Análise de rotas assimétricas: guia prático para provedores
Análise de rotas assimétricas: é descobrir quando o tráfego sai por um caminho e volta por outro, e se isso está causando problema. Assimetria é normal na internet, mas quebra firewalls, CGNAT e filtros de origem quando acontece dentro da rede do provedor.
Resumo
- Ida e volta por caminhos diferentes é o comportamento comum do BGP entre redes, e não um defeito por si só.
- O problema surge quando a assimetria cruza equipamentos com estado, como firewall e CGNAT, ou filtro de origem estrito.
- A análise exige medir os dois sentidos, porque o traceroute feito de dentro da rede mostra só a ida.
- A saída se controla com local-preference, e a volta com prepend, communities ou anúncios mais específicos.
Quando a assimetria de rotas vira problema?
A assimetria vira problema quando cruza equipamentos que precisam ver os dois sentidos da mesma conexão. Fora disso, ida e volta por caminhos diferentes é só o jeito normal de a internet funcionar.
Na internet, ida e volta raramente passam pelos mesmos lugares, e isso não incomoda o assinante. O que incomoda é a assimetria dentro da sua própria rede, entre duas bordas, dois links ou dois equipamentos que guardam estado.
Controlar por onde o tráfego entra e sai é o trabalho da engenharia de tráfego BGP. A análise vem antes e mostra o que está acontecendo de fato, para que nenhum ajuste seja feito no escuro.
| Equipamento | O que acontece |
|---|---|
| Firewall com estado | Descarta a resposta que não viu sair |
| CGNAT em duas bordas | A volta chega na borda que não tem a tradução |
| Filtro de origem estrito | Descarta pacotes legítimos |
| Medição de latência | Mostra valores que não batem com a experiência do cliente |
Por que a internet é assimétrica por natureza
Cada rede decide sozinha por onde manda o tráfego que sai dela, e quase sempre escolhe a saída mais perto ou mais conveniente para ela. A operadora que entrega o pacote ao seu ASN não é obrigada a ser a mesma que recebeu a resposta.
Um caso típico no provedor regional: o tráfego para um conteúdo sai pelo IX.br, porque o par está lá, mas a resposta volta pelo trânsito, porque o outro lado prefere o cliente pagante dele. Nada está quebrado, e só vale mexer se esse caminho de volta lotar um link ou atravessar um equipamento com estado.
Como funciona a análise de rotas assimétricas?
A análise junta medidas dos dois sentidos para comparar o caminho de ida com o de volta, destino por destino. Uma medida isolada engana, porque cada ferramenta enxerga só uma parte do trajeto.
Para ver a assimetria, é preciso olhar os dois sentidos. Um traceroute de dentro para fora mostra só a ida, e o caminho de volta depende de decisões tomadas em redes que você não controla.
- Traceroute de ida: do seu roteador para o destino.
- Traceroute de volta: de um looking glass ou sonda do outro lado até você.
- Contadores por interface: tráfego de saída num link e de entrada em outro.
- Fluxos IPFIX: mostram por qual link cada prefixo entra e sai.
- Sondas externas: medem a volta a partir de várias redes.
O que cada medida mostra e o que esconde
Nenhuma ferramenta sozinha fecha o diagnóstico, e a tabela ajuda a combinar as que se completam. Os fluxos são o dado mais rico, e a implantação de IPFIX explica como exportá-los da borda.
| Ferramenta | Sentido | Mostra | Não mostra |
|---|---|---|---|
| Traceroute local | Ida | Saltos até o destino | Por onde a resposta volta |
| Looking glass externo | Volta | Caminho que outra rede usa até você | O volume de tráfego |
| Contador por interface | Os dois | Volume por link | Qual destino gera o volume |
| Fluxos IPFIX ou sFlow | Os dois | Prefixo, link e volume | O caminho fora da sua rede |
Análise de rotas assimétricas passo a passo
Comece pelo sintoma, escolha destinos concretos e meça ida e volta de cada um antes de pensar em ajuste. A decisão de mexer vem no fim, quando o dado mostra que a assimetria causa o problema.
- Defina o sintoma: jogo travando, site que não abre, link lotado na entrada ou firewall descartando respostas.
- Escolha os destinos: os prefixos que concentram tráfego ou reclamação, e não a internet inteira.
