Uma auditoria que conta endereços individualmente pode recomendar uma otimização tecnicamente destrutiva. As práticas de roteamento, filtragem e registro funcionam com prefixos. A menor unidade anunciável globalmente pode ser muito maior que um único endereço, e políticas ou contrapartes podem impor tamanhos mínimos de transferência ou anúncio. A reputação e a agregação também se ligam a blocos, não apenas a endpoints isolados.

Suponha que um operador precise de 128 endereços para um serviço de recuperação. A aritmética sugere metade de um /24. As práticas de roteamento globais podem tornar um /25 não confiável porque muitas redes filtram rotas mais longas que /24. O operador pode precisar do /24 inteiro para preservar um caminho de failover crível. A metade não utilizada não é automaticamente desperdício; pode ser o custo indivisível para obter a metade utilizável.

O mesmo efeito aparece para crescimento. Um /20 pode ser dividido em /24s, mas vender fragmentos alternados pode deixar um portfólio mais difícil de agregar, gerenciar ou transferir. Geocalização e histórico de reputação de clientes podem diferir entre fragmentos. Objetos RPKI e de rota devem acompanhar. Um exame de uso deve testar uma subdivisão razoável, mas deve incluir custos de transação e operação.

Isso não justifica manter um bloco coberto arbitrariamente grande. Se uma reserva /16 existe para suportar um serviço /24 e o resto pode ser separado limpidamente, o ônus da prova desloca-se para o titular. A boa unidade é o menor conjunto de prefixos que preserva a função documentada com risco aceitável.

O valor de opção pode, portanto, ser descontínuo. Um endereço extra pode exigir manter uma unidade de roteamento inteira. Uma auditoria limpa registra explicitamente essa indivisibilidade em vez de escondê-la atrás de uma porcentagem.

As políticas dos registros respondem a perguntas diferentes em momentos diferentes

O debate fica confuso quando três momentos são tratados como um só: receber endereços, solicitar mais endereços e manter endereços já registrados.

Na recepção, um RIR pode perguntar se o solicitante satisfaz a política vigente. As condições de transferência da APNIC exigem que os beneficiários de espaço IPv4 não utilizado ou excedente forneçam um plano de uso detalhado. A ARIN avalia transferências com beneficiário especificado segundo seu NRPM. Essas são condições de entrada.

Em uma solicitação adicional, um operador pode ter que demonstrar o uso das posses anteriores. O NRPM da ARIN estipula nos casos relevantes que as organizações podem ser elegíveis a blocos IPv4 adicionais ao demonstrar 80% de uso do espaço alocado atual. A APNIC especifica que o uso do espaço IPv4 histórico é considerado quando um titular solicita mais. Essas regras impedem um solicitante de ignorar o inventário disponível enquanto busca adições raras.

A manutenção é distinta. A versão 14.0 do acordo de serviços de registro da ARIN estipula que a ARIN não tem o direito, sob este acordo, de revogar os recursos de numeração incluídos por falta de uso pelo titular. Essa cláusula não protege contra fraude, inadimplência, condutas ilícitas, nem qualquer recurso fora do escopo do acordo. Demonstra por que não se pode transformar um limite de alocação em regra universal de confisco permanente.

A política de transferência da RIPE apresenta outro modelo. Ela autoriza um titular legítimo a transferir blocos completos ou parciais, impõe restrições particulares, exige que a transferência seja refletida no banco de dados e publica as informações de transferência aprovadas. A política não pretende deduzir desperdício do silêncio BGP.

Esses exemplos sustentam uma regra de interpretação institucional: identificar a política exata, o acordo, o status do recurso, a transação e a data antes de avançar uma reivindicação de manutenção. "Os RIRs exigem uso" é uma afirmação muito vaga. O teste de nova solicitação de uma região não é o poder de revogação de outra. Um bloco histórico sem contrato atual não é necessariamente regido como uma alocação recente de uma lista de espera.

A manutenção continua legítima. Os registros de registro devem ser exatos, os solicitantes não devem obter novo espaço raro através de projeções falsas, e as condições de restituição definidas pelas políticas devem ser respeitadas. Mas a manutenção é mais forte quando apoiada por regras claras ex ante e fatos verificáveis, não quando um instantâneo de roteamento se torna um poder não escrito.

