{"id":19014,"date":"2024-01-30T11:29:31","date_gmt":"2024-01-30T11:29:31","guid":{"rendered":"https:\/\/made4it.com.br\/blog\/que-es-flowspec-como-utilizar-flowspec-para-mitigar-los-ataques-ddos\/"},"modified":"2026-07-01T15:10:29","modified_gmt":"2026-07-01T15:10:29","slug":"que-es-flowspec-como-utilizar-flowspec-para-mitigar-los-ataques-ddos","status":"publish","type":"post","link":"https:\/\/made4it.com.br\/es\/blog\/que-es-flowspec-como-utilizar-flowspec-para-mitigar-los-ataques-ddos\/","title":{"rendered":"\u00bfQu\u00e9 es FlowSpec? C\u00f3mo utilizar FlowSpec para mitigar los ataques DDoS?"},"content":{"rendered":"\n

Hoy vamos a hablar un poco sobre BGP Flowspec y su eficacia para mitigar los ataques DDoS. <\/p>\n\n

\u00bfQu\u00e9 es Flowspec?<\/strong> <\/h2>\n\n

BGP Flow Specification (Flowspec)<\/strong> se define en RFC 5575<\/strong>(Dissemination of Flow Specification Rules)<\/em>, <\/em>define c\u00f3mo se utiliza Flowspec<\/strong> para distribuir reglas de flujo a trav\u00e9s del protocolo BGP. <\/p>\n\n

B\u00e1sicamente, Flowspec<\/strong> es una extensi\u00f3n del protocolo BGP que permite a los enrutadores aplicar reglas, como listas de control de acceso din\u00e1micas o reglas de cortafuegos din\u00e1micas, a tipos espec\u00edficos de tr\u00e1fico. Estas reglas pueden basarse en diversos criterios, entre los que se incluyen el origen, el destino, el protocolo, el puerto, etc. <\/p>\n\n

A continuaci\u00f3n se muestra una tabla con todas las posibilidades de clasificaci\u00f3n del tr\u00e1fico Flowspec: <\/p>\n\n

BGP Flowspec NLRI Type<\/strong> <\/td>QoS Match Fields<\/strong> <\/td><\/tr>
Type 1 <\/td>Destination IP \/ IPv6 address <\/td><\/tr>
Type 2 <\/td>Source IP \/ IPv6 address <\/td><\/tr>
Type 3 <\/td>IP \/ IPv6 Protocol <\/td><\/tr>
Type 4 <\/td>Source or destination port <\/td><\/tr>
Type 5 <\/td>Destination port <\/td><\/tr>
Type 6 <\/td>Source port <\/td><\/tr>
Type 7 <\/td>ICMP Type <\/td><\/tr>
Type 8 <\/td>ICMP Code <\/td><\/tr>
Type 9 <\/td>TCP flags <\/td><\/tr>
Type 10 <\/td>Packet length <\/td><\/tr>
Type 11 <\/td>DSCP <\/td><\/tr>
Type 12 <\/td>Fragmentation bits <\/td><\/tr><\/tbody><\/table><\/figure>\n\n

Estos tipos de clasificaci\u00f3n tambi\u00e9n pueden combinarse, por ejemplo: <\/p>\n\n

Flujo con origen 8.8.8.8\/32 puerto UDP 53. <\/p>\n\n

Bas\u00e1ndonos en las clasificaciones de tr\u00e1fico anteriores (de la tabla o una combinaci\u00f3n de ellas como en el ejemplo), podemos tomar las siguientes medidas: <\/p>\n\n

Type<\/strong> <\/td>Description<\/strong> <\/td>PBR Action<\/strong> <\/td><\/tr>
0x8006 <\/td>traffic-rate <\/td>Drop | Police <\/td><\/tr>
0x8007 <\/td>traffic-action <\/td>Terminal Action + Sampling <\/td><\/tr>
0x8008 <\/td>redirect-vrf <\/td>Redirigir VRF <\/td><\/tr>
0x8009 <\/td>traffic-marking <\/td>Set DSCP <\/td><\/tr>
0x0800 <\/td>Redirect IP NH <\/td>Redirect IPv4 or IPv6 Next-Hop <\/td><\/tr><\/tbody><\/table><\/figure>\n\n

\u00bfC\u00f3mo funciona Flowspec?<\/strong> <\/h2>\n\n
\"¿Qué\n\t\t\t\n\t\t\t\t\n\t\t\t<\/svg>\n\t\t<\/button><\/figure>\n\n

Para que FlowSpec funcione <\/strong>, es necesario establecer las sesiones BGP FlowSpec entre el router BGP designado en la topolog\u00eda de borde y el servidor o router que genera las reglas de FlowSpec, que en nuestra topolog\u00eda es nuestro software, Made4Flow. <\/p>\n\n

De este modo, FlowSpec funciona <\/strong>enviando un mensaje BGP especial al router. Dicho mensaje contiene una lista de reglas de flujo que el router debe aplicar. Las reglas de flujo pueden aplicarse a todos los flujos que pasan por el router o solo a flujos espec\u00edficos; al igual que en una regla de cortafuegos, puede elegir a qu\u00e9 flujo desea aplicar una acci\u00f3n. <\/p>\n\n

