Vai ligar a segunda operadora
Com dois links, o BGP decide por onde o tráfego entra e sai. Sem regra, um link lota e o outro fica parado.
BGP · Provedores
Configuração de BGP para provedores
Sessões estáveis com cada operadora e com o IX.br, filtros que anunciam só os seus blocos e o tráfego saindo pelo link que você escolheu.
- Toda mudança tem plano de volta
- Uma sessão alterada por vez
- Configuração comentada e diagrama
Configuração de BGP é o trabalho de montar, no roteador de borda, as sessões do seu ASN com operadoras, IX.br e caches, com as regras do que entra e do que sai por cada uma. É para o provedor que vai ligar o segundo link, acabou de receber ASN e blocos ou tem uma borda que ninguém mais entende. O resultado é uma borda que aguenta erro do vizinho, não vaza rotas e fica documentada para quem vier depois.
O que é configuração de BGP
É escrever no roteador com quem o seu ASN conversa e o que ele aceita e anuncia em cada conversa. O protocolo é o mesmo em toda a internet; o que muda de um provedor para outro são os vizinhos, os blocos e as regras.
O BGP (Border Gateway Protocol) é o protocolo que as redes usam para dizer umas às outras quais endereços alcançam. Cada rede que fala BGP tem um número próprio, o ASN, e cada vizinho é uma sessão separada.
Em cada sessão há duas regras: o filtro de entrada decide quais rotas o seu roteador de borda guarda, e o filtro de saída decide o que ele conta para o mundo. Os blocos e o ASN vêm do Registro.br, e a validação de origem usa o RPKI.
Uma borda de provedor costuma ter quatro tipos de sessão. Cada um pede cuidados diferentes:
Sessão com operadora de trânsito (eBGP)
É por ela que chega a internet inteira. A operadora pode mandar a tabela completa, só a rota padrão ou um meio-termo, e a escolha muda a memória que o roteador precisa ter.
Sessão com o IX.br
No ponto de troca, a sessão com os route servers traz as rotas de centenas de redes de uma vez. Sessões bilaterais ficam para os parceiros com mais tráfego. Veja a conexão ao IX.br.
Sessão com caches de conteúdo
Os caches de vídeo e de atualização instalados dentro do provedor também conversam por BGP. O filtro diz a eles quais clientes atender, e um erro aqui faz o cache servir quem não devia.
Sessões internas (iBGP)
Quando há dois ou mais roteadores na borda, eles precisam trocar o que aprenderam de fora. Sem isso, cada roteador só enxerga metade da internet e o tráfego faz voltas.
Quando você precisa de configuração de BGP
Seis situações pedem a configuração, ou a revisão, da borda BGP. Se uma delas é a sua, vale pedir a proposta antes da próxima mudança.
Acabou de receber ASN e blocos
O ASN só vale alguma coisa quando os blocos são anunciados com filtro, ROA e registro corretos.
Um link lotado, o outro vazio
Preferência de saída e prepend mal ajustados mandam tudo para um lado. O assinante sente no horário de pico.
Vai entrar no IX.br
A sessão com os route servers traz milhares de rotas novas. O filtro de entrada e o limite de prefixos precisam estar prontos.
Vai trocar o roteador ou o sistema
Migrar do RouterOS 6 para o 7, ou de marca, muda a forma de escrever os filtros. Copiar linha a linha não funciona.
Sessão caindo ou aviso da operadora
Sessão que sobe e cai, ou um e-mail dizendo que você anunciou rota de terceiros, mostra que os filtros falharam.
Como funciona a configuração de BGP
São cinco etapas, e a sua borda só muda na quarta. Até lá, tudo é leitura, desenho e aprovação por escrito.
Levantamento
Leitura da configuração atual, dos blocos, das sessões e do que cada operadora exige para aceitar seus anúncios.
Prazo: [PREENCHER]
Desenho das regras
Documento curto com o que anunciar, para quem, qual link é o principal e o que fazer quando ele cair.
Prazo: [PREENCHER]
Aprovação
Você aprova o desenho, a data da janela e o plano de volta. Nada é aplicado sem esse sim.
Prazo: depende da sua agenda
Janela de mudança
Em horário de pouco tráfego, uma sessão por vez, com backup antes e conferência depois de cada passo.