Um exame de uso rigoroso tem sete camadas

A primeira camada é a identidade. Confirmar o prefixo exato, o titular registrado, o status do recurso, o acordo aplicável, o histórico de transferência e as organizações relacionadas. Determinar se a entidade que opera o bloco é o titular, uma subsidiária, um cliente, um locatário ou um provedor de serviços. Um ativo aparentemente inativo pode suportar outra entidade através de um arranjo legítimo; pode também estar em uma empresa dissolvida cujos registros estão desatualizados.

A segunda é o roteamento. Examinar vários coletores BGP ao longo de um período definido, não apenas uma tabela atual. Observar anúncios abrangentes e mais específicos, ASNs de origem, retiradas, vazamentos de rota e diferenças de visibilidade. Indicar coletores e datas. A evidência BGP deve ser reproduzível e descrita como observação.

A terceira é o gerenciamento de endereços. Examinar atribuições IPAM, pools DHCP ou de assinantes, gateways NAT, serviços virtuais, DNS reverso, rotas internas e registros de clientes conforme o caso. Detalhes sensíveis podem ser agregados ou inspecionados sob confidencialidade. O objetivo é distinguir a ausência de rota pública da ausência de uso técnico.

A quarta é o propósito. Classificar cada segmento reservado como recuperação de desastres, crescimento comprometido, migração, obrigação contratual, quarentena técnica, inventário de venda ou posse não fundamentada. A categoria não deve ser escolhida apenas pelo auditor. O titular fornece uma solicitação e evidências; o examinador as testa.

A quinta é o estado de prontidão. Para um bloco de contingência, testar se as rotas, ROAs, cartas de autoridade, túneis e procedimentos funcionam. Para crescimento, examinar marcos, orçamentos e dependências. Para migração, verificar a operação dupla e as tarefas de comutação. Uma opção teoricamente válida que não pode ser exercida não é proteção operacional.

A sexta é a proporcionalidade. Comparar o tamanho reservado com a unidade mínima de roteamento e serviço operável. Examinar espaço alternativo, IPv6, tradução, aluguel e uma aquisição posterior, mas incluir prazos de comutação, fragmentação, reputação e custos de renumeração. A auditoria não deve supor que o substituto visível mais barato é operacionalmente equivalente.

A sétima é a disposição. Cada reserva recebe uma próxima data de revisão e uma regra de resultado: manter, reduzir, ativar, alugar, transferir, restituir se aplicável, ou investigar. Um exame sem caminho de decisão se torna uma encenação documental.

Essa estrutura permite que um examinador seja exigente sem pretender operar a rede. Cria também consistência. Dois titulares fazendo a mesma solicitação de recuperação de desastres devem ser questionados com evidências comparáveis, mesmo que sua arquitetura difira.

As evidências devem ser sólidas sem expor a rede

Os operadores resistem justificadamente a publicar arquitetura detalhada de recuperação de desastres. Prefixos, provedores de failover, contatos de ativação, pontos de extremidade de túnel e cronogramas de clientes podem ser sensíveis em termos de segurança. Uma boa auditoria não obriga a lançar todos os fatos justificativos no WHOIS público ou em uma lista de transferência.

O modelo de evidência pode separar uma conclusão pública da justificativa protegida. Um registro público poderia indicar que um prefixo especificado é mantido como reserva de contingência por prazo determinado, foi examinado em uma data indicada e tem uma próxima data de revisão. Um anexo confidencial pode conter esquemas, testes, contratos e informações de contato. Um examinador independente pode atestar que as evidências satisfizeram um padrão publicado sem expô-las.

Impulsos criptográficos podem preservar a integridade de documentos datados, mas um impulso não prova a veracidade do documento. RPKI pode mostrar que um titular autorizou uma origem, mas um ROA não mostra uma previsão de clientes nem uma decisão do conselho. Registros de registro podem mostrar o titular reconhecido, mas não revelam cada aluguel ou atribuição interna. Cada tipo de evidência responde a uma pergunta limitada.

O titular também deve ter o direito de corrigir um erro. As medições BGP podem perder rotas. Os registros corporativos podem estar atrasados após uma fusão. Um examinador pode compreender mal uma implantação privada. Antes de uma decisão desfavorável, o operador deve receber os fatos observados, a regra aplicada e um prazo razoável para responder. Se uma decisão de amplo impacto persistir, deve existir um recurso independente ou outra via de reparação.

