Gestire la propria infrastruttura di rete senza dipendere da un singolo operatore è il traguardo di molte aziende in crescita. Ricordo ancora il giorno in cui un provider regionale ha deciso di fare il grande passo e richiedere il proprio As per gestire direttamente il routing BGP. Avevano acquistato uno spazio in rack, firmato contratti con due operatori di transito diversi e comprato un paio di switch economici pensando di essere pronti. Tre ore dopo aver attivato le sessioni, la loro rete è andata completamente offline. I loro router commerciali non avevano abbastanza memoria per contenere la tabella di routing globale, sono andati in saturazione di memoria e hanno smesso di rispondere persino sulla porta seriale. Quel blocco è costato tre giorni di disservizio, penali contrattuali con i loro clienti aziendali e una corsa disperata per acquistare hardware adeguato a prezzo di listino, spendendo il triplo del dovuto.
Comprare prefissi IP e ottenere l'autonomia di routing non è un progetto teorico che si risolve leggendo una guida online. Richiede investimenti hardware mirati, contratti di transito scritti con cognizione di causa e una comprensione spietata delle dinamiche di instradamento reali.
Sottovalutare l'hardware necessario per gestire un As
L'errore più comune e devastante consiste nel confondere le capacità di throughput di un dispositivo con la sua capacità di gestire le tabelle di routing. Un router economico può promettere sulla carta un throughput di 10 Gbps, ma questo dato si riferisce solo alla velocità con cui sposta i pacchetti quando sa già dove mandarli. La realtà si scontra con la tabella BGP globale, che contiene ormai oltre un milione di rotte IPv4 e centinaia di migliaia di rotte IPv6.
Quando richiedi la tabella completa dai tuoi fornitori di transito, il router deve memorizzare queste informazioni nella sua memoria ad accesso casuale e, cosa ancora più critica, deve scriverle nella TCAM (Ternary Content-Addressable Memory) per consentire il forwarding hardware ad alta velocità. I dispositivi di fascia bassa o pensati per uffici periferici hanno una TCAM ridicolmente piccola.
Se provi a caricare l'intera tabella internet in uno switch che può contenere solo trentamila rotte nella sua TCAM, il sistema inizierà a gestire i pacchetti tramite la CPU principale. Le prestazioni crolleranno da 10 Gbps a pochi megabit, la latenza salirà a livelli stratosferici e l'hardware diventerà inutilizzabile in pochi secondi.
La soluzione non consiste necessariamente nello spendere cinquecentomila euro in router di classe carrier. Devi decidere prima come configurare la ricezione delle rotte. Se non hai la necessità assoluta di calcolare il percorso ottimale per ogni singola destinazione globale, puoi chiedere ai tuoi upstream di inviarti solo la rotta di default, integrata eventualmente con le sole rotte dei loro clienti diretti. Questo riduce il carico sul router da un milione di rotte a poche migliaia, permettendoti di usare hardware decisamente più economico senza rischiare il crash della rete.
Acquistare transito IP senza diversificazione fisica reale
Molti amministratori di rete pensano che basti firmare due contratti con due operatori diversi per essere protetti da qualsiasi guasto. Si contatta il commerciale del primo operatore, si firma un contratto per un gigabit di transito, poi si fa lo stesso con un secondo operatore. Si è convinti di avere una rete ridondata al 100%.
Il disastro si presenta quando un escavatore trancia un tubo flessibile sotto la strada principale a un chilometro dal tuo datacenter. All'improvviso, entrambe le tue sessioni BGP cadono contemporaneamente. Com'è possibile se i fornitori erano diversi?
La spiegazione sta nell'ultimo miglio fisico. Spesso, i diversi operatori di telecomunicazioni affittano la stessa infrastruttura passiva dallo stesso fornitore locale per arrivare fino al tuo rack. Se i cavi in fibra ottica di entrambi i tuoi provider passano nello stesso identico scavo stradale, la tua ridondanza è solo un'illusione commerciale che paghi due volte.
Prima di firmare qualsiasi contratto di transito, devi pretendere i diagrammi delle tratte fisiche e verificare che i punti di ingresso della fibra ottica nel tuo edificio siano geograficamente separati. Se l'operatore A entra dal lato nord dell'edificio e l'operatore B dal lato sud, passando per centrali di attestazione differenti, allora hai una ridondanza reale. Altrimenti, stai solo scommettendo sulla fortuna dei lavori stradali della tua città.
Ignorare RPKI e la registrazione degli oggetti IRR
Molti ingegneri di rete alle prime armi pensano che basti configurare la sessione BGP e iniziare ad annunciare i propri prefissi IP affinché il mondo inizi a inviare traffico verso di loro. Configuri il router, vedi la sessione stabilita, ma scopri che metà del mondo non riesce a raggiungere i tuoi server.
Questo accade perché i grandi operatori globali applicano filtri severissimi basati sulla sicurezza del routing. Se non hai creato i record appropriati, il tuo traffico verrà scartato senza pietà dai sistemi di sicurezza degli altri provider. Per evitare che i tuoi IP vengano considerati illegittimi, devi configurare due elementi:
- Gli oggetti IRR (Internet Routing Registry): Registri pubblici in cui dichiari quale sistema autonomo è autorizzato ad annunciare determinati blocchi di indirizzi IP.
