O que é blackhole BGP: o descarte explicado para provedores

Resumo

• O blackhole descarta o tráfego pelo destino, sem olhar se o pacote é de ataque ou de uso legítimo.
• Feito na operadora, ele protege o link de trânsito; feito só na sua borda, chega tarde, porque o link já encheu.
• O cliente atacado fica fora do ar enquanto o pedido durar, e com CGNAT um único IP pode levar vários assinantes junto.
• Também existe blackhole por acidente, quando a internet ainda vê a sua rota, mas o tráfego morre dentro da rede.

O que é blackhole BGP e de onde vem o nome

Blackhole BGP é uma rota que leva o tráfego até um ponto onde ele é jogado fora, como um buraco negro que engole tudo e não devolve nada. O nome vale tanto para o descarte feito de propósito quanto para o que acontece por erro.

Todo roteador tem uma saída que não vai a lugar nenhum, chamada de interface nula ou descarte. Uma rota que aponta para ela faz o roteador apagar os pacotes daquele destino sem avisar ninguém. Quando essa rota é espalhada pelo BGP, o descarte deixa de ser local e passa a acontecer em outros roteadores, inclusive fora da sua rede.

É esse alcance que torna o blackhole útil contra ataque. A configuração de blackhole BGP prepara a borda para pedir o descarte à operadora com uma marca no anúncio, e o tráfego de ataque morre na rede dela, antes de chegar ao seu link.

O blackhole BGP é uma ferramenta de contenção, não de limpeza. Ele não separa o pacote ruim do bom: tudo o que tem aquele destino some, e isso explica tanto a sua força quanto o seu custo.

Blackhole de propósito e blackhole por acidente

Na conversa de provedor, blackhole quase sempre quer dizer o descarte pedido durante um ataque. Mas o termo também descreve uma falha comum: a rota existe e é anunciada, só que o tráfego não chega a lugar nenhum.

• De propósito: a borda anuncia o IP atacado com uma community de descarte, e a operadora apaga o tráfego para ele.
• Âncora do bloco: a rota nula que segura o anúncio do seu bloco descarta o que vai para endereços sem uso, o que é normal.
• Por acidente: a rota interna de um trecho da rede some, mas o bloco segue anunciado, e o tráfego que entra morre na borda.

Blackhole e RTBH são a mesma coisa?

Quase. RTBH quer dizer descarte disparado remotamente, ou seja, o blackhole acionado por um anúncio em vez de uma configuração feita roteador por roteador.

Todo RTBH é um blackhole, mas nem todo blackhole é RTBH. A rota nula que você cria só no seu roteador também descarta, porém não alivia nada antes do gargalo. O passo a passo da montagem está no guia de configuração de RTBH, e aqui o foco é entender o mecanismo e as consequências.

Como o descarte acontece no caminho do ataque?

O descarte acontece em cinco momentos, do anúncio marcado até o tráfego sumir na rede da operadora. A diferença para um filtro comum é o lugar onde os pacotes morrem.

1. 1 · Ataque

   O tráfego converge para um IP

   Milhares de origens mandam pacotes ao mesmo endereço, e o link de trânsito bate no limite.

2. 2 · Anúncio

   A borda marca o IP atacado

   O roteador anuncia o /32 do alvo com a community de descarte que a operadora reconhece.

3. 3 · Operadora

   A rota marcada aponta para o descarte

   Os roteadores da operadora passam a mandar o tráfego desse IP para a interface nula.

4. 4 · Link

   O trânsito esvazia

   O que sobra no seu link é o tráfego dos outros assinantes, que voltam a navegar.

5. 5 · Alvo

   O IP atacado fica isolado

   Nada chega ao endereço marcado, nem o ataque, nem o tráfego legítimo do cliente.

Quando o pedido é retirado, a operadora volta a entregar o tráfego daquele IP. Se o ataque ainda estiver ativo, o link enche de novo.

O anúncio leva junto uma marca que impede a rota de se espalhar além da operadora vizinha. A RFC 7999 define uma community padrão de descarte, a 65535:666, e recomenda esse limite de propagação, mas cada operadora decide se aceita a marca padrão ou usa uma própria. [CONFIRMAR na norma]

Por que o descarte precisa acontecer antes do seu link

Um ataque volumétrico é um problema de cano, não de roteador. Se chegam ao seu link mais megabits do que ele comporta, o excesso é perdido na entrada, e o tráfego bom dos assinantes é perdido junto.

Por isso um bloqueio na sua borda, por mais preciso que seja, não resolve esse tipo de ataque: quando o pacote chega ao roteador, o estrago no link já aconteceu. O blackhole na operadora move o descarte para o lado de lá do gargalo, onde ainda há capacidade sobrando.

O mesmo vale para o ponto de troca. O descarte pedido ao route server do IX alivia só a porta do IX, e o que entra pelo trânsito continua chegando até que a operadora também descarte.

Por que o blackhole derruba o cliente atacado?

Porque o descarte é feito pelo destino, e o destino é o próprio cliente. Ele perde todo o tráfego, inclusive o que pediu, para que o restante da base continue no ar.

