Como monitorar BGP: passo a passo para provedores
Como monitorar BGP: acompanhe na borda o estado de cada sessão e o número de prefixos por vizinho, receba o aviso de queda por syslog ou trap e confirme com coleta periódica. Complete com uma observação de fora do seu ASN, que mostra se os seus blocos continuam visíveis e se outra rede passou a anunciá-los.
Resumo
- Uma sessão BGP pode estar em Established e mesmo assim receber zero rotas, por isso o estado sozinho não basta.
- O aviso imediato vem do próprio roteador, por syslog ou trap, e a coleta periódica confirma que a queda é real.
- Uma sessão que cai em silêncio, sem queda de interface, só é percebida depois do hold time configurado.
- Sequestro de prefixo e bloco sumido da internet não aparecem em nenhum alarme local, só em coletores externos.
O que observar ao monitorar BGP na borda
Monitorar BGP é responder a quatro perguntas o tempo todo: a sessão está de pé, as rotas estão chegando, o mundo vê os meus blocos e os meus anúncios são válidos. As duas primeiras se respondem na borda; as outras duas, só de fora.
Muita gente monitora só a primeira pergunta e se surpreende quando a sessão está em Established, mas o vizinho parou de mandar rotas por causa de um filtro mudado do lado dele. O tráfego migra para o outro link, a fatura sobe e nenhum alarme toca.
A tabela abaixo organiza o que medir, onde cada informação aparece e quando ela vira alerta. É a mesma divisão que o monitoramento de BGP para provedor usa para separar coleta na borda e observação externa.
| O que medir | Onde se vê | Sinal de problema | Gravidade sugerida |
|---|---|---|---|
| Estado da sessão | Roteador de borda (SNMP, syslog, trap) | Saiu de Established ou caiu e voltou várias vezes | Grave em trânsito, aviso em cache |
| Prefixos recebidos por vizinho | Roteador de borda (SNMP ou BMP) | Queda brusca, zero rotas ou perto do maximum-prefix | Grave se zerou, aviso se oscilou |
| Visibilidade dos seus blocos | Coletores públicos, como RIPE RIS e RouteViews | Prefixo sumiu ou aparece com outro ASN de origem | Grave |
| Validade RPKI dos anúncios | Validador RPKI ou ferramenta externa | Anúncio inválido por ROA errado ou vencido | Aviso, grave se o bloco perdeu alcance |
Established sem rotas também é falha
Um contador de prefixos recebidos que cai para zero com a sessão de pé é tão grave quanto a sessão caída. Na prática, o vizinho deixou de ser uma saída para a internet, e só o estado da sessão não mostra isso.
Do lado oposto, um salto repentino de prefixos recebidos de um cache ou de um cliente BGP costuma ser vazamento de rotas. O alerta perto do maximum-prefix dá tempo de agir antes que a sessão seja derrubada.
Como monitorar BGP passo a passo
O passo a passo começa no levantamento das sessões e termina num teste de queda feito de propósito. Sem o teste, o alerta só é posto à prova na madrugada em que a operadora cair de verdade.
- Levantar as sessões: liste cada vizinho, IPv4 e IPv6, com tipo (trânsito, IX.br, cache, cliente), ASN, limite de prefixos e quantas rotas costuma mandar.
- Mandar os eventos para fora: configure o roteador para enviar syslog e trap de BGP a um servidor de coleta, fora da borda.
- Coletar estado e prefixos: cadastre cada sessão na ferramenta, com leitura periódica do estado e do contador de rotas recebidas.
- Definir gravidade por tipo: queda de trânsito é incidente; queda de um cache costuma ser aviso, porque o tráfego volta pelo trânsito.
- Observar de fora: cadastre os seus blocos e o seu ASN numa ferramenta que lê coletores públicos de rotas.
- Testar: desative de propósito uma sessão secundária numa janela combinada e confira se o alerta chega, a quem e em quanto tempo.
O passo 4 evita a fadiga de alertas. Um provedor com duas operadoras, IX.br e quatro caches tem facilmente mais de dez sessões contando IPv6, e tratar todas com a mesma urgência ensina a equipe a ignorar os avisos.
