Mitigação¶

Análise de Tráfego¶

Tela: /admin/traffic-analysis

Objetivo¶

Criar regras de detecção por flow e automatizar notificação, mitigação e integrações externas por fonte.

Pré-requisitos¶

Pelo menos uma fonte ativa e coletando flow.
Se usar Telegram, chats já cadastrados em Operações > Notificações.
Se usar Email, SMTP já configurado em Operações > Notificações.
Se usar Adicionar Lista, os grupos de Blacklist ou Whitelist já precisam existir.
Se usar SSH, as fontes escolhidas precisam ter SSH configurado.
Se usar BGP Flowspec, as fontes escolhidas precisam ter peer FlowSpec configurado.
Se usar BGP Announcement, as fontes escolhidas precisam ter peer BGP configurado.

Como usar¶

Acesse Mitigação > Análise de Tráfego.
Use Pesquisar para localizar uma regra existente ou clique em Nova Regra.
Em Informações principais, defina descrição, retenção, gravidade, direção, fontes, interfaces e filtro.
Em Condições de gatilho, habilite o bloco e monte as comparações.
Em Notificações, ative Telegram e/ou Email se a regra precisar avisar operador.
Em Ações, ative BGP Flowspec, BGP Announcement, Adicionar Lista, Script, SSH e/ou Webhook conforme o tratamento desejado.
Clique em Salvar Regra.
De volta à listagem, acompanhe Ativo/Inativo, estado de execução, badges de ações e o botão de histórico.
Se a regra estiver em Incidente, desabilite antes de alterar comportamento de mitigação, limpe as ações ativas e só então reabilite.

Campos e opções¶

Listagem da tela¶

Pesquisar: filtra por descrição e filtro da regra.
Nova Regra: abre o modal de cadastro.
Card da regra: mostra descrição, gravidade, estado administrativo, estado de execução, fontes, ações ativas e retenção.
Ativo / Inativo: indica se a regra está habilitada no cadastro.
Incidente: pelo menos uma fonte da regra está em incidente.
Resfriamento: não há incidente ativo, mas existe ação com retirada pendente por delay de resolução.
Resolvido: todas as fontes previstas para a regra ficaram resolvidas.
Desconhecido: ainda não há estado consolidado ou a regra não reuniu dados suficientes.
Histórico: abre o gráfico com os dados armazenados dessa regra.
Clonar: aparece no modo de edição e abre uma cópia da regra para salvar como novo cadastro.
Excluir: aparece no modo de edição e remove a regra após limpeza das ações ativas.

Uma regra com várias fontes é avaliada por fonte. No card, o sistema resume a situação geral da regra e prioriza incidentes ativos.

Histórico da regra¶

Bps, Bytes, Packets, Flows, Pps e Bpp: métrica exibida no gráfico.
Totais: soma todas as séries em um total consolidado. Desligado, o gráfico mostra séries por fonte.
Faixa: janela de 1 minuto até 24 horas.
Atualizar: recarrega o gráfico.
Meta do histórico: exibe faixa, métrica e modo atual.

Informações principais¶

Descrição: nome operacional da regra. É obrigatória e não aceita duplicidade.
Dias armazenados: quantidade de dias mantida no histórico da regra. O mínimo aceito é 1.
Gravidade: escala visual de 1 a 5.
Habilitado: ativa ou desativa a regra sem apagar o cadastro.
Direção: define o sentido do tráfego analisado.
RX (Receber): usa tráfego de entrada da interface.
TX (Transmitir): usa tráfego de saída da interface.
RX ou TX: considera entrada ou saída.
Fontes: uma ou mais fontes. O processamento é individual por fonte.
Interfaces: aparece por fonte depois da seleção das fontes.
Interfaces por fonte: a tela carrega os índices da fonte selecionada e salva a lista de interfaces por fonte.
Seleção padrão de interfaces: ao abrir uma fonte sem seleção salva, a UI marca primeiro as interfaces classificadas como upstream. Se não houver upstream, marca todas.
Filtro: filtro em sintaxe nfdump. É obrigatório.
Autocomplete do filtro: ajuda a montar a expressão, mas a validação final continua sendo do próprio nfdump.