Do ponto de vista do atacante, o blackhole entrega o resultado que ele queria contra aquele alvo: o IP para de responder. Do ponto de vista do provedor, troca-se uma conexão parada por centenas ou milhares de conexões funcionando. É uma decisão de dano menor, não uma vitória sobre o ataque.

O que cada parte vê enquanto o blackhole BGP está ativo

Quem	O que acontece	O que percebe
Cliente atacado	Nenhum pacote chega ao IP dele	Internet totalmente fora, sem lentidão gradual
Outros assinantes	O link de trânsito volta a ter folga	A rede volta ao normal em pouco tempo
Operadora	Descarta o tráfego do IP marcado na rede dela	Menos carga nos enlaces que levam ao provedor
Atacante	O alvo deixa de responder	Considera o ataque bem-sucedido e pode mudar de alvo

A última linha da tabela tem uma consequência prática. Se o ataque mira uma pessoa, e não um endereço, ele tende a seguir o alvo quando o IP muda, e o blackhole precisa ser repetido no endereço novo. Ataques a jogadores costumam ter esse padrão, como mostra o guia de ataque DDoS no provedor.

Com CGNAT, um IP pode ser vários clientes

No provedor que usa CGNAT, um endereço público é dividido entre vários assinantes por faixas de portas. Se o ataque mira um IP do pool, o blackhole desse IP tira do ar todos os assinantes que saem por ele.

Nesses casos, o dano do descarte cresce na mesma proporção do compartilhamento. Vale saber de antemão quantos assinantes cada IP do pool atende e se dá para mover os afetados para outro endereço, como explica o guia de como funciona o CGNAT.

Quanto tempo o cliente fica fora do ar

O cliente fica fora enquanto o anúncio marcado existir, e quem decide isso é o provedor. Não há prazo automático: o blackhole esquecido ligado deixa o assinante sem internet por dias, sem que ninguém perceba.

Uma regra prática é combinar um tempo de revisão a cada disparo. Passado esse tempo, alguém retira o pedido, olha o gráfico e decide se o ataque acabou ou se o descarte volta. [CONFIRMAR tempo de revisão com a equipe]

Quando o blackhole vira problema na rede

O blackhole vira problema quando descarta o que não devia, por mais tempo do que devia ou em um ponto que não alivia nada. Os três casos aparecem em provedores que nunca testaram o processo.

Erros comuns que transformam a defesa em queda

Os erros abaixo têm uma origem em comum: o descarte foi usado sem regra escrita sobre o que pode entrar nele. Cada um tem uma trava simples que evita a repetição.

Exemplo: o bloco anunciado que ninguém alcança

O blackhole acidental não tem ataque nenhum por trás. Um provedor anuncia um /22 e segura esse anúncio com uma rota nula na borda, prática comum para o bloco não sumir da internet quando um enlace interno oscila.

1. Falha: o enlace até um POP cai, e a rota interna do /24 daquele POP some da tabela da borda.
2. Anúncio: o /22 continua anunciado para as operadoras, então a internet segue mandando tráfego para o POP.
3. Descarte: sem a rota específica, a borda usa a rota nula do bloco e apaga o tráfego em silêncio.
4. Sintoma: os assinantes do POP ficam sem nada, enquanto o monitoramento externo do bloco mostra tudo verde.

A correção passa por monitorar as rotas internas de cada POP, e não só o anúncio externo. Saber ler a tabela de rotas, como explica o guia de como funciona o BGP, ajuda a achar esse descarte silencioso mais rápido.

Quando vale usar o blackhole e quando procurar outra saída?

Vale usar o blackhole quando o ataque passa da capacidade do link e o alvo pode ficar parado por um tempo. Para endereços que não podem cair, a saída é filtrar por assinatura ou mandar o tráfego para limpeza.

Uso do blackhole BGP conforme o tipo de endereço atacado

Endereço atacado	Blackhole serve?	Por quê
IP de assinante residencial	Sim, com tempo de revisão	Um cliente parado é o dano menor diante da base inteira
IP do pool de CGNAT	Com cuidado	Derruba todos os assinantes que compartilham o endereço
IP fixo de cliente empresarial	Só se o contrato prever	O cliente pode ter acordo de disponibilidade
DNS, concentrador ou gerência	Não	O descarte faria a queda total que o ataque buscava
IP sem uso dentro do bloco	Sim	Não há ninguém para derrubar e o link fica livre

Quando o ataque tem padrão claro, como uma porta ou um protocolo de reflexão, o Flowspec filtra só aquele tráfego e mantém o cliente no ar. O guia de configuração de Flowspec mostra essa alternativa, que depende de operadora que aceite regras do cliente.

Para quem não pode ficar fora em hipótese nenhuma, a resposta é a limpeza de tráfego contratada com antecedência. O guia sobre como mitigar DDoS organiza essas ferramentas em ordem de uso, do filtro na borda ao desvio para limpeza.

Perguntas frequentes

Fontes

1. RFC 7999, BLACKHOLE Community: community padrão 65535:666 e recomendação de limitar a propagação do anúncio.
2. RFC 5635, Remote Triggered Black Hole Filtering with uRPF: descarte disparado remotamente, pelo destino e pela origem.