Duração da janela: [PREENCHER]
Conferência e entrega
Rotas checadas de fora da sua rede, diagrama, configuração comentada e um relatório do que mudou.
Prazo: [PREENCHER]
O que está incluído na configuração de BGP
A configuração cobre as sessões, os filtros e as proteções da borda. O que fica de fora tem página própria, e o escopo final vai escrito na proposta.
Incluído
- Sessões IPv4 e IPv6 com cada operadora, IX.br e caches
- Filtro de saída que anuncia só os seus blocos e os dos clientes com ASN
- Filtro de entrada contra rotas privadas, reservadas e longas demais
- Limite de prefixos por vizinho
- Senha na sessão quando a operadora aceita
- Communities de cada operadora mapeadas, como blackhole e prepend
- Preferência de saída e escolha do link principal
- iBGP entre os roteadores da borda
- Backup antes e depois, conferência em looking glass público
Não incluído
- Compra do roteador (a Táquion Tech não vende equipamento)
- Pedido de ASN e blocos, feito na solicitação de ASN
- Contrato e preço com as operadoras de trânsito
- Acompanhamento mensal, que é a gestão de BGP
- Proteção contra ataques, que é a mitigação de DDoS
Quanto custa a configuração de BGP
O preço depende principalmente de quantas sessões serão montadas e de onde a borda parte. O valor exato sai por escrito, depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de sessões | Cada vizinho é uma sessão com filtros próprios | Duas operadoras e IX.br somam três sessões, ou seis com IPv6 |
| Ponto de partida | Corrigir uma borda antiga exige ler e testar o que já existe | Borda montada por outra equipe, sem documentação |
| Marca e versão | Algumas plataformas pedem política escrita antes de a sessão trocar rotas | Migração de RouterOS 6 para RouterOS 7 |
| IPv6 junto | Dobra as sessões e os filtros, mas aproveita o mesmo desenho | Blocos /32 de IPv6 anunciados com os IPv4 |
| Regras de tráfego | Communities e prepend por operadora levam mais teste | Link principal por destino, reserva automática |
| Urgência | Janela fora do horário combinado custa mais | Sessão caída que precisa voltar hoje |
Faixa de preço para um provedor com duas operadoras: [PREENCHER faixa aprovada pela Táquion Tech]. Se a borda está fora do ar agora, o caminho é o suporte emergencial, não uma proposta.
O que conferir antes de contratar configuração de BGP
Antes de assinar, confira os erros que mais derrubam bordas, a escolha de tabela e as boas práticas que a configuração deve seguir. Esta seção serve para avaliar qualquer fornecedor, inclusive a Táquion Tech.
Erros comuns ao contratar
Seis falhas que aparecem em bordas configuradas às pressas. Pergunte ao fornecedor como ele evita cada uma.
Não ter filtro de saída
O roteador repassa para uma operadora as rotas que aprendeu da outra. O seu link vira caminho entre as duas, lota e a queda parece ataque.
Não ter limite de prefixos
Se o vizinho errar e mandar rotas demais, a memória do roteador acaba e a borda inteira para. O limite derruba só aquela sessão.
Pedir tabela completa sem memória
Receber a internet inteira de duas operadoras num roteador pequeno deixa a CPU no limite. Às vezes a rota padrão resolve.
Esquecer o ROA
Sem ROA, redes que validam RPKI podem tratar o seu anúncio com desconfiança. O ROA é criado no painel do Registro.br. Veja a criação de ROAs.
Sessão sem senha nem proteção
Sem senha ou checagem de TTL, a sessão fica exposta a quem consegue mandar pacotes para ela. Quase toda operadora aceita senha.
Mexer em tudo de uma vez
Aplicar a configuração nova em todas as sessões juntas impede saber o que quebrou. Uma sessão por vez é mais lento e muito mais seguro.