- La firma RPKI (Resource Public Key Infrastructure): Una tecnologia di sicurezza che permette di validare crittograficamente l'associazione tra i tuoi prefissi IP e il tuo identificativo di rete.
Senza queste configurazioni, i provider di transito di livello superiore che applicano la validazione RPKI rifiuteranno i tuoi annunci di rotta. Il risultato sarà una rete parzialmente isolata, con problemi di raggiungibilità casuali difficili da diagnosticare che faranno impazzire il tuo supporto tecnico.
L'illusione del BGP multi-homed senza filtri di routing
Un errore classico di chi configura le sessioni per le prime volte è dimenticare l'impostazione dei filtri in uscita. Se il tuo As annuncia per errore le rotte ricevute da un provider all'altro, diventi immediatamente un punto di transito gratuito per il traffico globale.
Immagina di avere una connessione da 1 Gbps con l'operatore A e una da 1 Gbps con l'operatore B. Se non applichi filtri rigorosi in uscita sul tuo router, l'operatore A vedrà che tu offri una strada per raggiungere l'operatore B. In pochi secondi, i sistemi di routing globali potrebbero decidere di far passare decine di gigabit di traffico di terze parti attraverso la tua rete per ottimizzare i loro percorsi.
La tua linea da un gigabit si saturerà all'istante, impedendo il passaggio dei tuoi stessi dati. Inoltre, il tuo fornitore potrebbe addebitarti costi astronomici per il superamento della banda pattuita o decidere di disattivare la tua porta per proteggere la stabilità della sua rete.
Devi applicare una regola ferrea: annuncia verso l'esterno solo ed esclusivamente i prefissi IP di tua proprietà. Configura delle liste di controllo degli accessi e delle mappe di rotta che blocchino qualsiasi altro annuncio in uscita. Non dare mai per scontato che i tuoi provider filtrino il traffico per te. La sicurezza e la stabilità della tua rete sono esclusivamente responsabilità tua.
Un confronto pratico: la configurazione che porta al disastro e quella corretta
Vediamo come si traduce in pratica la differenza tra un approccio errato e uno configurato con criterio professionale.
Immaginiamo un'azienda che decide di attivare la propria rete indipendente. Nel primo scenario, l'approccio sbagliato, l'amministratore acquista un router economico con poca memoria. Collega due cavi in fibra ottica che entrano nello stesso tombino del palazzo. Configura le sessioni BGP richiedendo la tabella di routing completa da entrambi i fornitori, senza configurare filtri di esportazione, senza creare oggetti IRR e senza firmare i prefissi con RPKI.
Il risultato è immediato: il router si blocca per mancanza di memoria entro cinque minuti dall'attivazione della seconda sessione. Anche se si riesce a riavviarlo limitando le rotte, i grandi provider esteri scartano il traffico perché mancano le firme crittografiche dei prefissi. Alla prima interruzione fisica sulla strada principale, entrambe le connessioni cadono lasciando l'azienda isolata.
Nel secondo scenario, l'approccio corretto, l'amministratore valuta le reali necessità. Compra un router con capacità hardware adeguata oppure sceglie di ricevere solo la rotta predefinita dai suoi fornitori. Verifica che le fibre ottiche dei due provider percorrano strade diverse ed entrino nell'edificio da punti opposti.
Prima di attivare le sessioni, registra accuratamente gli oggetti IRR nel database del RIPE e configura le firme RPKI per tutti i suoi blocchi IP. Sul router imposta filtri in uscita che permettono l'annuncio dei soli prefissi aziendali, bloccando sul nascere qualsiasi tentativo di transito indesiderato. La rete si attiva senza scossoni, il bilanciamento del traffico funziona e un eventuale guasto su una delle linee viene gestito in automatico dal protocollo di routing in meno di un minuto, senza che gli utenti finali se ne accorgano.
La dura realtà di cosa serve davvero per avere successo
Gestire la propria infrastruttura IP non è un gioco da ragazzi e non è una soluzione magica per azzerare i costi di connettività. Spesso i consulenti vendono l'idea dell'autonomia di rete come un modo semplice per risparmiare, ma la realtà è ben diversa.
Avere la propria rete significa dover gestire contratti di manutenzione hardware costosi, pagare quote annuali ai registri regionali e dover disporre di personale tecnico reperibile a qualsiasi ora del giorno e della notte. Se la tua rete va offline alle tre del mattino di un giorno festivo a causa di un problema di routing internazionale, non potrai semplicemente aprire un ticket generico e aspettare che qualcun altro risolva il problema per te. Dovrai analizzare i flussi di traffico, verificare i database di routing e confrontarti direttamente con i tecnici dei tuoi operatori di transito.
Se la tua azienda non ha un reale bisogno di alta disponibilità, se non gestisci servizi critici che richiedono tempi di failover inferiori al minuto, o se non hai il budget per assumere o appaltare personale specializzato in networking avanzato, ti conviene evitare questo passo. Spesso, una configurazione più semplice basata su connessioni ridondate gestite interamente da un buon fornitore locale ti costerà molto meno, ti darà meno grattacapi e ti permetterà di concentrarti sul tuo vero business senza trasformarti in un operatore telefonico improvvisato.