Por que medir de fora do seu ASN?
Porque alguns problemas só existem do lado de fora. Se outra rede anuncia o seu /24 com origem no ASN dela, a sua borda continua normal, mas parte da internet passa a mandar o tráfego para o lugar errado.
Coletores públicos recebem tabelas BGP de centenas de redes no mundo. Uma ferramenta que lê esses coletores avisa quando o seu prefixo muda de origem, some ou aparece mais específico do que você anuncia.
Alerta de queda de BGP: como montar sem ruído
O alerta de queda de BGP funciona bem quando combina o aviso imediato do roteador com uma confirmação pela coleta periódica. O aviso sozinho pode se perder, e a coleta sozinha chega minutos depois.
Quando o link físico cai, a sessão cai no mesmo instante e o roteador gera o evento na hora. Quando o outro lado trava sem derrubar a interface, a sessão só cai depois do hold time, que costuma vir de fábrica entre 90 e 180 segundos [CONFIRMAR na versão do equipamento]. O BFD encurta esse tempo, se a operadora aceitar.
# RouterOS 7 (MikroTik): mandar mensagens de BGP para um syslog remoto
/system logging action add name=noc target=remote remote=192.0.2.20 remote-port=514
/system logging add topics=bgp action=noc
# conferir as sessões e o motivo da última queda
/routing bgp session print detail
# Huawei VRP: syslog remoto e traps de BGP
info-center loghost 192.0.2.20
snmp-agent trap enable feature-name bgp
snmp-agent target-host trap address udp-domain 192.0.2.20 params securityname noc-leitura v3 privacy
# conferir vizinhos, estado e prefixos recebidos
display bgp peer
display bgp ipv6 peer
Na ferramenta, a regra boa tem duas partes. A primeira dispara com o evento de queda e abre o alerta; a segunda só fecha o alerta quando a coleta confirma a sessão em Established e o contador de prefixos de volta ao normal.
Quer o alerta de BGP testado na sua borda?
No monitoramento de BGP para provedores, um Especialista configura a coleta das sessões, a observação externa dos seus blocos e o roteiro de cada alerta.
Sessão que cai e volta sozinha
A sessão que oscila é mais traiçoeira do que a que cai de vez, porque o alerta abre e fecha antes de alguém olhar. Conte as quedas numa janela de uma hora e dispare um aviso próprio quando passarem de duas ou três.
Oscilação repetida quase sempre tem causa física ou de capacidade, como fibra com atenuação no limite, CPU da borda alta ou MTU errado. O guia sobre o que fazer quando o BGP caiu mostra o que conferir na hora.
Como vigiar os anúncios do seu ASN
Os anúncios do seu ASN são vigiados por ferramentas que leem coletores públicos de rotas e comparam o que aparece lá com a lista de blocos que você declarou. Algumas são serviços prontos; outras rodam num servidor seu.
Uma opção de código aberto é o BGPalerter, que se conecta aos dados do RIPE RIS e avisa por e-mail, Telegram ou syslog. O arquivo de prefixos declara cada bloco, o ASN de origem esperado e se anúncios mais específicos são aceitos.
203.0.113.0/24:
description: Bloco principal dos assinantes
asn:
- 64500
ignoreMorespecifics: false
ignore: false
group: noc
2001:db8::/32:
description: Bloco IPv6 do provedor
asn:
- 64500
ignoreMorespecifics: false
ignore: false
group: noc
Com ignoreMorespecifics em false, um /25 do seu bloco anunciado por qualquer rede gera alerta, o que pega a forma mais comum de sequestro. Se você mesmo anuncia mais específicos para engenharia de tráfego, declare-os também.
Exemplo: o seu /24 aparece com outra origem
Num caso típico, um cliente BGP de outro provedor esquece um filtro e reanuncia rotas que recebeu, incluindo o seu bloco. A sua borda não percebe nada, mas uma parte da internet passa a preferir o caminho errado.