A proteção processual não é um pretexto para adiamento infinito. Prazos podem ser fixados. Pedidos de evidências podem ser padronizados. Medidas de emergência podem tratar fraude ou problema de segurança em tempo real. O ponto importante é que a escassez não elimina a diferença entre investigação e conclusão.

RPKI revela a prontidão, não o consumo

RPKI é relevante porque um prefixo inativo pode precisar se tornar roteável rapidamente. Uma autorização de origem de rota pode permitir que um ASN origine um comprimento de prefixo especificado. Um operador que afirma estar pronto para uma emergência mas não tem um caminho de autorização operável pode ter superestimado o valor de sua reserva.

No entanto, o estado do ROA não é uso. Um ROA válido pode existir para um prefixo não anunciado. Um prefixo pode ser anunciado sem ROA e aparecer como NotFound em vez de Invalid. Um ROA amplo pode autorizar prefixos mais específicos que nunca aparecem. Revogar um ROA pode ser prudente após a retirada de uma rota, mas um plano futuro pode exigir um novo.

A auditoria deve, portanto, perguntar se a configuração RPKI corresponde à opção reivindicada. Para um serviço normal ativo-ativo, as origens autorizadas devem refletir as rotas pretendidas. Para mitigação sob demanda, o plano de origem normal e de emergência deve evitar invalidades acidentais. Para migração, autorizações sobrepostas podem ser temporariamente necessárias e devem ser removidas após a comutação.

Os provedores de nuvem e mitigação frequentemente exigem validação de registro, ROAs ou cartas de autoridade durante a integração. A conclusão dessas etapas prova que a ativação é viável. Continua sendo evidência do provedor, não demonstração de que o tamanho do bloco inteiro é necessário ou de que o plano foi testado.

RPKI também impõe uma obrigação de saída. Quando um prefixo é transferido, as antigas autorizações e objetos de rota não devem persistir indefinidamente. Um titular que mantém espaço inativo deve manter seu estado de segurança em vez de considerar a inatividade como isenção de higiene. O valor de opção depende de uma capacidade limpa de exercício; autorizações desatualizadas reduzem esse valor e podem criar riscos para outros.

A opção pode ser avaliada sem inventar um preço de mercado

Nenhuma fórmula única produzirá um valor monetário defensável para cada reserva. Os dados de entrada são privados e incertos. Uma decisão prática pode, no entanto, ser estruturada.

Comece pelos cenários de exercício. Estime o intervalo de probabilidade de um ataque, lançamento regional, aquisição ou migração forçada no horizonte de revisão. Não disfarce a especulação em uma porcentagem precisa. Um cenário baixo, médio e alto pode ser mais honesto que uma decimal.

Em seguida, estime a consequência se o operador não tiver o bloco: interrupção de serviço, atraso de transferência de emergência, atrito de clientes, mão-de-obra de renumeração, novos equipamentos, penalidades contratuais e expansão perdida. Separe os custos que o prefixo evita efetivamente dos custos gerais de incidente que ele não pode mudar.

Depois, estime o custo de manter: taxas de registro, controles internos, manutenção de segurança, produto de venda abandonado, custo de financiamento e risco de queda de mercado. Inclua a oportunidade de alugar ou transferir apenas onde realisticamente disponível segundo política e contrato.

Finalmente, teste substitutos. IPv6 poderia eliminar a necessidade? Um aluguel sob demanda poderia fornecer rapidamente espaço limpo equivalente? Um prefixo menor poderia funcionar? Uma comutação baseada em DNS poderia substituir a portabilidade de endereço? O provedor poderia reservar capacidade contratualmente sem deter os endereços? Cada substituto altera o valor incremental da opção.

O resultado é uma faixa de decisão, não uma referência universal. Uma rede de pagamento regulada com whitelists de parceiros codificadas pode racionalmente manter mais capacidade de continuidade do que uma campanha web efêmera atrás de um CDN gerenciado. A comparação deve ser sobre as alternativas viáveis do titular, não entre atividades não relacionadas.

Os preços de transferência públicos podem informar sobre o custo de oportunidade, mas são incompletos. As cotações de corretores podem refletir preços pedidos em vez de executados. Os logs de registro não divulgam a contraprestação total, as vendas com aluguel, os descontos de reputação ou as taxas de transação. Nenhuma taxa de retorno global para uma reserva operacional inativa está disponível. Um exame que aplicasse um rendimento inventado por endereço a cada bloco criaria uma falsa precisão.