Condições de gatilho¶

Habilitar: liga ou desliga o bloco de gatilho.
Bloco desligado: a regra fica salva, mas não gera incidente.
Lógica: escolha AND (todas verdadeiras) ou OR (qualquer verdadeira) no controle do bloco.
Variável: aceita flows, pps, bpp, bps, bytes e packets.
Operador: as opções Acima da média recente e Abaixo da média recente aparecem primeiro, seguidas por >, >=, <, <=, == e !=.
Valor: inteiro. A UI bloqueia valor não numérico.
Acima da média recente: compara com a média da janela anterior acrescida do percentual informado. Exemplo: média de 100 Mbps e 50% gera limite de 150 Mbps. Aceita de 1% a 10000%.
Abaixo da média recente: aplica redução percentual direta. Exemplo: média de 100 Mbps e queda de 50% gera limite de 50 Mbps. Aceita de 1% a 99%.
Janela anterior: usa múltiplos do intervalo de coleta, no máximo 30 minutos. A barra mostra o valor atual enquanto é ajustada. A média é calculada separadamente para cada fonte.
Percentual da média: a barra mostra o percentual atual e respeita a faixa permitida pelo operador escolhido. Clique no valor mostrado para informar um percentual exato.
Preview por fonte: mostra média e limite na própria condição. Alterar o percentual, a fonte, o filtro, as interfaces, a direção, a variável ou a janela recalcula a prévia. Use o ícone de informação no lado direito para abrir exemplos completos de subida e queda.
Se não houver histórico suficiente para a janela escolhida, a condição fica indisponível e não abre nem encerra incidente sozinha.
Adicionar Condição: adiciona uma linha de comparação.
Condição mínima: se o bloco estiver ligado, é obrigatório ter pelo menos uma linha.
Ação mínima: se o bloco estiver ligado, é obrigatório habilitar pelo menos uma notificação ou ação.

Relatórios dinâmicos e agregação¶

Os relatórios extras de Telegram, Email, Script CSV, Webhook JSON e os blocos dinâmicos de FlowSpec e BGP Announcement usam o mesmo conceito de agregação.

Campo dinâmico	Uso
IP de origem (único)	host exato de origem
IP de destino (único)	host exato de destino
Sub-rede de origem (máscara automática)	agrupa origens por rede automaticamente
Sub-rede de destino (máscara automática)	agrupa destinos por rede automaticamente
Sub-rede IPv4 de origem (máscara fixa)	exige máscara IPv4 manual
Sub-rede IPv4 de destino (máscara fixa)	exige máscara IPv4 manual
Sub-rede IPv6 de origem (máscara fixa)	exige máscara IPv6 manual
Sub-rede IPv6 de destino (máscara fixa)	exige máscara IPv6 manual
Sub-rede dual-stack de origem (máscara fixa)	exige máscara IPv4 e IPv6
Sub-rede dual-stack de destino (máscara fixa)	exige máscara IPv4 e IPv6
Porta de origem	usa serviço/porta de origem
Porta de destino	usa serviço/porta de destino
Protocolo IP	usa protocolo L4
Flags TCP	usa flags TCP

Ordenação: aceita packets, bytes, pps, bps e bpp.
Resultados: nos relatórios extras, o intervalo aceito é de 1 a 1024.
Principais resultados da agregação: em ações dinâmicas, define quantos alvos do topo entram no match. O intervalo aceito é de 1 a 1024.
Máscara IPv4: quando exigida, deve ficar entre 8 e 32.
Máscara IPv6: quando exigida, deve ficar entre 32 e 128.
Modo de envio: nos relatórios extras, aceita Texto, Arquivo CSV, Arquivo JSON e Arquivo TXT.
Regra de combinação 1: não é permitido mais de um campo de origem na mesma agregação.
Regra de combinação 2: não é permitido mais de um campo de destino na mesma agregação.
Regra de combinação 3: não é permitido misturar campos IPv4/máscara e IPv6/máscara no mesmo filtro dinâmico, a menos que o campo seja dual-stack.
Adicionar Lista: reaproveita essa lógica, mas aceita somente um campo alvo por linha e apenas campos de IP/sub-rede com máscara fixa ou IP único.

