BGP para iniciantes: o que aprendi no BCOP do NIC.br

Em novembro de 2024 fiz o Curso de Boas Práticas Operacionais para Sistemas Autônomos (BCOP) do NIC.br. Saí com a cabeça fervilhando e a certeza de que BGP é simples na teoria e complexo na operação. Aqui está o que eu queria ter sabido antes.

Antes do BGP, o conceito básico: AS

Sistema Autônomo (AS) é um conjunto de redes administradas por uma mesma entidade. Cada ASN é um número único atribuído pelo registro regional (no Brasil, NIC.br via LACNIC).

Se você opera ISP no Brasil e ainda não tem ASN, isso é prioridade número 1. Sem ASN você é cliente de outro — não é provedor de fato.

O que BGP realmente faz

Resumindo em uma frase: BGP é o protocolo que decide por onde o tráfego entre AS diferentes vai passar.

• OSPF/IS-IS resolvem rotas dentro do seu AS (interno).
• BGP resolve rotas entre AS diferentes (externo).

Quando você anuncia seu prefixo via BGP, está dizendo ao mundo: “tráfego para 200.x.x.0/22 vem pra mim”. Quando recebe rotas via BGP de um upstream, está aprendendo: “para chegar nesses prefixos, mande pra mim”.

Os tipos de sessão

• eBGP — entre AS diferentes (você ↔ seu provedor, você ↔ IX).
• iBGP — dentro do mesmo AS (entre seus próprios roteadores).

Confundir os dois é o erro mais comum. iBGP não propaga rotas aprendidas de outros iBGP — você precisa de full mesh ou route reflector.

Os 7 mandamentos do BCOP

O curso destaca práticas que deveriam ser óbvias mas raramente são. Resumo:

1. Filtre tudo, sempre

Nunca aceite “default” do que vem do mundo. Filtre prefixos por:

• Prefix-list — apenas o que o cliente declarou.
• AS-PATH — bloqueie loops óbvios.
• Max-prefix — derrube a sessão se o cliente vazar a Internet inteira (acontece).

2. RPKI é obrigatório em 2026

Resource Public Key Infrastructure valida criptograficamente que aquele AS pode anunciar aquele prefixo. Sem RPKI, qualquer pessoa pode anunciar seu /24 e sequestrar seu tráfego. Configure:

ROAs no LACNIC para seus prefixos
+
validador no roteador (Routinator, OctoRPKI)
+
política: invalid → reject

3. Use comunidades BGP

Comunidades são etiquetas que viajam com a rota. Permitem que o cliente decida o caminho (“não anuncie para o upstream X”, “abaixe minha localpref”). Sem comunidades, todo ajuste vira ticket.

4. Anuncie apenas o necessário

Não desagregue um /22 em quatro /24 só porque você pode. Você polui a tabela global. Use prefix-list de saída rigorosa.

5. Tenha PoP em IX

Estar em IX.br (PTT) reduz latência, custo de trânsito e dependência de upstream único. Cada PoP em IX é um passo na direção certa.

6. Monitore convergência

Configure alertas para:

• Sessão BGP down.
• Mudança brusca de # de prefixos recebidos.
• Tráfego saindo por upstream “errado”.

7. Documente

Toda mudança em BGP precisa de:

• Antes: estado atual, output dos comandos.
• O que muda: qual prefixo, qual política.
• Plano de rollback: comando exato pra desfazer.
• Janela de manutenção: quando você pode quebrar sem despertar o jurídico.

Ferramentas que uso

• Looking Glass — lg.ix.br, bgp.he.net para inspecionar como o mundo vê seu AS.
• bgp.tools — visualização rica de relacionamentos.
• Hurricane Electric BGP toolkit — histórico e detecção de anomalias.
• Zabbix — monitoramento de sessões e prefixos.

O erro que vejo todo dia

Operador que coloca rota estática “porque BGP não estava convergindo” e esquece. Seis meses depois, BGP convergiu, mas a estática ainda manda tráfego pro buraco. Estática para sobrescrever BGP é como soldar uma porta — funciona, mas você nunca mais abre.

Conclusão

BGP não é difícil. Operar BGP é difícil porque os efeitos são globais. Você anuncia errado em São Paulo e quebra rota no Japão. Por isso o BCOP existe — para que o ecossistema não se sabote por descuido.

Recomendo fortemente que qualquer pessoa operando AS faça o curso. É gratuito, presencial e de altíssima qualidade.

Quer conversar sobre operação de AS no Brasil? WhatsApp aqui.