Três decisões postas em prática

Considere um ISP regional detendo um /18. Ele anuncia um /19 para seus assinantes atuais e mantém o outro /19 para um segundo mercado. O plano de crescimento tem licenças, contratos de fibra e um orçamento de equipamento, mas o lançamento escorregou duas vezes. A auditoria não deve imediatamente classificar a reserva como desperdício. Deve comparar a nova data de lançamento, as despesas incorridas, as previsões de assinantes e a unidade mínima de roteamento. Se o plano permanece financiado e de curto prazo, a manutenção pode ser proporcional.

Se a entrada no mercado foi abandonada, uma opção de tamanho /19 sem gatilho deve evoluir para uma transferência, aluguel ou reserva menor.

Considere um operador de nuvem com um /24 integrado com um provedor de DDoS sob demanda. O prefixo é normalmente anunciado pelo operador, não ausente globalmente, mas a rota do provedor de mitigação é retirada. Um coletor que vê a rota do operador classificaria o espaço como ativo; um coletor centrado na rede de mitigação poderia classificar esse caminho como inativo. A auditoria deve avaliar o anúncio alternativo, o ROA e o histórico de teste, não contar duas vezes os mesmos endereços.

Considere agora uma empresa que detém um /16 herdado e diz que é reservado para aquisições. Ela não realizou nenhuma aquisição em dez anos, não consegue nomear uma classe de alvos, usa RFC 1918 internamente e não tem nenhum modelo de integração que exija endereços públicos. A opção é ampla mas fraca. A escassez e fusões e aquisições hipotéticas não estabelecem a necessidade operacional de 65.536 endereços. A empresa pode ter a liberdade contratual de manter o bloco, mas um relatório de uso honesto deve classificar a maior parte como inventário estratégico não fundamentado em vez de recuperação de desastres.

Esses casos mostram por que o resultado não precisa ser o confisco. A auditoria pode melhorar as decisões mesmo onde nenhuma autoridade pode impor a liberação. Conselhos de administração, credores, membros e potenciais compradores se beneficiam ao saber se o valor é operacional, especulativo ou misto. Uma classificação transparente pode levar a transferências voluntárias sem transformar um auditor em soberano.

Salvaguardas contra a retenção especulativa

O argumento a favor do valor de opção falhará se cada titular puder invocar um futuro inverificável. Cinco salvaguardas mantêm o conceito limitado.

Primeiro, especificidade. O titular identifica o bloco, o propósito, o gatilho e o decisor responsável. "Necessidade futura" sozinho é insuficiente.

Segundo, exequibilidade. As etapas técnicas, contratuais e de segurança necessárias para o exercício são conhecidas e substancialmente preparadas. Um plano que exige uma rota impossível ou um serviço indisponível não tem valor operacional presente.

Terceiro, proporcionalidade. O tamanho da reserva reflete a menor unidade operável acrescida de margem justificada. A agregação é relevante mas não absoluta.

Quarto, tempo. Cada solicitação é acompanhada de marcos e datas de revisão. O atraso desloca o ônus da prova.

Quinto, alternativas. O titular explica por que uma transferência sob demanda, aluguel, IPv6, NAT, pool de provedor ou bloco menor o exporia a risco inaceitável. A explicação pode ser qualitativa quando preços ou probabilidades não estão disponíveis, mas deve ser concreta.

Essas salvaguardas também protegem os titulares legítimos. Se o padrão for publicado, um operador pode saber de antemão quais evidências serão convincentes. Não precisa adivinhar se um funcionário considera a capacidade de contingência moralmente aceitável. Um exame objetivo e leve é melhor que a ausência de controle e que um poder discricionário sem limites.

h3>O que a Number Resource Society pode trazer

A Number Resource Society se apresenta publicamente como uma organização de membros centrada nos direitos dos titulares, na proteção das atividades e na participação na política de numeração da Internet. Seus documentos mais recentes sobre continuidade de negócios sustentam que o reconhecimento estável dos recursos de numeração importa para clientes e receitas. Esse foco é útil aqui: uma reserva IPv4 deve ser avaliada como parte de um sistema operacional, não como uma linha de banco de dados morta.

A NRS poderia tornar essa contribuição prática publicando um perfil opcional de reserva operacional. O perfil poderia conter a faixa de prefixo, a classe de reserva, a data de evidência, a próxima revisão, a unidade mínima operável, o estado de prontidão RPKI, o depositário das evidências confidenciais e o gatilho de disposição. Poderia definir os termos de modo que "não anunciado" nunca se torne silenciosamente "abandonado".

