Como configurar BGP: passo a passo para provedores
Como configurar BGP: primeiro se reúnem ASN, blocos, ROA e os dados do vizinho; depois se escrevem os filtros de entrada e de saída, cria-se a sessão ainda desligada e só então ela é liberada e conferida. A sintaxe muda de uma marca para outra, mas essa ordem vale para MikroTik, Huawei, Cisco, Juniper e qualquer roteador de borda.
Resumo
- O BGP só deve subir depois que os filtros de entrada e de saída já existem no roteador.
- A sessão nasce desligada e é liberada no fim, quando tudo foi conferido com calma.
- O prefixo anunciado precisa estar na tabela de rotas, quase sempre como rota para o descarte.
- A configuração só termina depois do teste de falha de um link e da documentação da borda.
O que preparar antes de configurar BGP
Antes de digitar qualquer comando, o provedor precisa ter em mãos o próprio ASN, os blocos, os dados do vizinho e a autorização de origem no RPKI. A maior parte das sessões que sobem erradas falha por falta de um desses itens.
Configurar o BGP é a parte curta do trabalho. O que leva tempo é juntar as informações certas e decidir a política: quais prefixos sair anunciando, o que aceitar de cada vizinho e qual link preferir. Por isso a configuração de BGP para provedores começa por um levantamento, e não pelo terminal.
Este guia vale para qualquer marca e foca na ordem do trabalho. Para a sintaxe completa do RouterOS 7, veja o guia de como configurar BGP no MikroTik.
Confira se você já tem tudo antes de abrir o terminal
- ASN próprio ativo e blocos IPv4 e IPv6 designados para o provedor.
- ROA criado para cada bloco, com o ASN certo e o tamanho máximo de prefixo combinado.
- Objeto de rota e as-set atualizados no IRR, quando a operadora filtra por ele.
- IP de cada lado do enlace, ASN do vizinho e senha MD5, recebidos por escrito.
- Definição de tabela completa, rota padrão ou rotas parciais para cada operadora.
- Cópia atual da configuração guardada fora do roteador.
- Janela de manutenção combinada com a equipe e com a operadora.
Qualquer item em branco é motivo para adiar a janela, porque sessão configurada com dado provisório costuma ficar assim por anos.
Por que o ROA e o IRR entram antes do roteador
Porque operadoras e redes que validam origem descartam o anúncio sem ROA ou com ROA errado. O roteador mostra a sessão estabelecida e o prefixo enviado, mas parte da internet simplesmente não aprende a rota.
O guia de criação de ROAs mostra como cadastrar a autorização no Registro.br, de preferência alguns dias antes da janela.
Como configurar BGP em sete etapas, em qualquer marca
A ordem segura tem sete etapas: cópia, rota do prefixo, filtros, sessão desligada, liberação, conferência e documentação. Inverter qualquer uma delas abre espaço para vazamento de rotas ou para uma borda sem volta.
Etapa 1
Guardar a configuração atual
Exportar a configuração em texto e guardar fora do roteador, com data e nome de quem vai mexer.
Etapa 2
Colocar o prefixo na tabela
Criar a rota do bloco para o descarte, para o agregado existir mesmo sem cliente em todo o trecho.
Etapa 3
Escrever os filtros
Lista de saída só com os blocos próprios e de clientes; lista de entrada sem faixas privadas e sem o próprio bloco.
Etapa 4
Criar a sessão desligada
Vizinho, ASN, senha, filtros e limite de prefixos configurados com a sessão em estado administrativo de desligada.
Etapa 5
Liberar a sessão
Ligar a sessão do seu lado e pedir à operadora que libere do lado dela, acompanhando os registros.
Etapa 6
Conferir de dentro e de fora
Estado da sessão, rotas recebidas, prefixos anunciados e consulta num looking glass externo.
Etapa 7
Documentar
Registrar o que foi feito, o motivo de cada filtro e o caminho de volta para a próxima pessoa.
