Resumo

  • Um roteador AS7007 recebeu cerca de 23 mil rotas sem filtro de entrada e gerou dezenas de milhares de prefixos mais específicos com origem aparente no próprio AS7007.
  • Vizinhos aceitaram e repetiram o erro; a correspondência de prefixo mais longo então desviou tráfego mesmo com agregados legítimos ainda presentes.
  • A resposta duradoura separou registro e execução: a base oferece evidência, enquanto cada operador instala filtros e responde pelas rotas que propaga.

A manhã em que um AS pareceu originar a Internet

Por volta de 11h30 EST da sexta-feira, 25 de abril de 1997, o roteador de fronteira da MAI Network Services no AS7007 recebeu de um cliente uma visão quase completa, cerca de 23 mil rotas. Na explicação posterior, a MAI reconheceu que não havia uma lista de distribuição limitando a sessão aos prefixos esperados daquele cliente.

Segundo a empresa, o equipamento desagregou a tabela e removeu os caminhos AS existentes. Outro roteador da MAI viu mais de 73 mil entradas. Para redes distantes, muitos blocos estreitos agora pareciam nascer no AS7007.

Não existe uma contagem única. Avi Freedman relatou aproximadamente 60 mil rotas em roteadores centrais; outra observação mencionou 72 mil; a MAI contou mais de 73 mil. São fotografias de pontos e instantes diferentes.

A causa interna também ficou aberta. A MAI afirmou que nenhum IGP rodava no equipamento e suspeitou de defeito do software. Outros discutiram redistribuição, configuração e domínio do produto. A transformação e o filtro ausente são fatos mais firmes do que qualquer teoria sobre o gatilho.

Por que o erro mais específico venceu

As rotas legítimas não sumiram por completo. O AS7007 anunciou alternativas mais específicas. No encaminhamento IPv4, a correspondência de prefixo mais longo vem antes das demais preferências. Um /24 falso pode, portanto, atrair o tráfego do seu intervalo mesmo quando o /16 correto continua disponível.

Essa regra viabiliza multihoming e engenharia de tráfego. Naquele dia, ampliou o dano. A remoção do caminho anterior ainda fez os anúncios parecerem originados no AS7007. Mas AS_PATH não é escritura de propriedade; é um registro de propagação aceito pelos roteadores.

O poder operacional estava em cada vizinho capaz de aceitar ou rejeitar. O acidente cresceu porque várias fronteiras repetiram uma afirmação maior do que a relação autorizava.

Desligar a origem não apagou as cópias

A MAI diz ter encerrado a sessão por volta de 11h45, reiniciado o roteador ao meio-dia, aplicado filtros e desconectado os equipamentos perto de 12h15. Mesmo assim, caminhos AS7007 voltavam por outros provedores. Uma atualização já replicada tem estado distribuído.

Operadores limparam sessões BGP, instalaram filtros emergenciais e anunciaram rotas próprias mais específicas para recuperar clientes. O amortecimento de flaps guardava memória: mudanças repetidas podiam manter rotas suprimidas depois da estabilização.

Em 15 de maio, Curtis Villamizar registrou que alguns provedores filtraram em 15 a 20 minutos, outros nunca o fizeram e o upstream levou mais de duas horas e meia para bloquear a fonte. Não faltava um botão mundial; faltava consistência entre limites locais.

Da desculpa ao filtro executável

A MAI assumiu uma responsabilidade concreta: não restringira os anúncios recebidos do cliente. Depois implantou listas completas. A mudança podia ser auditada.

A prática posterior tornou a regra direta: uma sessão de cliente deve aceitar apenas prefixos do cliente. Limites máximos impedem uma tabela inteira; filtros de caminhos e faixas especiais acrescentam barreiras; a monitoração compara o recebido ao contrato e à topologia, não apenas confirma que a sessão está ativa.

O provedor não governa o cliente. Controla o próprio roteador e responde pelo custo imposto a terceiros quando retransmite uma alegação implausível. Sua autoridade é real e limitada ao seu ponto de execução.

Um livro de rotas útil e incompleto

A resposta de 1997 também valorizou o Internet Routing Registry distribuído. Objetos de rota e de AS podiam registrar origens e políticas para gerar filtros.

A ANS anunciou filtros baseados nas bases ANS, CANET, MCI, RIPE e RADB. Sua auditoria achou 2.829 prefixos anunciados sem registro nem cobertura por agregado. Avisos chegaram a 312 AS de origem para 2.108 prefixos; faltavam contatos para 151 AS e 721 prefixos.

Depois das correções ainda restavam 2.096 prefixos não registrados de 333 AS. Filtrar mecanicamente uma base incompleta poderia remover conectividade legítima; não filtrar deixava o erro passar.

O RFC 2622 formalizou RPSL. O RFC 2725 reforçou autorização e autenticação, mas reconheceu dados antigos após agregação, desaparecimento de redes e troca de provedor. Proteger uma alteração no registro não completa a base nem instala a política no roteador.

De relações presumidas a papéis declarados

Durante anos, a prevenção dependeu da configuração correta de cliente, provedor e par. Em 2022, o RFC 9234 introduziu BGP Roles e o atributo Only-to-Customer, permitindo que vizinhos declarem a relação e que certos vazamentos sejam rejeitados ou detectados.

O mecanismo não existia em 1997, não é universal e não valida toda origem. Seu sentido histórico é tornar testável uma expectativa antes escondida no contrato e na configuração.

O AS7007 não prova que a descentralização falhou. Prova que liberdade local sem responsabilidade pelo escopo vira risco compartilhado.

Fontes e limites

A cronologia vem da explicação da MAI, do relato de Avi Freedman e do aviso de filtragem da ANS. O mecanismo se apoia nos RFC 1812, RFC 2439, RFC 2622, RFC 2725, RFC 7454 e RFC 9234.

Não existe denominador global de impacto. Causa, volume e duração variam por observador. As fontes sustentam vazamento acidental amplo, filtro ausente e recuperação distribuída, não um total mundial exato nem adoção universal das proteções posteriores.