Com a observação externa, o alerta chega com o prefixo, o ASN de origem e os coletores que viram a mudança. O ROA publicado ajuda as redes que validam RPKI a descartar o anúncio falso, como explica o guia sobre o que é RPKI.
Erros comuns ao monitorar BGP
Os erros mais comuns vêm de olhar só para dentro da borda ou de tratar todas as sessões igual. Os cinco abaixo aparecem em provedores com ASN próprio de todos os tamanhos.
Evite estes cinco erros
- Só o ping no vizinho: o endereço responde, mas a sessão pode estar em Idle ou sem rotas.
- Ignorar o IPv6: a sessão IPv6 cai sozinha muitas vezes e ninguém percebe até um assinante reclamar.
- Syslog dentro da borda: se o roteador trava, as mensagens que explicariam a queda somem junto.
- Um alerta por sessão sem contexto: sem dizer se é trânsito, IX.br ou cache, ninguém sabe se precisa acordar.
- Nunca testar: o alerta configurado há dois anos pode estar apontando para um celular que já não existe.
Para quem já tem uma ferramenta geral rodando, o guia sobre como fazer monitoramento de rede mostra como encaixar o BGP no mesmo inventário e nas mesmas dependências.
Monitorar o BGP com a equipe ou contratar?
Depende de ter alguém que entenda o alerta quando ele toca e de quantas sessões a borda tem. Montar a coleta é a parte menor; o que pesa é saber o que fazer com cada aviso.
Antes de decidir, confira na sua operação
- Alguém da equipe sabe ler o motivo de uma queda de sessão no log do roteador.
- Existe lista atualizada de vizinhos, ASNs e limites de prefixos.
- Os blocos do provedor têm ROA publicado e conferido.
- Há quem receba o alerta fora do horário comercial.
- A equipe já fez pelo menos um teste de queda controlado.
Com quatro ou cinco marcas, a equipe pode manter o monitoramento sozinha. Com menos, vale ter apoio externo pelo menos para montar e documentar os alertas.
A Táquion Tech configura o monitoramento de sessões e anúncios e entrega cada alerta com roteiro; quem trata os alertas é a sua equipe ou um NOC contratado. Se a sessão nem chega a subir, o problema é outro, e o guia sobre sessão BGP que não sobe ajuda a achar a causa.
Perguntas frequentes
Qual ferramenta usar para monitorar sessões BGP?
Para o estado e os prefixos na borda, o Zabbix por SNMP atende a maioria dos provedores. Para os anúncios vistos de fora, use uma ferramenta que leia coletores públicos, como o BGPalerter ou serviços equivalentes.
Como receber alerta de queda de BGP no celular?
Configure a ferramenta de monitoramento para mandar o alerta por um canal que acorde alguém, como Telegram, e-mail com notificação ou ligação automática. O importante é que o destinatário esteja definido e testado.
O BMP substitui o SNMP no monitoramento de BGP?
O BMP envia ao coletor cada rota recebida e anunciada, o que dá muito mais detalhe que o contador do SNMP. Ele exige roteador compatível e um coletor próprio, por isso muitos provedores começam pelo SNMP e acrescentam o BMP depois.
Quantos prefixos uma sessão de trânsito deve mandar?
Uma sessão de trânsito completo manda a tabela inteira da internet, que passa de um milhão de rotas IPv4 [CONFIRMAR valor atual]. O número exato muda todo mês, por isso o alerta deve comparar com o histórico da sessão.
Preciso monitorar BGP se tenho só uma operadora?
Precisa, porque a sessão única é o caminho inteiro para a internet e porque os seus blocos podem ser anunciados por outra rede mesmo assim. Com uma operadora só, a observação externa pesa ainda mais.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 4271: A Border Gateway Protocol 4 (BGP-4): estados da sessão, keepalive e hold time
- Routing Information Service (RIS) do RIPE NCC: coletores públicos de rotas usados para observar anúncios de fora do ASN
- BGPalerter (repositório oficial): formato do arquivo prefixes.yml e canais de aviso