Validação dos resultados agregados¶

Nos relatórios extras, em cada linha de Adicionar Lista e nos filtros dinâmicos de BGP FlowSpec e BGP Announcement, a validação é opcional e ocorre depois de selecionar o Top. O switch Validar resultados do incidente aplica os três campos na ordem exibida:

Participação mínima: mantém somente os itens que alcançam o percentual configurado em relação ao maior resultado elegível da lista completa. IPv4 e IPv6 usam a mesma referência.
Janela: usa um período completo imediatamente anterior, alinhado ao intervalo de coleta, entre esse intervalo e 30 minutos. Cada chave completa conserva a própria média; IP ou IP + porta nunca é comparado com outra chave.
Aumento mínimo: para uma chave já conhecida, exige o crescimento configurado em relação à própria média anterior. Se a agregação for IP + porta, cada combinação de IP e porta conserva o próprio histórico. Aceita de 1% a 10000%.
Os valores iniciais são 5% de participação, 5 minutos de janela e 100% de aumento. Ajuste-os conforme o perfil do tráfego monitorado.
Participação mínima aceita de 1% a 100%. Clique no percentual mostrado em qualquer barra para informar diretamente um valor exato.
Em blocos novos, a validação já inicia ligada e pode ser desligada pelo usuário. Blocos já salvos sem validação permanecem desligados ao editar.
Uma chave nova não possui aumento percentual. Ela permanece somente quando passa pela participação mínima.
Itens removidos não são substituídos por posições posteriores do ranking.
Se o período anterior não estiver disponível, o alerta principal continua, mas o relatório não apresenta itens como confirmados. Em Adicionar Lista, somente aquela linha fica sem alvos; as demais linhas continuam. FlowSpec e BGP Announcement não adicionam alvos novos e mantêm os que já estavam ativos.
O Top aceita de 1 a 1024 resultados por bloco/ação em cada avaliação de fonte. A validação apenas remove itens e não amplia o Top escolhido.

Exemplo: participação mínima¶

O limite é calculado sobre o maior resultado elegível da lista completa:

limite = valor do líder × participação mínima ÷ 100

Considere o Top IPv4 e IPv6 abaixo:

192.168.10.10 = 100 Mbps
192.168.10.20 = 20 Mbps
[2001:bd8:10::40] = 500 Kbps
participação mínima = 5%

O limite é 100 Mbps × 5% = 5 Mbps. Portanto, 192.168.10.10 e 192.168.10.20 permanecem. [2001:bd8:10::40] é ignorado porque seus 500 Kbps ficam abaixo de 5 Mbps. O RR Flow não cria uma referência menor somente porque o item é IPv6.

Exemplo: comparação com o período anterior¶

O limite histórico é calculado sobre a média anterior da mesma chave:

limite = média anterior × (1 + aumento mínimo ÷ 100)

Com aumento mínimo de 50%, cada chave IPv6 calcula o próprio limite:

Chave completa	Média anterior	Limite	Valor atual	Resultado
`[2001:bd8:10::10]:443`	100 Mbps	150 Mbps	160 Mbps	Mantido
`[2001:bd8:10::20]:443`	40 Mbps	60 Mbps	65 Mbps	Mantido
`[2001:bd8:10::30]:443`	80 Mbps	120 Mbps	100 Mbps	Ignorado

A comparação não usa outro IP do Top. Cada combinação de IP e porta é comparada somente com o próprio histórico. Se uma chave nova passar pela participação mínima, ela permanece mesmo sem histórico; uma chave nova abaixo da participação mínima é ignorada.

Mensagens e variáveis¶

Os campos de mensagem e comando aceitam variáveis como $status, $description, $sources, $bps, $pps, $bytes e $flows.
No Script, também é possível usar $report_csv quando o relatório CSV estiver habilitado.
Use essas variáveis para montar assunto, texto do alerta ou linha de comando com dados do incidente.

Notificações > Telegram¶

Chave do card: ativa ou desativa o envio por Telegram.
IDs do Chat: destinos do alerta.
Mensagem: obrigatório.
Enviar gráfico: anexa gráfico ao incidente.
Tempo do gráfico (min): janela do gráfico enviado.
Cor do gráfico: cor principal do gráfico.
Adicionar Relatório: adiciona relatório extra para o incidente.
Relatórios adicionais (para incidente): esses anexos são gerados na abertura do incidente.
Nome do relatório: obrigatório.
Agregação: obrigatória.
Ordenação: obrigatório.
Resultados: obrigatório.
Modo de envio: define se o relatório sai em texto ou arquivo.

Notificações > Email¶

Chave do card: ativa ou desativa o envio por email.
Destinatários: obrigatório.
Assunto: obrigatório.
Mensagem (HTML permitido): obrigatório.
Enviar gráfico: anexa gráfico.
Tempo do gráfico (min): janela do gráfico enviado.
Cor do gráfico: cor do gráfico.
Adicionar Relatório: adiciona anexo extra do incidente.
Relatórios adicionais (para incidente): seguem a mesma regra de agregação do Telegram.

