Resumo

  • O RFC 6666 destina 100::/64 ao descarte IPv6. O bloco pode circular dentro de um sistema autônomo e resolver para interfaces nulas, mas não deve ser anunciado ou aceito entre ASes de terceiros.
  • O endereço não é o prefixo da vítima, a comunidade BLACKHOLE nem a prova de que um pacote foi descartado. A cadeia inclui autorização, RIB, recursão, FIB, contadores, contenção e retirada.
  • Nick Hilliard e David Freedman são coautores do RFC informativo. A contribuição coletiva é dar um nome global a uma ação local e limitada, não criar um serviço público ou impor sua adoção.

A tela verde chegou antes do descarte

Um serviço IPv6 recebe um ataque volumétrico. Um operador autorizado injeta no iBGP um /128 para o endereço atacado, com próximo salto em 100::/64. Todos os roteadores de borda aceitam a rota e a automação encerra o chamado como blackhole ativo.

Em três entradas, a recursão chega a uma rota estática para a interface nula. Em outra, a rota estática não existe e o objeto BGP não vira encaminhamento. Em uma quinta, a política exporta o próprio bloco de descarte a um vizinho. Um estado de controle esconde três resultados de pacote.

O exemplo é sintético. Ele separa a clareza oferecida pelo RFC da comprovação que continua sob responsabilidade do operador.

Um endereço mundial para uma ação interna

O RTBH de destino altera o próximo salto da vítima para eliminar tráfego antes que ele consuma enlaces e sistemas internos. Em IPv4, operadores frequentemente usavam espaço privado que os bordos já direcionavam ao null. Funcionava, mas emprestava um espaço destinado a outra função. Endereços de documentação eram ainda menos adequados como dependência produtiva.

O RFC 6666 pediu um bloco IPv6 próprio. A IANA registra 100::/64, forma normal de 0100::/64, como Discard-Only Address Block e não o atribui a uma parte final. O registro atual marca Source, Destination e Forwardable como verdadeiros, e Globally Reachable como falso.

Forwardable permite que a maquinaria comum de rotas use o endereço dentro de um domínio controlado. A ausência de alcance global estabelece o limite externo. O bloco precisa funcionar como próximo salto unicast no interior, sem virar destino interdomínio.

Esse é um trabalho estreito de registro. A IANA coordena o significado, mas não instala a rota nula, autoriza o prefixo da vítima, escolhe o ingresso, descarta o pacote ou assume o custo da indisponibilidade. O livro de registros não opera a rede.

Três controles não são um único blackhole

RTBH de destino sacrifica a vítima para proteger o restante. RTBH de origem associa rotas a uRPF para rejeitar pacotes cujo endereço-fonte deveria resolver pela via de descarte. Autoridade, dano e métrica mudam; um recibo não serve para os dois.

Null e sinkhole também diferem. Null destrói. Sinkhole desvia para análise e pode devolver tráfego selecionado à rota normal. Usar a mesma palavra esconde se houve captura, retenção e caminho posterior para usuários legítimos.

100::/64 também não é a comunidade BLACKHOLE do RFC 7999. O bloco fornece a recursão interna. A comunidade é um aviso no prefixo da vítima. Cada vizinho decide se a honra conforme acordo e política, depois de verificar se o anunciante está autorizado. Sem configuração explícita, o equipamento não deveria descartar apenas porque viu o valor.

Receber a comunidade prova a chegada da intenção; não prova aceitação, FIB, descarte ou limitação de propagação. Um AS pode usar 100::/64 internamente sem pedir qualquer ação externa. Uma ferramenta cruza uma relação; a outra organiza o encaminhamento local.

Presente por dentro, ausente por fora

O RFC permite transportar todo ou parte do bloco por protocolo dinâmico no AS e apontá-lo a null em alguns ou todos os roteadores IPv6. “Alguns” preserva uma escolha: descartar apenas no ingresso ou manter uma solução interna mais uniforme. Topologia e objetivo decidem.

Na borda externa, o sinal muda. O bloco e suas sub-redes não devem ser enviados ou aceitos, e o tráfego destinado a eles não deve atravessar terceiros. Um vazamento pode atrair volume para a rede que já enfrenta ataque e agravar o evento.

O estado saudável é assimétrico: resolução suficiente no interior e ausência completa no exterior. Um único indicador de rota presente não representa as duas obrigações.

Os seis recibos

O recibo de autoridade guarda aprovador, prefixo exato, escopo, motivo, início e expiração. Ele impede que um cliente derrube espaço alheio ou que um alerta antigo produza rota permanente.

O recibo de controle registra trigger, comunidade, próximo salto, receptores e decisão de policy. Comprimento, origem, RPKI ou atributo inválido podem bloquear a ação. Aceitação continua sendo evento de RIB.

O recibo de FIB mostra em cada ingresso que a vítima resolve por 100::/64 até a interface de descarte. Visibilidade no controlador ou refletor não garante seleção, recursão nem programação em hardware.

O recibo de pacote combina contadores localizados e canários limpos. Zero pode significar ausência de tráfego, ingresso errado, telemetria quebrada ou ação não instalada.

O recibo de contenção usa Adj-RIB-Out, filtros e políticas. Silêncio em um coletor público não prova ausência universal; a visão de exportação do próprio AS é essencial.

O recibo de recuperação marca a retirada, limpeza da FIB, volta da rota comum e fim da autorização. Contador acumulado conta o passado, não o estado atual.

Descartar a vítima faz parte da escolha

O blackhole de destino mantém a infraestrutura mais ampla ao tornar a vítima inalcançável para atacantes e usuários legítimos. Esse é o custo explícito. O prefixo mais estreito reduz dano colateral, mas não transforma perda em disponibilidade.

Depois da ativação, é preciso verificar se o enlace compartilhado aliviou, se serviços vizinhos sobreviveram, se o ataque migrou e se alguma regra de origem ampliou a perda. “O tráfego caiu” não basta quando o mecanismo produz queda destruindo tráfego.

Precisão coletiva, não propriedade pessoal

O perfil de Nick Hilliard no IETF lista seis RFCs. O RFC 6666 foi escrito com David Freedman, revisado pela comunidade e publicado como Informational. Não é um padrão pessoal nem uma ordem universal.

A ideia duradoura é modesta: um controle de produção merece espaço próprio, em vez de tomar emprestado um endereço privado ou documental. O nome também precisa mostrar seu limite. 100::/64 é útil porque todos podem reconhecer a função e ninguém deveria confundi-la com um serviço global.

Fontes