Anti-spoofing e BCP38/MANRS: higiene de roteamento no ISP
27/05/2026 · 6 min de leitura
BCP38, uRPF e MANRS são a higiene mínima de roteamento que reduz ataques DDoS e vazamentos de rota — e que todo provedor deveria implementar.
O problema do spoofing
Spoofing é forjar o endereço IP de origem de um pacote. É a técnica que sustenta os ataques DDoS de amplificação e reflexão: o atacante envia requisições com IP de origem falsificado (o da vítima) a servidores mal configurados, que respondem com volume muito maior para a vítima. Sem endereço de origem falso, esse tipo de ataque simplesmente não funciona.
A rede que deixa sair pacotes com origem forjada está, na prática, emprestando sua infraestrutura para atacar terceiros. Combater spoofing na borda é responsabilidade coletiva: quanto mais provedores filtram, menor a superfície global de ataque.
BCP38 e uRPF
O BCP38 (também referenciado como BCP84 para cenários multihomed) é a boa prática que recomenda filtragem de entrada na borda: um pacote só deve sair da rede do cliente se o seu IP de origem pertencer ao bloco legitimamente atribuído àquele cliente. Assim, endereços forjados são descartados na origem.
A implementação mais comum é o uRPF (unicast Reverse Path Forwarding). No modo strict, o roteador aceita o pacote apenas se a rota de volta para o IP de origem apontar para a mesma interface por onde ele chegou — ideal em enlaces de cliente com caminho único. Em cenários assimétricos ou multihomed, usa-se o modo loose ou ACLs baseadas no prefixo do cliente para não descartar tráfego legítimo.
MANRS: as quatro ações
O MANRS (Mutually Agreed Norms for Routing Security) é uma iniciativa global que padroniza a higiene de roteamento em ações objetivas. Filtering: filtrar anúncios e aceitar apenas rotas corretas dos clientes e vizinhos. Anti-spoofing: aplicar BCP38/uRPF para impedir tráfego com origem falsificada.
Coordination: manter contatos de abuse e dados de contato atualizados no WHOIS e no PeeringDB para resposta rápida a incidentes. Global validation: publicar seus dados de roteamento no IRR e no RPKI (ROAs) e validar origem (ROV) nas sessões, rejeitando rotas inválidas. Aderir ao MANRS sinaliza ao ecossistema que sua rede é confiável.
Por onde começar
Comece pela borda com o cliente, onde o retorno é maior: aplique uRPF strict ou ACL de origem em cada enlace de acesso, garantindo que ninguém envie tráfego com IP que não é seu. Em paralelo, publique ROAs para todos os seus prefixos e ative ROV com os upstreams para descartar rotas de origem inválida.
Revise os filtros de anúncio para nunca vazar full-table entre upstreams e mantenha os contatos de abuse atualizados. Essas medidas custam pouco, não degradam desempenho quando bem dimensionadas e reduzem drasticamente a chance de a sua rede participar — como vítima ou como origem — de um incidente de roteamento.
O diferencial NuvoNetworks
A NuvoNetworks opera trânsito IP sobre backbone próprio com filtros e validação RPKI, SLA garantido por multa e NOC 24/7, e no modelo broker ajuda o provedor a implementar BCP38, uRPF e as ações MANRS na sua borda.
Perguntas frequentes
uRPF strict serve para qualquer enlace?
Serve muito bem em enlaces de cliente com caminho único. Em cenários assimétricos ou multihomed, o modo strict pode descartar tráfego legítimo, então usa-se o modo loose ou ACLs baseadas no prefixo atribuído ao cliente.
MANRS é obrigatório?
Não é obrigatório por lei, mas é o padrão de mercado de segurança de roteamento. Aderir melhora a reputação do ASN, facilita peering e reduz o risco de sua rede ser fonte de spoofing ou vazamento de rota.
RPKI resolve spoofing?
Não diretamente. RPKI valida a origem de anúncios BGP e combate hijack e vazamento de rota; o spoofing de endereço de origem de pacotes é combatido por BCP38/uRPF. As duas medidas são complementares e devem coexistir.