Si su operador o su red de tr\u00e1fico es compatible con FlowSpec<\/strong>, es importante que solicite las sesiones BGP FlowSpec<\/strong>, ya que as\u00ed podremos enviar las reglas de FlowSpec para <\/strong>que se apliquen directamente en los equipos de su operador, y, de este modo, el tr\u00e1fico malicioso no llegar\u00e1 a nuestros equipos, lo que evitar\u00e1 la sobrecarga de sus enlaces. <\/p>\n\n

\u00bfC\u00f3mo puede ayudar FlowSpec a defenderse de los ataques DDoS?<\/strong> <\/h2>\n\n

Para utilizar FlowSpec para mitigar los ataques DDoS<\/strong>, es necesario utilizar una herramienta de detecci\u00f3n de ataques que genere reglas FlowSpec <\/strong>, como por ejemplo \n Made4Flow<\/a>\n<\/strong>. <\/p>\n\n

Cuando el analizador de red v\u00eda Netflow detecta un ataque DDoS<\/strong>, genera un mensaje BGP especial que contiene las reglas de flujo necesarias para mitigar el ataque. A continuaci\u00f3n, este mensaje se env\u00eda al router, que aplica las reglas e impide que el tr\u00e1fico malicioso llegue a su destino final, tal y como se muestra en el ejemplo siguiente, en el que vemos una regla de bloqueo para una direcci\u00f3n IP de destino y un ICMP de tipo 0 u 8: <\/p>\n\n

\"¿Qué\n\t\t\t\n\t\t\t\t\n\t\t\t<\/svg>\n\t\t<\/button><\/figure>\n\n

Otra forma de utilizar FlowSpec para mitigar los ataques DDoS<\/strong> es utilizar FlowSpec <\/strong>para limitar la velocidad del tr\u00e1fico que puede enviarse a un destino concreto<\/strong>. Esto puede ayudar a evitar que un ataque DDoS <\/strong>sature el ancho de banda del destino, como en el ejemplo siguiente: <\/p>\n\n

\"¿Qué\n\t\t\t\n\t\t\t\t\n\t\t\t<\/svg>\n\t\t<\/button><\/figure>\n\n

Como hemos visto en los ejemplos anteriores, FlowSpec env\u00eda <\/strong>reglas para descartar (drop) o bien aplicar un l\u00edmite de tr\u00e1fico<\/em> (control de ancho de banda)<\/strong> a los prefijos o direcciones IP atacadas. De este modo, conseguimos que el ataque DDoS no traspase nuestro router BGP\/de borde para penetrar en la red<\/strong>. Para que FlowSpec resulte m\u00e1s eficaz contra los ataques DDoS<\/strong>, es importante establecer una sesi\u00f3n BGP FlowSpec<\/strong> con sus operadores, aumentando as\u00ed la eficacia de la protecci\u00f3n; el bloqueo puede realizarse directamente en los equipos y routers de su operador, evitando que los paquetes y el tr\u00e1fico lleguen a sus equipos, lo que impide que sus routers sufran una elevada carga de CPU, una sobrecarga en los enlaces e incluso la p\u00e9rdida de comunicaci\u00f3n con sus equipos. <\/p>\n\n

Lamentablemente, no todos los operadores ofrecen sesiones BGP FlowSpec<\/strong>. Consulte a sus operadores y, si es posible, establezca sesiones BGP FlowSpec <\/strong>para que, en caso de sufrir ataques DDoS, pueda reducir el impacto en su red y aumentar su protecci\u00f3n creando las reglas directamente en sus routers. <\/p>\n\n

Conclusi\u00f3n<\/h2>\n\n

BGP FlowSpec<\/strong> es una herramienta eficaz que puede utilizarse para mitigar ataques DDoS de todos los tama\u00f1os<\/strong>. Con FlowSpec<\/strong>, los administradores de red pueden dirigir el tr\u00e1fico DDoS a un punto de mitigaci\u00f3n o limitar la velocidad del tr\u00e1fico que puede enviarse a un destino concreto<\/strong>. <\/p>\n\n

Permanece atento a los pr\u00f3ximos art\u00edculos, ya que hablaremos de c\u00f3mo configurar sesiones BGP FlowSpec<\/strong> en diferentes fabricantes como Huawei, Juniper, Cisco, Nokia y varios otros modelos y marcas<\/strong>. <\/p>\n\n

\n
Conozca Made4Flow<\/a><\/div>\n<\/div>\n\n
\"¿Qué<\/figure>\n","protected":false},"excerpt":{"rendered":"

B\u00e1sicamente, Flowspec es una extensi\u00f3n del protocolo BGP que permite a los enrutadores aplicar reglas, como listas de control de acceso din\u00e1micas o reglas de cortafuegos din\u00e1micas, a tipos espec\u00edficos de tr\u00e1fico. Estas reglas pueden basarse en diversos criterios, entre los que se incluyen el origen, el destino, el protocolo, el puerto, etc. <\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[899,877,1280,1415,910,1324],"tags":[1419,911,1420],"class_list":["post-19014","post","type-post","status-publish","format-standard","hentry","category-acerca-de-made4flow","category-bgp","category-ddos","category-flowspec","category-flujo-de-red","category-made4flow","tag-flowspec","tag-made4flow","tag-que-es-flowspec"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t