En esta página
Puntos clave
- Blackhole protege capacidadElimina todo el tráfico hacia un destino para salvar el resto de la red.
- FlowSpec es selectivoPuede filtrar por protocolo, puertos, longitud, flags o fragmentos.
- La automatización necesita límitesCada regla necesita umbral, caducidad y reversión.
Definición del problema
RTBH anuncia una ruta especial para descartar todo el tráfico hacia una IP o prefijo. Es simple y compatible, pero el servicio queda fuera de línea.
FlowSpec transporta reglas de filtrado por BGP: protocolo, puertos, longitud de paquete, flags TCP, fragmentos y acciones. Su precisión es útil, pero una regla amplia puede romper usuarios reales de forma silenciosa.
La diferencia operativa aparece durante la saturación. Blackhole cambia la alcanzabilidad de un destino; FlowSpec cambia el tratamiento de ciertos paquetes dentro de la infraestructura de routing. Por eso una regla FlowSpec necesita un nivel de confianza: campos estables, campos normales para usuarios y una acción que pueda retirarse sin esperar una ventana de mantenimiento.
Para evaluar blackhole y FlowSpec, conviene separar tres planos: la señal BGP, el tráfico real y la experiencia de usuario.
Por qué es importante
Una mala elección de mitigación puede costar más que el ataque. Blackhole evita saturación, pero genera una caída total. FlowSpec mal definido puede parecer correcto en gráficas mientras clientes reales fallan.
En tránsito protegido el cliente paga por disponibilidad, no solo por supervivencia del backbone. La decisión debe basarse en pps, Gbps, puertos afectados, perfil de paquetes y estabilidad de la firma.
Un runbook útil define también quién puede propagar una regla upstream. Un drop local se prueba rápido; FlowSpec upstream afecta a un dominio mayor. Para redes que transportan tráfico de terceros, aprobación, registro y caducidad forman parte del producto.
Soluciones posibles
RTBH manual sirve cuando un destino amenaza a otros clientes o supera la capacidad disponible. Es un freno de emergencia.
FlowSpec manual funciona con ataques estables y características claras, pero es lento cuando la firma cambia.
El modelo sólido usa automatización controlada: umbrales por puerto, reglas cortas, expiración, medición de tráfico legítimo y blackhole como último recurso.
A veces limitar tasa es más seguro que descartar. Si la firma del ataque se parece al tráfico legítimo, un policer temporal reduce presión mientras capturas y métricas confirman si una regla más estricta es segura.
- RTBH
- Rápido, pero sacrifica el destino.
- FlowSpec preciso
- Funciona si varios campos describen el ataque.
- Pipeline híbrido
- FlowSpec reduce volumen; la mitigación especializada protege el servicio.
| Criterio | BGP Blackhole | BGP FlowSpec |
|---|---|---|
| Impacto | Destino fuera de línea | Filtrado dirigido si es preciso |
| Complejidad | Baja | Media a alta |
| Uso ideal | Último recurso | Reducción de volumen |
Caso concreto o ejemplo
Un servidor de juego recibe 80 Gbps UDP. Blackhole detiene la saturación pero desconecta a todos. Dropear todo UDP al puerto de juego casi igual de malo.
La respuesta correcta observa longitud, puertos origen, ratio pps/Gbps y fragmentos. Una regla combinada elimina ataque sin bloquear clientes reales.
La misma lógica aplica a floods TCP. Una regla sobre flags puede ayudar con patrones SYN o ACK anormales, pero debe compararse con el comportamiento normal de conexiones del servicio protegido.
Errores frecuentes
Los errores aparecen cuando se actúa rápido sin evidencias suficientes.
Otro error es olvidar comunicación con el cliente. Si se usa blackhole, debe saber que se sacrifica alcanzabilidad; si se usa FlowSpec, debe saber que la regla es temporal y monitorizada.
- Tratar FlowSpec como firewall aplicativo.
- Dejar reglas activas después del ataque.
- Filtrar por un solo campo.
- Blackholear un prefijo entero por una IP.
- No medir el tráfico legítimo antes y después.
FAQ
¿FlowSpec sustituye un Anti-DDoS?
No, solo reduce ciertos patrones upstream.
¿Blackhole sigue siendo útil?
Sí, como último recurso.
¿Es seguro para juegos UDP?
Sí, si combina criterios y se monitoriza.
¿Cuánto dura una regla?
Lo mínimo posible, normalmente minutos.