Ações > BGP Flowspec¶

Chave do card: ativa ou desativa a automação FlowSpec.
Disponibilidade: a UI desabilita o card se alguma fonte escolhida não tiver peer FlowSpec.
Condições (Match): define o recorte do anúncio.
Adicionar Condição: inclui novo componente de match.
Tipos de componente: Filtros Dinâmicos (Agregação), IP de Destino/Máscara, IP de Origem/Máscara, Protocolo, Porta de Destino, Porta de Origem, Flags TCP, Tamanho do Pacote, Fragmento e DSCP.
Filtros Dinâmicos (Agregação): usa os maiores alvos do incidente para montar o match automaticamente.
Validação dos resultados: pode remover a cauda pouco relevante e confirmar o crescimento da mesma chave antes de anunciar; IPv4 e IPv6 dividem o limite total de 1024 resultados.
IP de Destino/Máscara e IP de Origem/Máscara: recebem IPs ou CIDRs fixos.
Protocolo: aceita protocolos IP. Se o protocolo for ICMP ou ICMPv6, a UI libera Tipo ICMP e Código ICMP.
Porta de Destino e Porta de Origem: aceitam operadores =, !=, >, >=, <, <= e Faixa.
TCP Flags: aceita SYN, ACK, FIN, RST, PSH e URG.
Flags TCP > Modo: AND exige conjunto completo; OR aceita qualquer flag marcada.
Tamanho do Pacote: aceita comparação simples ou faixa.
Fragmento: aceita Não é um fragmento, Bit Dont Fragment (DF) definido, É um fragmento, Primeiro fragmento e Último fragmento.
DSCP: aceita valores e classes conhecidas, como CS0, AFxx, EF, CS6 e CS7.
Ação principal: só uma pode ficar marcada.
Aceitar: aceita o tráfego casado.
Descartar (Drop): descarta o tráfego casado.
Limitar taxa: aplica limitação.
Taxa máxima (bps): obrigatório quando a ação é Limitar taxa.
Comunidade: anexa communities ao anúncio.
Redirecionar: ativa redirecionamento quando a política do peer suporta esse tratamento.
Remarcar DSCP: altera DSCP do tráfego casado.
Quando ativar (incidente): delay para anunciar.
Quando resolver (resolvido): delay para retirar.
Verificação recorrente durante o incidente: continua descobrindo novos alvos dinâmicos enquanto o incidente estiver aberto.
Continuar notificando durante o incidente: continua disparando Telegram e Email quando novos alvos forem adicionados.
Recorrência e continuar notificando: use quando quiser que a regra continue descobrindo novos alvos e enviando atualizações enquanto o incidente estiver ativo. Em match estático, essas opções não têm efeito prático.
Ignorar lista branca: define como a ação FlowSpec da regra trata a whitelist durante o incidente.
Habilitar exceção de whitelist para esta ação: libera o controle de exceção.
Ignorar todas as entradas da whitelist: a ação é aplicada sem bloqueio de whitelist.
Ignorar apenas grupos selecionados da whitelist: a ação ignora somente os grupos escolhidos; os demais continuam sendo respeitados.

Ações > BGP Announcement¶

Chave do card: ativa ou desativa o anúncio BGP unicast.
Disponibilidade: a tela desabilita o card se alguma fonte escolhida não tiver peer BGP.
Condições (Match): nesta ação há um único bloco lógico.
Prefixos IP (Estático): usa lista fixa de prefixos.
Filtros Dinâmicos (Agregação): monta prefixos dinamicamente a partir do incidente.
Validação dos resultados: aplica os mesmos filtros de relevância e histórico antes de anunciar; IPv4 e IPv6 dividem o limite total de 1024 prefixos.
Campos dinâmicos aceitos: somente campos IP/sub-rede de origem e destino. Não usa porta, protocolo ou flags.
Comunidade: ativa communities padrão.
Valores da comunidade: aceita asn:nn e communities conhecidas como no-export, no-advertise, local-as e no-peer.
Aditivo: adiciona a community sem substituir o que já existir.
Comunidade estendida: ativa communities estendidas.
Tipo: aceita Route Target (RT) ou Site-of-Origin (SoO).
Valores da comunidade estendida: aceita asn:nn ou ipv4:nn.
Comunidade grande: ativa large communities.
Valores da comunidade grande: aceita ga:ld1:ld2.
IP Next-hop: força next-hop explícito.
IPv4 Next-hop e IPv6 Next-hop: aceitam endereços válidos da família correspondente.
Ação mínima: é obrigatório habilitar pelo menos um atributo de anúncio.
Quando ativar (incidente): delay para anunciar.
Quando resolver (resolvido): delay para retirar.
Verificação recorrente durante o incidente: continua descobrindo novos prefixos dinâmicos enquanto o incidente estiver aberto.
Continuar notificando durante o incidente: reaproveita Telegram e Email quando novos alvos forem adicionados.
Recorrência e continuar notificando: use quando quiser que a regra continue descobrindo novos prefixos e enviando atualizações enquanto o incidente estiver ativo. Em match estático, essas opções não têm efeito prático.
Ignorar lista branca: define como a ação de anúncio BGP trata a whitelist durante o incidente.
Habilitar exceção de whitelist para esta ação: libera o controle de exceção.
Ignorar todas as entradas da whitelist: os anúncios são aplicados sem bloqueio de whitelist.
Ignorar apenas grupos selecionados da whitelist: o anúncio ignora somente os grupos escolhidos; os demais continuam sendo respeitados.