Em cada etapa, anote o comando que desfaz o que foi feito. Esse roteiro vira o plano de volta da janela.
Por que a sessão nasce desligada?
Porque, em alguns sistemas, a sessão começa a trocar rotas assim que o vizinho é criado, antes de os filtros serem associados. Criar o vizinho em estado desligado garante que nada passa até a configuração estar inteira.
No Cisco e no Huawei isso se faz com o comando de shutdown do vizinho; no Junos, com o grupo desativado; no RouterOS 7, com a connection desabilitada. O resultado é o mesmo: você revisa tudo e só então liga.
O que acontece quando não há filtro nenhum
Depende da marca. A RFC 8212 recomenda que uma sessão eBGP sem política não receba nem anuncie rota nenhuma, mas nem todo sistema segue esse comportamento por padrão [CONFIRMAR na versão do equipamento].
A regra prática é tratar todo roteador como se ele anunciasse tudo e escrever o filtro de saída de forma explícita, terminando em negação.
Exemplo de configuração de referência
O exemplo abaixo usa a sintaxe do Cisco IOS-XE, que muitos sistemas imitam, e segue as sete etapas na ordem. Os endereços e ASNs são de documentação e precisam ser trocados pelos seus.
! Etapa 2: prefixo próprio presente na tabela de rotas
ip route 203.0.113.0 255.255.255.0 Null0
! Etapa 3: filtros escritos antes da sessão
ip prefix-list SAIDA-PROPRIOS seq 10 permit 203.0.113.0/24
ip prefix-list ENTRADA-TRANSITO seq 10 deny 203.0.113.0/24 le 32
ip prefix-list ENTRADA-TRANSITO seq 20 deny 10.0.0.0/8 le 32
ip prefix-list ENTRADA-TRANSITO seq 30 deny 172.16.0.0/12 le 32
ip prefix-list ENTRADA-TRANSITO seq 40 deny 192.168.0.0/16 le 32
ip prefix-list ENTRADA-TRANSITO seq 99 permit 0.0.0.0/0 le 24
!
route-map TRANSITO-A-IN permit 10
match ip address prefix-list ENTRADA-TRANSITO
set local-preference 100
route-map TRANSITO-A-OUT permit 10
match ip address prefix-list SAIDA-PROPRIOS
! Etapa 4: processo e vizinho, com a sessão desligada
router bgp 64500
bgp router-id 192.0.2.1
bgp log-neighbor-changes
neighbor 198.51.100.1 remote-as 64496
neighbor 198.51.100.1 description TRANSITO-A
neighbor 198.51.100.1 password TROQUE-ESTA-SENHA
neighbor 198.51.100.1 shutdown
address-family ipv4 unicast
network 203.0.113.0 mask 255.255.255.0
neighbor 198.51.100.1 activate
neighbor 198.51.100.1 route-map TRANSITO-A-IN in
neighbor 198.51.100.1 route-map TRANSITO-A-OUT out
neighbor 198.51.100.1 maximum-prefix 1200000 90 restart 15
! Etapa 5: liberação, só depois de revisar tudo acima
router bgp 64500
no neighbor 198.51.100.1 shutdown- Rota para Null0: mantém o /24 na tabela, condição para o comando network anunciar o bloco.
- Prefix-list de saída: só deixa sair o bloco próprio; tudo que não casa com o route-map é negado no fim.
- Prefix-list de entrada: descarta o próprio bloco, as faixas privadas e prefixos menores que /24.
- Maximum-prefix: derruba a sessão se a operadora mandar mais rotas que o esperado, em vez de lotar a memória.
- Shutdown: segura a sessão até o fim da revisão; o último bloco de comandos é o único que liga o vizinho.
Prefere ter a borda configurada e documentada por quem faz isso toda semana?
Na configuração de BGP, um Especialista escreve sessões e filtros na marca do seu roteador, aplica em janela com plano de volta e entrega a borda comentada.
