BGP Lookup & RPKI Check
Un looking glass BGP muestra cómo ve el sistema de enrutamiento global un prefijo IP: quién lo origina, con qué amplitud se ve y si el origen de su ruta está autorizado por un ROA. Introduce una dirección IP, un prefijo CIDR o un número AS y lee la respuesta en datos de enrutamiento en vivo recogidos en todo el mundo.
Última actualización:
¿Un problema de enrutamiento que quieres vigilar sin parar? Vigílalo gratis con myeventwatch — alertas de caducidad y caídas, sin tarjeta.
Qué comprueba en realidad una búsqueda BGP
Internet no tiene ningún mapa central. Cada red —cada sistema autónomo, o AS— dice a sus vecinos a qué prefijos IP puede llegar, esos vecinos pasan la noticia, y la tabla de enrutamiento global es simplemente la suma de esos anuncios tal como los oyen colectores repartidos por el mundo. Una búsqueda BGP pregunta a esos colectores qué oyen ahora mismo para un prefijo: qué AS lo origina, es decir, qué red afirma ser su hogar, y qué rutas seguiría el tráfico para llegar. Es una pregunta muy distinta de quién posee el bloque en papel: los registros dicen quién debería anunciar un prefijo; la tabla de enrutamiento dice quién lo hace de verdad ahora —y cuando ambos difieren, tu tráfico obedece a la tabla—.
La visibilidad es la segunda señal de esta página y detecta otra clase de problemas. Un prefijo sano y bien conectado lo ven casi todos los pares colectores; uno visto solo por unos pocos es muy nuevo, deliberadamente local, o se está filtrando o fugando donde no debería. El recuento mostrado —cuántos pares RIS ven el prefijo sobre el total que informa— convierte «¿está mi ruta ahí fuera?» en un número. Las marcas de primera y última vez vista completan el cuadro: un prefijo visto por primera vez hoy es un cambio, no un estado estable.
RPKI: ¿está autorizado el origen?
Los anuncios son afirmaciones, y durante décadas nada impidió que cualquier red afirmara cualquier prefijo, por accidente, por un filtro mal escrito o a propósito, en un secuestro. RPKI es la corrección: el titular de un prefijo publica una autorización de origen de ruta, un ROA, que nombra los AS autorizados a originarlo y la longitud máxima que pueden anunciar. Los validadores comparan cada anuncio con esos ROA y lo marcan válido, inválido o desconocido. Esta página muestra ese veredicto junto con los propios ROA. Válido significa que un ROA cubre este origen exacto. Inválido significa que existe un ROA pero no autoriza lo anunciado —la firma clásica de un anuncio mal emitido o de un secuestro real— y merece investigarse de inmediato. Desconocido significa que ningún ROA cubre el prefijo: es común, aún no es un fallo, pero es una invitación abierta que el titular debería cerrar.
Herramientas relacionadas: el comprobador de propagación DNS cuando el nombre se resuelve distinto según el lugar, el escáner de puertos cuando la ruta está bien pero el servicio no responde, y la guía complementaria cómo comprobar rutas BGP y RPKI, con un ejemplo completo de lectura de rutas, visibilidad y veredictos ROA.
Fuentes de datos y atribución: los datos de enrutamiento proceden de RIPEstat, la API de datos del RIPE NCC, construida sobre los colectores RIPE RIS que se interconectan con redes de todo el mundo y registran los anuncios que oyen; la validación RPKI se realiza con Routinator frente a las anclas de confianza de los cinco registros regionales. Los datos cambian minuto a minuto, así que los resultados son una instantánea del momento de la comprobación, guardada en caché solo brevemente.
Los cinco datos que muestra esta página
| ASN de origen | El número de sistema autónomo que anuncia el prefijo: la red que afirma ser su hogar en la tabla global. |
| Anunciado | Si los colectores oyen actualmente algún anuncio del prefijo; un prefijo no anunciado es inalcanzable desde internet. |
| Visibilidad RIS | Cuántos pares colectores RIPE RIS ven el prefijo, sobre el total que informa; la visibilidad casi total es la norma sana. |
| Ruta AS | La secuencia de sistemas autónomos que atravesó un anuncio hasta llegar a un colector, leída de derecha a izquierda, del origen al colector. |
| Estado RPKI | Si un ROA autoriza el anuncio: válido significa cubierto, inválido que un ROA existe pero no permite este origen o longitud, desconocido que ningún ROA lo cubre. |
Preguntas frecuentes
¿Qué puedo introducir: una IP, un prefijo o un ASN?
Las tres cosas. Una IP suelta se asigna al prefijo que la cubre y se busca ese prefijo. Un prefijo CIDR como 1.1.1.0/24 se busca directamente. Un número AS como AS13335 devuelve el nombre del titular de la red, cuántos prefijos anuncia, una muestra de ellos y sus recuentos de vecinos ascendentes, descendentes y totales.
Mi prefijo aparece como no anunciado. ¿Qué significa?
Ningún colector RIS oye actualmente un anuncio suyo, así que internet no tiene ruta hasta él. Causas habituales: un problema de router o de sesión en el origen, un anuncio filtrado por un proveedor ascendente, un cambio muy reciente aún no extendido, o simplemente un bloque asignado pero sin uso. Revisa primero las sesiones BGP del router de origen y pregunta después a tu proveedor si acepta y propaga el prefijo.
RPKI dice inválido. ¿Me han secuestrado el prefijo?
Inválido significa que un ROA cubre el prefijo pero no autoriza el anuncio visto: el AS de origen no está en la lista, o el prefijo anunciado es más largo que la longitud máxima del ROA. La causa más común es operativa, no maliciosa: se desplegó un origen nuevo o un anuncio más específico sin actualizar el ROA. Si el anuncio es tuyo e intencionado, corrige o republica el ROA; si el AS de origen no es tuyo en absoluto, trátalo como un posible secuestro y contacta urgentemente con el titular y tus proveedores.
¿Por qué la visibilidad es menor que el total de pares?
Algunos colectores se interconectan con redes que nunca transportan esta ruta: un prefijo anunciado solo regionalmente, uno filtrado por política, o uno tan nuevo que aún no ha llegado a todas las sesiones. Un pequeño déficit es normal, sobre todo en IPv6 y en prefijos más específicos. Una visibilidad cercana a cero en un prefijo que debería ser global es la señal de alarma: el anuncio sale del origen pero no se extiende.
¿Qué tan frescos son los datos? ¿Se guardan en caché?
RIPEstat agrega los datos de los colectores RIS continuamente, y esta página los lee en vivo al comprobar, a través del comprobador de sysosx, que guarda un resultado en caché solo brevemente para respetar los límites de peticiones; una respuesta en caché se etiqueta como tal. Los cambios de ruta pueden tardar minutos en aparecer en los datos de colectores aun cuando ya afectan al tráfico real, así que vuelve a comprobar poco después de un cambio en lugar de tomar una instantánea como definitiva.