La seguridad en el protocolo de puerta de enlace fronteriza (BGP) ya no es algo opcional. Si gestionas tus propios bloques IPv4, sabes que la confianza por defecto que tiene BGP en sus vecinos es un problema. Es vulnerable. Un ataque de secuestro o una fuga de rutas puede interrumpir el servicio global o redirigir el tr\u00e1fico hacia lugares oscuros. Para los ingenieros de red y operadores de ISP, garantizar la seguridad BGP IPv4<\/strong> deja de ser una “mejor pr\u00e1ctica” en un PDF para convertirse en una necesidad operativa. Se trata de mantener la integridad de la tabla de enrutamiento global.<\/p>\n Y el contexto no ayuda. Con el agotamiento de las direcciones IPv4, los precios en el mercado secundario se disparan. Un bloque \/24 puede oscilar entre 25 y 60 d\u00f3lares, dependiendo de su limpieza y regi\u00f3n. Proteger estos activos es vital. Una brecha de seguridad no solo te deja sin conectividad; puede devaluar la reputaci\u00f3n de tus prefijos en los listados de filtrado globales. Nadie quiere comprar direcciones “sucias”.<\/p>\n La primera l\u00ednea de defensa moderna en el enrutamiento es la Infraestructura de Clave P\u00fablica para Recursos de Enrutamiento (RPKI). Este framework criptogr\u00e1fico permite al propietario de bloques IPv4 firmar sus prefijos, creando un Objeto de Autorizaci\u00f3n de Origen (ROA). B\u00e1sicamente, un ROA es una declaraci\u00f3n digital que vincula un prefijo de enrutamiento con un Sistema Aut\u00f3nomo (AS) espec\u00edfico, autoriz\u00e1ndolo a anunciarlo.<\/p>\n Si un actor malintencionado intenta anunciar tu prefijo \/24 desde un AS distinto, los ISP con validaci\u00f3n RPKI habilitada rechazar\u00e1n la ruta. Pero ojo, la implementaci\u00f3n requiere precisi\u00f3n. Si configuras un ROA con una longitud de prefijo m\u00e1xima (maxLen) incorrecta, podr\u00edas bloquear el tr\u00e1fico leg\u00edtimo de tus propios clientes o proveedores de tr\u00e1nsito. Es f\u00e1cil dispararse en el pie.<\/p>\n Consejo pr\u00e1ctico:<\/strong> Utiliza herramientas de visualizaci\u00f3n de RPKI para verificar el estado de tus prefijos antes de realizar cambios en producci\u00f3n. Aseg\u00farate de que tu registro en el RIPE NCC o tu RIR regional est\u00e9 al d\u00eda para que la cadena de confianza no se rompa.<\/p>\n<\/div>\n M\u00e1s all\u00e1 de la validaci\u00f3n criptogr\u00e1fica, el filtrado BGP cl\u00e1sico sigue siendo una de las estrategias m\u00e1s efectivas. No lo subestimes. Esto implica configurar listas de prefijos (prefix-lists) y mapas de ruta (route-maps) para controlar exactamente qu\u00e9 se anuncia y qu\u00e9 se recibe.<\/p>\n Antes de anunciar tus bloques IPv4 a tus vecinos BGP (upstream o peers), aseg\u00farate de que tu router no est\u00e9 filtrando accidentalmente tr\u00e1fico que no te pertenece. El filtrado de salida permite definir expl\u00edcitamente qu\u00e9 prefijos salen de tu AS. Esto previene fugas accidentales de rutas internas o de clientes, protegiendo al resto de internet de errores de configuraci\u00f3n que, a veces, son m\u00e1s comunes de lo que admitimos.<\/p>\n En el lado de la recepci\u00f3n, aplica pol\u00edticas estrictas. Acepta solo rutas que tengan sentido. Aunque gran parte de esta responsabilidad recae en el proveedor de tr\u00e1nsito, como operador debes configurar tu sesi\u00f3n BGP para rechazar:<\/p>\n Para bloques IPv4 gestionados bajo el esquema BYOIP (Bring Your Own IP) en servicios de nube, este filtrado es crucial. Tienes que sincronizar las pol\u00edticas de seguridad entre tu infraestructura on-premise y la nube del proveedor.<\/p>\n Otro aspecto cr\u00edtico de la seguridad BGP IPv4<\/strong> es la velocidad de reacci\u00f3n. Cuando ocurre un ataque, no hay tiempo para reuniones. El uso de comunidades BGP est\u00e1ndar y extendidas permite a los ingenieros se\u00f1alar a sus proveedores de tr\u00e1nsito c\u00f3mo tratar el tr\u00e1fico hacia sus bloques IPv4.<\/p>\n Al comprar o alquilar IPv4, negocia y documenta las comunidades soportadas por el ISP. Algunas acciones comunes incluyen:<\/p>\n Estas medidas son t\u00e9cnicas y requieren una comunicaci\u00f3n fluida con el equipo de red del proveedor. Sin un plan de acci\u00f3n predefinido, la reacci\u00f3n ante un ataque de denegaci\u00f3n de servicio distribuido (DDoS) que sature el ancho de banda de tu bloque IPv4 ser\u00e1, sencillamente, demasiado lenta.<\/p>\n \u00bfEs obligatorio tener RPKI para vender IPv4?<\/strong><\/p>\n Legalmente no. Pero comercialmente, casi. Los compradores en IP4 Market y otras plataformas prefieren bloques con RPKI configurado y sin historial de “blacklist”. Esto garantiza una integraci\u00f3n limpia y segura en su red, y evita dolores de cabeza futuros.<\/p>\n \u00bfQu\u00e9 pasa si mi ROA entra en conflicto con otro?<\/strong><\/p>\n Si dos ROAs diferentes autorizan el mismo prefijo a AS distintos, o si hay una superposici\u00f3n no v\u00e1lida, la ruta se marcar\u00e1 como “inv\u00e1lida”. Muchos ISP la rechazar\u00e1n autom\u00e1ticamente. Resultado: ca\u00edda de conectividad.<\/p>\n<\/div>\n La seguridad de la infraestructura de internet depende de la disciplina de cada operador. No es algo que se pueda delegar del todo. Implementar estrategias robustas de seguridad BGP IPv4<\/strong> como RPKI, filtrado estricto y gesti\u00f3n de comunidades no solo protege tu red contra secuestros y ataques, sino que eleva la calidad general del enrutamiento global. A medida que el mercado de direcciones IPv4 se vuelve m\u00e1s escaso y valioso, la higiene en la gesti\u00f3n de estos recursos es un diferenciador clave para cualquier ISP o empresa de hosting. Si necesitas adquirir bloques IPv4 verificados y listos para implementar estas medidas de seguridad, plataformas como IP4 Market<\/strong> ofrecen un entorno controlado y eficiente para asegurar tu crecimiento sin comprometer la estabilidad de tu red.<\/p>\nRPKI y ROA: validando el origen de las rutas<\/h2>\n
Errores comunes al crear ROAs<\/h3>\n
\n
Filtrado de prefijos y listas de acceso<\/h2>\n
Filtrado de salida (Egress Filtering)<\/h3>\n
Filtrado de entrada (Ingress Filtering)<\/h3>\n
\n
Comunidades BGP y mitigaci\u00f3n de DDoS<\/h2>\n
Comunidades para acciones de tr\u00e1nsito<\/h3>\n
\n
Preguntas Frecuentes<\/h3>\n
Conclusi\u00f3n<\/h2>\n