- Meça a ida: traceroute a partir de cada roteador de borda até o destino escolhido.
- Meça a volta: looking glass ou sonda em redes próximas ao destino, com traceroute até o seu bloco.
- Cruze com os fluxos: confira por qual link o prefixo sai e por qual entra, no horário de pico.
- Decida: só ajuste se a volta passar por equipamento com estado, lotar um link ou piorar a latência.
Em cada roteador de borda, guarde as medidas com data e hora. A análise de rotas assimétricas exige um antes para comparar com o depois, ou nenhum ajuste poderá ser avaliado.
Exemplo: jogo que trava só para parte dos assinantes
Um provedor com duas bordas e um CGNAT em cada uma recebe reclamação de um jogo que desconecta. O traceroute de ida sai pela borda A, onde está a tradução daquele assinante.
O looking glass da operadora do jogo mostra que a volta entra pela borda B, que não conhece a tradução e descarta o pacote. A correção foi garantir que o bloco público de cada CGNAT volte pela mesma borda, e o guia de CGNAT travando jogos mostra os outros sintomas desse caso.
Ajustando o caminho de volta com prepend
A saída é controlada com local-preference, dentro da sua rede. A volta depende de como os outros enxergam os seus anúncios, e o prepend é a ferramenta mais comum para influenciar isso.
ip prefix-list MEUS-PREFIXOS seq 10 permit 198.51.100.0/22
!
route-map SAIDA-TRANSITO-B permit 10
match ip address prefix-list MEUS-PREFIXOS
set as-path prepend 64500 64500
!
router bgp 64500
address-family ipv4 unicast
neighbor 203.0.113.9 route-map SAIDA-TRANSITO-B outCom dois prepends, o trânsito B parece mais longe e a maior parte da volta passa a vir pelo trânsito A. Meça antes e depois, sempre no mesmo horário, porque o efeito varia com o destino.
Prepend não é garantia
Redes que dão preferência a clientes pagantes ignoram o tamanho do caminho. Para essas, as communities de engenharia de tráfego do próprio trânsito funcionam melhor.
Tráfego entrando por onde não devia?
No serviço de engenharia de tráfego BGP, um Especialista mede ida e volta por destino, aplica um ajuste por vez e prova o resultado em gráfico.
E o caminho de ida, como se ajusta?
A ida é a parte fácil, porque a decisão é sua. Um local-preference maior nas rotas recebidas de uma operadora faz o tráfego sair por ela, sem depender de ninguém de fora.
O cuidado é não criar assimetria nova ao corrigir a antiga. Se a ida muda de link e a volta continua no outro, o firewall ou o CGNAT que estava funcionando pode passar a descartar respostas.
Prepend, communities ou prefixo mais específico: como escolher?
Comece pelo prepend, que é simples e reversível, e passe às communities quando ele não fizer efeito. O anúncio mais específico é o último recurso, porque funciona sempre, mas aumenta a tabela global e exige ROA.
| Ferramenta | Precisão | Quando usar | Cuidado |
|---|---|---|---|
| Prepend | Grossa | Primeiro ajuste, em links de capacidade parecida | Ignorado por redes que preferem clientes pagantes |
| Communities do trânsito | Fina | Quando o prepend não muda nada ou só um vizinho precisa mudar | Cada operadora tem a própria lista de valores |
| Anúncio mais específico | Total | Quando o resto falhou e a divisão por link é necessária | Precisa de ROA para cada pedaço anunciado |
A configuração de communities BGP explica como pedir ao trânsito para mudar a preferência ou deixar de anunciar para certos vizinhos. Quando a assimetria vem de um link cheio, veja link de trânsito saturado.
Antes de anunciar um /24 a partir de um /22, confira os ROAs no RPKI. Sem ROA que cubra o pedaço, o anúncio novo vira inválido e é descartado por quem valida, e a criação de ROAs mostra como ajustar o tamanho máximo.
Na prática: dividir a volta entre dois trânsitos
Um provedor com dois trânsitos de mesma capacidade vê quase toda a entrada chegando pelo trânsito A no pico, enquanto o B fica ocioso. O primeiro passo é um prepend no trânsito A, medido por uma semana no mesmo horário.