Ela também poderia publicar casos exemplares anonimizados: mitigação de ataque testada, construção regional atrasada, renumeração concluída, retenção indefinida não fundamentada. Tais exemplos ajudariam operadores e registros a comparar raciocínios sem divulgar redes nem pretender uma taxa de prevalência.

O limite é essencial. O FAQ, o estatuto e o site da NRS são defesa em primeira pessoa. Não estabelecem uma neutralidade independente, uma autoridade legal, uma população de reserva auditada ou um regime de certificação implantado. A NRS não deve declarar um prefixo legalmente possuído, coagir a uma atualização de RIR, aprovar uma transferência, avaliar um ativo ou certificar que um plano de recuperação funcionará. Seu papel mais forte é melhorar as evidências, o vocabulário e as expectativas processuais.

Um programa positivo da NRS associaria, portanto, direitos e manutenção. Os titulares que buscam reconhecimento duradouro devem manter dados de contato atualizados, proteger RPKI e acesso ao registro, documentar autorizações, revisar reservas e liberar solicitações que expiraram. A proteção dos titulares é mais crível quando inclui deveres de gestão que podem ser observados.

h3>Uma melhor pergunta de política

O debate sobre IPv4 inativos frequentemente parte de uma pergunta errada: "Por que alguém deveria ser autorizado a manter endereços não utilizados?" Essa formulação pressupõe o fato decisivo.

Uma sequência melhor seria: O que foi observado? Que tipo de uso ou reserva é reivindicado? Qual regra rege este titular e este bloco? Que evidências sustentam a reivindicação? O tamanho do bloco é proporcional? Quando a reivindicação será reexaminada? Que medida corretiva segue se as evidências são insuficientes?

Essa sequência considera tanto a escassez quanto a continuidade. Rejeita um direito permanente a novos endereços raros baseado em previsões vagas. Rejeita também o confisco automático com base em um único instantâneo de roteamento público. Pode apoiar a liberação voluntária pelo mercado, um exame mais rigoroso das solicitações e um registro exato sem pedir a um RIR que julgue cada estratégia empresarial.

O design da política deve manter distintas a entrada, a expansão e a manutenção. Novas alocações e transferências baseadas em necessidades podem exigir um plano de uso. Solicitações de espaço adicional podem examinar o inventário anterior. As posses existentes podem ser regidas por seus contratos reais e motivos de revogação definidos. Uma auditoria voluntária pode classificar as posses não fundamentadas mesmo quando a recuperação obrigatória não está disponível.

Mais importante, o design deve recompensar a verdade. Se um operador pode admitir que um bloco é inventário estratégico em vez de fingir que carrega tráfego vivo, o registro se torna mais útil. Se uma migração legítima pode ser documentada sem medo de que o silêncio temporário prove abandono, a engenharia se torna mais segura. A governança melhora quando as categorias correspondem à realidade.

h3>Observe o exercício, não apenas a espera

Nos próximos anos, a evidência mais útil virá dos resultados. Os prefixos sob demanda foram ativados quando os ataques ocorreram? As regiões planejadas foram lançadas? As migrações liberaram os blocos antigos como previsto? As reservas reduzidas foram suficientes? O espaço voluntariamente liberado alcançou novos operadores? Os registros de registro e objetos RPKI foram atualizados limpidamente após a transferência?

Essas perguntas podem produzir um denominador ao longo do tempo, mas apenas se as categorias forem registradas de forma consistente. Hoje, os dados públicos não revelam quantos prefixos não roteados são apoiados por planos testados, quantos planos expiram, nem quantos blocos retornam ao uso. Nenhuma taxa deve ser inventada para preencher essa lacuna.

Um prefixo inativo não é, portanto, nem inocente nem culpado. É um estado não resolvido. Às vezes, é uma chave reserva cara que preserva um negócio diante de uma falha. Às vezes, é capacidade a caminho de clientes. Às vezes, é uma ponte entre redes antigas e novas. Às vezes, é simplesmente um ativo que seu titular prefere não vender.

A tarefa de um exame de uso não é reduzir essas escolhas a um único rótulo moral. É identificar qual reivindicação é fundamentada, qual opção permanece exequível e qual narrativa ultrapassou suas evidências. É um padrão mais rigoroso que o silêncio BGP, e mais justo.

Fontes