Como configurar BGP em MikroTik, Huawei e Junos
Os nomes mudam, mas as peças são as mesmas em todas as marcas. A tabela ajuda quem vai traduzir o exemplo acima para outro sistema.
| Peça | Cisco IOS-XE | Huawei VRP | Juniper Junos | MikroTik RouterOS 7 |
|---|---|---|---|---|
| Lista de prefixos | ip prefix-list | ip ip-prefix | policy-options prefix-list | /routing/filter/rule com dst |
| Política | route-map | route-policy | policy-statement | Cadeia de /routing/filter/rule |
| Vizinho | neighbor dentro de router bgp | peer dentro de bgp | neighbor dentro de group | /routing/bgp/connection |
| Anúncio do bloco | network | network | export com a rota estática | output.network com address-list |
| Gravar a mudança | copy running-config startup-config | commit e save | commit | Grava na hora |
No Junos e no Huawei com VRP 8, nada vale antes do commit; no MikroTik, cada comando entra em produção no Enter.
Como saber se a configuração de BGP ficou certa?
A configuração está certa quando a sessão está estabelecida, as rotas recebidas batem com o combinado e o seu prefixo aparece na internet com o seu ASN na origem. Confira as três coisas, nessa ordem, antes de fechar a janela.
- Estado: a sessão precisa aparecer como estabelecida, com o tempo no ar crescendo e sem reinícios.
- Rotas recebidas: o número precisa ser compatível com o tipo de tabela combinado com a operadora.
- Prefixos anunciados: a lista enviada ao vizinho só pode ter os blocos próprios e os de clientes.
- Visão externa: um looking glass de outra rede precisa mostrar o prefixo com o seu ASN no fim do caminho.
- Validação de origem: a rota precisa aparecer como válida no RPKI, e não como inválida ou desconhecida.
| O que aparece | Causa mais provável | Primeiro lugar para olhar |
|---|---|---|
| Sessão alternando entre conectando e ativa | IP, ASN ou senha diferentes dos dois lados | Dados recebidos da operadora e registros da sessão |
| Sessão estabelecida e zero rota recebida | Filtro de entrada barrando tudo ou operadora sem liberar | Ordem das linhas da política de entrada |
| Prefixo não sai | Bloco ausente da tabela ou fora da lista de saída | Rota para o descarte e prefix-list de saída |
| Prefixo sai, mas parte da internet não alcança | ROA ausente ou objeto de rota desatualizado | Validador RPKI e registro no IRR |
Quando a sessão nem chega a estabelecer, o problema está antes da política. O guia de sessão BGP que não sobe percorre essas causas por ordem de frequência.
Teste de falha antes de encerrar a janela
Com dois links, desligue a sessão de um deles e veja se o tráfego passa para o outro e volta depois. É o único jeito de saber, com o técnico ainda acordado, que a redundância funciona de verdade.
O guia de como fazer BGP com dois links mostra como definir principal e reserva e quanto tempo a troca pode levar.
Erros comuns ao configurar BGP
Os erros que mais derrubam provedores são filtro ausente, falta de limite de prefixos e mudança sem cópia. Quase todos deixam a sessão estabelecida, por isso passam despercebidos até a primeira queda.
Evite
- Ligar a sessão antes de associar as políticas de entrada e de saída.
- Anunciar o bloco sem ROA e descobrir dias depois que parte da internet não chega.
- Aceitar prefixos menores que /24 em IPv4, o que enche a tabela sem ganho.
- Configurar sem limite de prefixos e deixar a memória lotar quando a operadora erra.
- Copiar um exemplo de outra marca sem conferir o comportamento padrão do seu sistema.
- Fechar a janela sem testar a queda de um dos links.
A lista de faixas que nunca deveriam entrar é maior que a do exemplo. O guia de configuração de prefix-lists mostra como montar e manter esses filtros a partir do IRR.
