BGP Lookup & RPKI Check
Um looking glass BGP mostra como o sistema de roteamento global vê um prefixo IP — quem o origina, com que amplitude ele é visto e se a origem da sua rota é autorizada por um ROA. Insira um endereço IP, um prefixo CIDR ou um número AS e leia a resposta em dados de roteamento ao vivo coletados no mundo todo.
Última atualização:
Um problema de roteamento que você quer vigiar continuamente? Vigie grátis com o myeventwatch — alertas de expiração e indisponibilidade, sem cartão.
O que uma consulta BGP realmente verifica
A internet não tem nenhum mapa central. Cada rede — cada sistema autônomo, ou AS — diz aos vizinhos a quais prefixos IP consegue chegar, os vizinhos passam a notícia adiante, e a tabela de roteamento global é simplesmente a soma desses anúncios conforme ouvidos por coletores espalhados pelo mundo. Uma consulta BGP pergunta a esses coletores o que eles ouvem agora para um prefixo: qual AS o origina, ou seja, qual rede afirma ser sua casa, e quais caminhos o tráfego seguiria para chegar lá. É uma pergunta muito diferente de quem detém o bloco no papel: os registros dizem quem deveria anunciar um prefixo; a tabela de roteamento diz quem realmente anuncia agora — e quando os dois discordam, seu tráfego obedece à tabela.
A visibilidade é o segundo sinal desta página e detecta outra classe de problemas. Um prefixo saudável e bem conectado é visto por quase todos os pares coletores; um visto por poucos é muito novo, deliberadamente local, ou está vazando ou sendo filtrado onde não deveria. A contagem mostrada — quantos pares RIS veem o prefixo dentre o total que reporta — transforma “minha rota está lá fora?” em um número. Os carimbos de primeira e última vez visto completam o quadro: um prefixo visto pela primeira vez hoje é uma mudança, não um estado estável.
RPKI: a origem está autorizada?
Anúncios são afirmações, e por décadas nada impediu qualquer rede de afirmar qualquer prefixo — por acidente, por um filtro mal escrito ou de propósito, em um sequestro. O RPKI é a correção: o detentor de um prefixo publica uma Autorização de Origem de Rota, um ROA, nomeando os AS autorizados a originá-lo e o comprimento máximo de prefixo que podem anunciar. Validadores comparam cada anúncio com esses ROAs e o marcam como válido, inválido ou desconhecido. Esta página mostra esse veredito junto com os próprios ROAs. Válido significa que um ROA cobre esta origem exata. Inválido significa que um ROA existe, mas não autoriza o que está sendo anunciado — a assinatura clássica de um anúncio mal emitido ou de um sequestro real — e merece investigação imediata. Desconhecido significa que nenhum ROA cobre o prefixo: é comum, ainda não é uma falha, mas é um convite aberto que o detentor deveria fechar.
Ferramentas relacionadas: o verificador de propagação DNS quando o nome resolve diferente em lugares diferentes, o scanner de portas quando a rota está bem, mas o serviço não responde, e o guia complementar como verificar rotas BGP e RPKI, com um passo a passo completo de leitura de caminhos, visibilidade e vereditos ROA.
Fontes de dados e atribuição: os dados de roteamento vêm do RIPEstat, a API de dados do RIPE NCC, construída sobre os coletores RIPE RIS que fazem peering com redes no mundo todo e registram os anúncios que ouvem; a validação RPKI é feita com o Routinator contra as âncoras de confiança dos cinco registros regionais. Os dados mudam a cada minuto, então os resultados são um instantâneo do momento da verificação, em cache apenas brevemente.
Os cinco fatos que esta página mostra
| ASN de origem | O número de sistema autônomo que anuncia o prefixo — a rede que afirma ser sua casa na tabela global. |
| Anunciado | Se os coletores ouvem atualmente algum anúncio do prefixo; um prefixo não anunciado é inalcançável a partir da internet pública. |
| Visibilidade RIS | Quantos pares coletores RIPE RIS veem o prefixo, dentre o total que reporta — visibilidade quase total é a norma saudável. |
| Caminho AS | A sequência de sistemas autônomos que um anúncio atravessou até um coletor, lida da direita para a esquerda, da origem ao coletor. |
| Status RPKI | Se um ROA autoriza o anúncio: válido significa coberto, inválido que um ROA existe mas não permite esta origem ou comprimento, desconhecido que nenhum ROA o cobre. |
Perguntas frequentes
O que posso inserir — um IP, um prefixo ou um ASN?
Os três. Um IP isolado é mapeado para o prefixo que o cobre e esse prefixo é consultado. Um prefixo CIDR como 1.1.1.0/24 é consultado diretamente. Um número AS como AS13335 retorna o nome do detentor da rede, quantos prefixos ela anuncia, uma amostra deles e suas contagens de vizinhos upstream, downstream e únicos.
Meu prefixo aparece como não anunciado. O que isso significa?
Nenhum coletor RIS ouve atualmente um anúncio dele, então a internet pública não tem rota até ele. Causas comuns: um problema de roteador ou de sessão na origem, um anúncio filtrado por um upstream, uma mudança muito recente ainda não espalhada, ou simplesmente um bloco alocado mas sem uso. Verifique primeiro as sessões BGP do roteador de origem e depois pergunte ao upstream se ele aceita e propaga o prefixo.
O RPKI diz inválido. Meu prefixo foi sequestrado?
Inválido significa que um ROA cobre o prefixo, mas não autoriza o anúncio visto — o AS de origem não está na lista, ou o prefixo anunciado é mais longo que o comprimento máximo do ROA. A causa mais comum é operacional, não maliciosa: uma nova origem ou um anúncio mais específico foi implantado sem atualizar o ROA. Se o anúncio é seu e intencional, corrija ou republique o ROA; se o AS de origem não é seu de forma alguma, trate como um possível sequestro e contate urgentemente o detentor do prefixo e seus upstreams.
Por que a visibilidade é menor que o total de pares?
Alguns coletores fazem peering com redes que nunca carregam esta rota — um prefixo anunciado apenas regionalmente, um filtrado por política, ou um tão novo que ainda não chegou a todas as sessões. Um pequeno déficit é normal, sobretudo em IPv6 e em prefixos mais específicos. Visibilidade perto de zero em um prefixo que deveria ser global é o sinal de alerta: o anúncio sai da origem, mas não se espalha.
Quão frescos são os dados? Eles ficam em cache?
O RIPEstat agrega os dados dos coletores RIS continuamente, e esta página os lê ao vivo na verificação, por meio do verificador da sysosx, que mantém um resultado em cache apenas brevemente para respeitar limites educados de requisições — uma resposta em cache é rotulada como tal. Mudanças de rota podem levar minutos para aparecer nos dados dos coletores mesmo quando já afetam o tráfego real, então verifique de novo pouco depois de uma mudança em vez de tratar um instantâneo como definitivo.