Rota completa, rota padrão ou parcial
É a decisão que mais pesa no roteador. A tabela completa da internet tem perto de 1 milhão de rotas IPv4 e mais de 200 mil IPv6 [CONFIRMAR números atuais no CIDR Report].
| Opção | Memória do roteador | Controle da saída |
|---|---|---|
| Tabela completa | Alta | Total, rota a rota |
| Rota padrão | Mínima | Nenhum entre operadoras |
| Rotas parciais | Média | Bom para os destinos que importam |
Tabela completa
Quando escolher
Duas operadoras ou mais e um roteador com folga de memória. Permite escolher a saída por destino.
Cuidado
Roteador no limite trava ao receber a tabela de novo depois de uma queda de sessão.
Rota padrão
Quando escolher
Uma operadora só, ou um roteador pequeno, com o IX.br cuidando do tráfego local.
Cuidado
Com dois links e só rota padrão, o roteador não sabe qual operadora chega mais perto do destino.
Rotas parciais
Quando escolher
A operadora manda as rotas dela e dos clientes dela, mais a rota padrão. Equilibra memória e controle.
Cuidado
Nem toda operadora oferece. Pergunte antes de desenhar a borda em cima disso.
Normas e boas práticas
Referências públicas que uma configuração séria segue. Peça ao fornecedor que diga quais aplica.
RFC 4271 e RFC 8212
A RFC 4271 define o BGP-4. A RFC 8212 pede que sessões externas sem política escrita não troquem rotas [CONFIRMAR na norma].
RFC 7454
Reúne as recomendações de segurança para operar BGP: filtros, limite de prefixos e proteção da sessão [CONFIRMAR na norma].
MANRS
Programa de boas práticas de roteamento com quatro ações: filtrar, evitar falsificação de origem, manter contato atualizado e validar rotas [CONFIRMAR na norma].
RPKI e BCP 38
O RPKI valida a origem dos anúncios. A BCP 38 (RFC 2827) trata de barrar pacotes com origem falsa saindo da sua rede [CONFIRMAR na norma].
Checklist antes de contratar
Com estes itens em mãos, a proposta sai mais rápida e mais precisa.
Documentos
ASN, blocos IPv4 e IPv6 e acesso ao painel do Registro.br, para conferir registro e ROA.
Dados das operadoras
IP da sessão, ASN do vizinho, limite de prefixos e a lista de communities de cada uma.
Acesso ao roteador
Usuário só de leitura para o levantamento, com o modelo e a versão do sistema.
O que você quer
Qual link é o principal, o que fazer quando ele cair e se há clientes com ASN próprio.
Por que escolher a Táquion Tech para configurar o BGP
Porque a sua borda muda com plano, aprovação e documentação, e fica com você no fim. Seis compromissos que valem para toda configuração.
Especialista em BGP do começo ao fim
Quem faz o levantamento é quem aplica a mudança. Sem repasse para um técnico que não viu o desenho.
[PREENCHER: anos de experiência com BGP da equipe]
Plano de volta escrito
Antes da janela, você sabe como desfazer cada passo e quanto tempo isso leva.
O plano de volta faz parte da proposta
Não vendemos roteador
A indicação de equipamento, quando existe, vem da conta de memória e de tráfego, não de comissão.
Nenhuma marca indicada por comissão
Documentação que fica
Diagrama, configuração comentada e senhas entregues a você. O próximo técnico entende sem ligar para ninguém.
Entregue no fim de toda configuração
Seis marcas de roteador
MikroTik, Huawei, Juniper, Cisco, Nokia e Datacom, com a mesma lógica de filtros em todas.
[PREENCHER: bordas configuradas por marca]
Remoto para todo o Brasil
A configuração é feita por acesso remoto seguro. Não há deslocamento para pagar.
[PREENCHER: estados atendidos]
Configuração de BGP por marca de roteador
A lógica dos filtros é a mesma em qualquer marca; o que muda é a sintaxe e o comportamento padrão. Cada marca tem a sua página com os detalhes.
MikroTik
No RouterOS 7 os filtros viraram regras em cadeias. Convertemos a configuração da versão 6 sem perder regra.
Huawei
NetEngine com route-policy e ip-prefix separados por vizinho e por sentido, fáceis de auditar.
Juniper
Policy-statements com nomes claros e commit confirmado, que desfaz a mudança sozinho se a sessão cair.
Cisco
No IOS XR a sessão externa não troca rotas sem política. Escrevemos a política antes de subir o vizinho.