Exemplo: anúncio que chega a metade da internet
Um provedor recebe um bloco novo e anuncia pelos dois trânsitos. A sessão está estabelecida e o looking glass de uma das operadoras mostra o prefixo, mas assinantes reclamam que alguns sites e jogos não abrem.
- Sintoma: destinos atrás de algumas redes não respondem, enquanto o resto da internet funciona.
- Causa: o bloco novo não tinha ROA, e redes que descartam rotas inválidas ou desconhecidas não aprendiam o caminho.
- Correção: o ROA foi criado com o ASN certo e, depois da propagação, o prefixo passou a aparecer como válido.
O roteador estava certo e, ainda assim, o anúncio falhava. O guia de validação de origem de rotas explica como conferir o estado do seu prefixo no RPKI.
Quando vale configurar sozinho e quando chamar um Especialista?
Uma sessão simples com um trânsito e rota padrão cabe na equipe da casa, se houver cópia e janela. Borda com dois links, IX.br, clientes com ASN próprio ou troca de equipamento pede quem já fez isso muitas vezes.
| Situação | Risco principal | Indicação |
|---|---|---|
| Um trânsito com rota padrão | Anunciar o bloco errado | Equipe da casa, com revisão dos filtros |
| Dois trânsitos com tabela completa | Vazamento entre operadoras e memória | Especialista no desenho e na liberação |
| Entrada no IX.br | Aceitar rota indevida dos route servers | Especialista na política de entrada |
| Clientes com ASN próprio | Repassar prefixo de cliente sem autorização | Especialista, com filtros por cliente |
| Troca de roteador ou de marca | Perder regras na tradução | Especialista, com teste lado a lado |
A Táquion Tech configura BGP em MikroTik, Huawei, Juniper, Cisco, Nokia e Datacom, sempre com cópia antes, sessão desligada até a revisão e teste de queda de link antes de encerrar. Para saber do que depende o valor desse trabalho, o guia de quanto custa a configuração de BGP lista os fatores.
Como configurar BGP exige mais decisão de política do que digitação de comando. Quem já sabe o que anunciar e aceitar escreve a sessão rápido; quem não sabe passa semanas corrigindo o que subiu no improviso.
Perguntas frequentes
Preciso de ASN próprio para configurar BGP?
Para trocar rotas com operadoras e com o IX.br, sim, porque o ASN identifica o provedor na internet. Sem ele, a operadora até pode fazer BGP com ASN privado, mas o anúncio do bloco sai com o ASN dela.
Quanto tempo leva para configurar uma sessão BGP?
Os comandos de uma sessão simples levam poucos minutos, mas o trabalho completo inclui levantamento, filtros, liberação pela operadora e teste de falha [CONFIRMAR prazo médio]. O que mais atrasa é esperar dados da operadora ou a propagação do ROA.
Qual a diferença entre eBGP e iBGP na configuração?
O eBGP liga o provedor a outras redes, com ASN diferente, e é onde ficam os filtros de borda. O iBGP liga roteadores do mesmo provedor e tem regras próprias de repasse, explicadas no guia de configuração de iBGP.
A configuração de BGP muda muito entre as marcas?
Muda a sintaxe e o comportamento padrão, mas não as peças: lista de prefixos, política, vizinho e anúncio existem em todas. O cuidado maior é conferir o que cada sistema faz quando falta um filtro.
Dá para configurar BGP sem desligar a internet dos clientes?
Na maioria dos casos, sim, porque a sessão nova sobe ao lado da rota atual e só passa a valer quando é liberada. Por segurança, a liberação é feita em janela de manutenção, com o caminho de volta escrito.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 4271, A Border Gateway Protocol 4 (BGP-4): especificação do protocolo, estados da sessão e troca de rotas entre vizinhos.
- RFC 7454, BGP Operations and Security: boas práticas de filtros de prefixo, limite de prefixos e proteção da sessão.
- RFC 8212, Default External BGP Route Propagation Behavior without Policies: recomendação de que sessões eBGP sem política não recebam nem anunciem rotas.