Se a divisão melhora, mas não chega à meta, entra uma community do trânsito A para prepend só para os vizinhos que mais mandam tráfego. O anúncio mais específico fica guardado para o caso de nada disso funcionar, sempre com o ROA criado antes.
Erros comuns ao tratar rotas assimétricas
Os erros mais comuns tratam a assimetria como defeito a eliminar ou mexem nos anúncios sem medir. Os dois levam a ajustes que pioram a rede em vez de resolver o sintoma.
Evite
- Tentar eliminar toda assimetria da internet.
- Filtro de origem estrito em borda com vários trânsitos.
- CGNAT em duas bordas sem garantir a volta pela mesma.
- Prepend aplicado sem medir antes e depois.
- Analisar só o traceroute de ida.
- Mudar prepend, communities e local-preference na mesma janela.
Filtro de origem estrito numa borda com vários links
O filtro de origem em modo estrito descarta o pacote que chega por uma interface diferente da que seria usada para responder a ele. Numa borda com dois trânsitos, isso derruba tráfego legítimo toda vez que a volta não é simétrica.
A RFC 3704 trata exatamente desse caso e indica o modo flexível, que só confere se existe rota para a origem, em redes com vários links. O modo estrito continua útil nas interfaces voltadas aos assinantes.
Checklist de validação depois do ajuste
Depois de ajustar, confira o efeito real no horário de pico e nos destinos que motivaram a análise. O ajuste só fica se o número melhorar sem criar problema em outro lugar.
Marque o que já foi conferido depois do ajuste
- Tráfego de entrada distribuído como planejado.
- Firewalls e CGNAT sem descarte de respostas.
- Filtro de origem em modo flexível onde há assimetria.
- Medições de ida e volta registradas para comparar.
- Os destinos que motivaram a análise voltaram a funcionar no pico.
- Os anúncios mais específicos, se houver, aparecem como válidos.
Item sem marca indica ajuste incompleto ou efeito colateral. Volte à medição antes de fazer a próxima mudança.
A Táquion Tech mede ida e volta destino por destino, encontra a causa da assimetria e ajusta os anúncios um de cada vez, com o antes e o depois registrados em gráfico.
Quando refazer a análise
Refaça a análise sempre que entrar um link novo, um par novo no IX.br ou um cache de conteúdo, porque cada mudança dessas altera por onde o tráfego volta. Vale o mesmo quando uma operadora muda a própria política.
Fora dessas mudanças, uma revisão periódica dos fluxos por link evita que um desequilíbrio cresça aos poucos até lotar o link no pico, sem ninguém perceber a tempo.
Perguntas frequentes sobre análise de rotas assimétricas
Rota assimétrica é sempre um problema?
Não. Na internet ela é comum e quase sempre inofensiva. Vira problema quando passa por firewall, CGNAT ou filtro de origem estrito dentro da sua rede.
Como vejo o caminho de volta até a minha rede?
Com um looking glass ou uma sonda em outra rede, fazendo traceroute até um endereço do seu bloco. Vale usar mais de um ponto de origem, porque cada rede pode voltar por um caminho diferente.
O prepend resolve sempre?
Não. Algumas redes ignoram o tamanho do caminho e preferem os clientes pagantes delas. Nesses casos, as communities do trânsito costumam ser mais eficazes.
Por que o CGNAT sofre com assimetria?
Porque a tradução fica guardada numa borda só. Se a resposta volta pela outra, ela não sabe para qual assinante entregar o pacote e o descarta.
Rota assimétrica aumenta a latência do assinante?
Não necessariamente, porque o que pesa é o tamanho de cada caminho, e não a diferença entre eles. O que a assimetria faz é enganar a medição, já que o traceroute de ida não mostra a volta mais longa.
Serviços ligados a este guia
- Implantação de VPN site a site para empresas Redes corporativas
- Implantação de cache Google para provedores BGP e roteamento
- Projeto de rede híbrida de rádio e fibra para provedores Rádio e wireless
- Balanceamento de links de internet para empresas Redes corporativas
- Implantação de servidor de speedtest Ookla para provedores Sistemas para provedores
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- RFC 3704, Ingress Filtering for Multihomed Networks: filtro de origem estrito e flexível em redes com vários links.
- RFC 4271, A Border Gateway Protocol 4 (BGP-4): processo de decisão do BGP, que define a escolha dos caminhos.