Nokia
SR OS com policy-options e communities padronizadas por operadora, iguais em todos os roteadores.
Datacom
DmOS com filtros, limite de prefixos e sessões IPv6 lado a lado com as IPv4.
Onde a Táquion Tech configura BGP
A configuração de BGP é remota e atende provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando a borda precisa de troca física.
Remoto para todo o Brasil
Acesso seguro ao roteador, janela combinada e conferência de fora da rede. É assim que a maioria das bordas é configurada, de qualquer estado.
Presencial no litoral de Santa Catarina
Para instalar roteador novo, trocar cabos ou acompanhar a janela no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre configuração de BGP
As dúvidas que os donos de provedor mais trazem antes de pedir a proposta. Se a sua não estiver aqui, pergunte no WhatsApp.
Como configurar BGP no MikroTik?
No RouterOS 7, cada vizinho é uma conexão BGP, e os filtros são regras em cadeias de entrada e de saída. O erro mais comum é esquecer a cadeia de saída, que deixa o roteador anunciar rotas de outra operadora. A configuração de roteadores MikroTik detalha a migração da versão 6.
Preciso de ASN próprio para configurar BGP?
Para anunciar os seus blocos por mais de uma operadora, sim. Sem ASN, a operadora anuncia por você e a troca de link deixa de ser automática. A solicitação de ASN cuida do pedido e dos blocos.
A configuração pode derrubar a minha borda?
Toda mudança tem risco, por isso ela acontece em janela combinada, com backup e plano de volta aprovados. As sessões mudam uma por vez, e cada passo é conferido antes do seguinte.
Quanto tempo leva a configuração de BGP?
Depende do número de sessões e de a borda partir do zero ou de uma configuração antiga. O prazo típico é [PREENCHER], e o prazo do seu caso vai escrito na proposta.
Quanto custa configurar o BGP?
O valor muda com o número de sessões, a marca do roteador, o IPv6 e as regras de tráfego. A faixa para duas operadoras é [PREENCHER], e o valor exato sai depois do levantamento.
Vocês configuram o IPv6 junto?
Sim, e é o recomendado: as sessões IPv6 seguem o mesmo desenho das IPv4, com filtros próprios. Se o IPv6 ainda não chegou aos assinantes, veja a implantação de IPv6.
A configuração inclui a sessão com o IX.br?
Inclui a sessão BGP com os route servers e os filtros dela. A adesão ao ponto de troca e a parte física ficam na conexão ao IX.br.
Preciso de RPKI para configurar BGP?
O BGP funciona sem RPKI, mas criar o ROA dos seus blocos protege os seus anúncios e leva pouco tempo. Validar as rotas que chegam é outro passo, feito na implantação de RPKI.
Depois da configuração, vocês acompanham a borda?
A configuração é um serviço com começo e fim. Quem quer acompanhamento mensal, com alertas e ajustes, contrata a gestão de BGP.
Que acesso vocês precisam ao roteador?
Para o levantamento, um usuário só de leitura basta. Na janela, um usuário com permissão de escrita, criado para o trabalho e removido depois, se você preferir.
Serviços relacionados à configuração de BGP
Três serviços que costumam vir antes ou depois da configuração. Cada um resolve uma parte da borda.
-
Configuração de BGP multihoming
Duas ou mais operadoras dividindo o tráfego, com troca automática quando uma cai.
Ver a configuração de BGP multihoming -
Implantação de RPKI
ROA dos seus blocos e validação das rotas recebidas, contra sequestro de prefixo.
Ver a implantação de RPKI -
Gestão de BGP
Acompanhamento mensal das sessões, dos filtros e do tráfego, com ajuste quando algo muda.
Ver a gestão de BGP
Leia antes de contratar
Três guias técnicos para entender o que a configuração faz por dentro.
- Configuração de prefix-lists: guia prático para provedores
Como escrever os filtros de entrada e saída que protegem a borda.
- Configuração de iBGP: guia prático para provedores
O que muda quando a borda tem mais de um roteador.
- Implantação de route reflector: guia prático para provedores
Quando o número de roteadores cresce e o iBGP completo deixa de escalar.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de configuração de BGP
Diga como está a borda e quantas operadoras você tem. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
