Auditoría de seguridad de un bloque IPv4: claves clave

Cerrar la compra de un bloque IPv4 sin auditarlo antes es, francamente, jugársela. He visto operaciones que se han quedado atascadas meses por un gravamen no detectado o por un prefijo que arrastraba años de spam en su historial. Un bloque con deudas, direcciones quemadas o papeleo defectuoso puede acabar bloqueado por los grandes proveedores de correo, con disputas legales encima de la mesa, o directamente inservible. Vamos a repasar qué conviene mirar antes de firmar nada.

Por qué la auditoría de bloque IPv4 sigue siendo imprescindible en 2025

El mercado sigue tensionado. Un /24 en el registro de RIPE NCC se mueve hoy en una horquilla aproximada de 25 a 40 USD por dirección, y en ARIN los precios suelen ser algo más bajos. Hablamos de importes de seis cifras cuando el bloque es un /16. Nadie en su sano juicio compra eso a ciegas. Y hay un factor extra: los RIR han endurecido sus políticas de transferencia y la verificación de titularidad real, así que cualquier error documental detiene el proceso durante semanas.

Un bloque “sucio” arrastra básicamente tres tipos de riesgo:

• Riesgo técnico: direcciones incluidas en blacklist (Spamhaus, Barracuda, SORBS) que impiden enviar correo o acceder a servicios como Google o Microsoft.
• Riesgo legal: gravámenes, embargos o disputas de titularidad sobre el recurso, incluidos litigios por insolvencia de antiguos titulares.
• Riesgo registral: documentación inconsistente ante el RIR, end-user sin verificar o contratos de mantenimiento caducados.

Verificación registral: whois, RIR y titularidad

Consultar el estado del recurso en el RIR correspondiente

Lo primero es cruzar la información del whois con la base de datos del RIR (RIPE NCC, ARIN, APNIC, LACNIC o AFRINIC). Comprueba que:

1. El status del recurso es “Allocated” o “Assigned PA” según corresponda, y que es transferible bajo la política del RIR (por ejemplo, la sección 5.6 del RIPE NCC para transferencias inter-RIR).
2. El titular registrado coincide con la entidad que vende. Si hay una LIR de por medio, verifica su contrato de mantenimiento vigente y su situación financiera con el registro.
3. No existen objetos raros, comentarios históricos o referencias a terceros que sugieran disputas previas.

Historial de titularidad

Los archivos históricos de whois permiten detectar rotaciones sospechosas. ¿Cuántas manos ha cambiado el bloque? Si lleva cinco titularidades en dos años, algo huele mal: puede indicar especulación con derechos de registro o disputas encubiertas. Escrutinio adicional, sin discusión.

Reputación técnica: blacklists y uso previo

Consulta masiva de DNSBL

Antes de cerrar nada, comprueba cada dirección del bloque contra las listas negras relevantes: Spamhaus SBL/ZEN, Barracuda, SORBS, SpamCop y CBL/Abuseat. Para un /24 es viable a mano o con un script sencillo; en bloques mayores, mejor automatizar. Fíjate sobre todo en dos cosas:

• Spamhaus SBL: una inclusión activa puede tardar semanas en levantarse y exige demostrar el control del recurso.
• Las listas de reputación de correo de Microsoft SNDS y Google Postmaster Tools, que reflejan la experiencia real de entrega.

Análisis del historial de enrutado

Los datos históricos de BGP (rutas anunciadas) te dicen quién ha anunciado el prefijo y desde qué AS de origen. Un bloque anunciado desde decenas de AS distintos, o que aparece en históricos de hijacking de rutas, es una alerta seria. Comprueba también si hay ROA (RPKI) activas de terceros que deban eliminarse antes de la transferencia, porque bloquearán el anuncio con tu propio AS de origen. Es un detalle pequeño que deja operaciones tontamente paradas.

Documentación y aspectos legales de la transferencia

Aquí es donde más operaciones se atascan. El papeleo. Asegúrate de contar con:

• Contrato de compraventa que identifique el recurso exacto (rango, RIR, número de registro) y la contraprestación.
• LOA (Letter of Authorization) cuando aplique, para transiciones temporales de uso antes del cierre definitivo.
• Declaración de ausencia de gravámenes y comprobación de que el vendedor no está en procedimiento concursal.
• Verificación del end-user si la transferencia va hacia un titular final directamente registrado en el RIR.

Un apunte sobre plazos: el RIR cobra tasas de transferencia (RIPE NCC factura según el tamaño del recurso) y la verificación puede tardar entre una y seis semanas según el registro. Planifica el calendario de pagos y de activación con ese margen en mente, no con optimismo.

Migración posterior: BYOIP y buenas prácticas

¿Cerraste la transferencia? Bien. El trabajo no termina ahí. Si vas a anunciar el bloque en la nube pública, los servicios BYOIP de AWS, Google Cloud o Azure exigen demostrar la titularidad mediante un certificado firmado con RSA y la creación de ROA en RPKI con un AS válido. Tenlo preparado de antemano; evita retrasos en el onboarding del prefijo.

Algunas prácticas que conviene seguir tras la adquisición:

1. Crear ROA con longitud máxima /24 y AS de origen propio, y monitorizar la validación RPKI.
2. Dar de alta el bloque en los canales de abuso correspondientes y configurar rDNS coherente si lo vas a usar para correo.
3. Monitorizar durante 30 días las DNSBL y los logs de reputación antes de asignar el bloque a servicios sensibles.

Cómo IP4 Market reduce el riesgo en la compra de IPv4

En IP4 Market (ip4.market) trabajamos precisamente para quitar fricción a todo esto: la plataforma ofrece vendedores verificados, verificación documental de los recursos listados y precios competitivos en bloques de todos los tamaños, desde /24 hasta /16. Dicho esto, y lo digo con claridad, recomendamos siempre completar una auditoría independiente antes del cierre. Cuesta poco. Y frente al coste de un prefijo contaminado, es dinero bien gastado.

Conclusión

Una auditoría de bloque IPv4 en serio combina tres frentes: verificación registral ante el RIR, análisis de reputación técnica (blacklists, historial BGP y RPKI) y revisión legal de la documentación de transferencia. Dedicar entre una y dos semanas al proceso, apoyarse en herramientas de consulta masiva y exigir transparencia total al vendedor son las claves para cerrar con garantías. Y si además operas a través de un marketplace con vendedores verificados como IP4 Market, la probabilidad de sorpresas cae drásticamente. Lo demás es lo divertido: activar el recurso y ponerlo a trabajar para tu red.