A ordem em que as communities são informadas não muda o anúncio. O RR Flow também desconsidera valores repetidos ao conferir o resultado no roteador. A opção Aditivo continua fazendo diferença, e qualquer community realmente a mais ou a menos continua sendo tratada como divergência.

Se o RR Flow for reiniciado durante um anúncio ou uma retirada, a ação pendente será retomada automaticamente. Alterar communities, next-hop ou outra opção do anúncio inicia uma nova sincronização, mesmo que os prefixos continuem iguais. Esse comportamento se aplica ao BGP unicast e não altera as regras FlowSpec.

Ações > Adicionar Lista¶

Chave do card: ativa ou desativa a ação de adicionar alvos em uma lista.
Objetivo: pegar IPs ou prefixos descobertos no incidente e gravar esses alvos em um grupo de Blacklist ou Whitelist.
Escopo: a ação trabalha por incidente e por fonte, usando os resultados agregados da própria regra.
Adicionar destino: cria uma nova linha de envio para lista.
Várias linhas: é possível configurar mais de uma linha na mesma regra, usando listas diferentes ou campos alvo diferentes.
Tipo de lista: define se os alvos irão para Blacklist ou Whitelist.
Lista de destino: grupo que receberá os novos alvos.
Campo alvo: define de onde os alvos serão extraídos.
Campos aceitos:
- IP de origem (único)
- IP de destino (único)
- Sub-rede IPv4 de origem (máscara fixa)
- Sub-rede IPv4 de destino (máscara fixa)
- Sub-rede IPv6 de origem (máscara fixa)
- Sub-rede IPv6 de destino (máscara fixa)
- Sub-rede dual-stack de origem (máscara fixa)
- Sub-rede dual-stack de destino (máscara fixa)
Ordenação: define como o topo dos resultados será selecionado antes de gravar na lista.
Resultados: quantidade máxima de itens considerados em cada linha, de 1 a 1024.
Um campo alvo por linha: se quiser estratégias diferentes, crie mais de uma linha.
Sem timing de incidente/resolução: essa ação não tem bloco separado de ativação e resolução; ela atua apenas quando a regra entra em incidente.
Verificação recorrente durante o incidente: continua procurando novos alvos enquanto o incidente permanecer aberto.
Deduplicação:
- se o IP/prefixo já existir exatamente na lista, ele é ignorado;
- se já estiver coberto por um prefixo mais amplo na lista, ele é ignorado;
- se o novo alvo for mais amplo do que prefixos já existentes na lista, ele também é ignorado.
Sem remoção automática: a ação apenas adiciona. Ela não remove entradas quando o incidente é resolvido.
Limite por avaliação: somando as linhas da ação, no máximo 1024 alvos únicos são considerados por fonte, na ordem configurada.
Limite da lista: se a blacklist ou whitelist atingir o limite de prefixos, novos alvos deixam de ser adicionados nessa lista.
Aviso de limite: quando isso acontecer, o sistema gera um alerta na central de notificações informando qual regra atingiu o limite de qual lista.

Ações > Script¶

Chave do card: ativa ou desativa a execução local.
Escopo: o comando roda no próprio servidor do RR Flow.
Relatório CSV: habilita geração de relatório CSV e libera a variável $report_csv.
Relatório CSV > Agregação: obrigatória quando o CSV estiver habilitado.
Relatório CSV > Ordenação: obrigatório quando o CSV estiver habilitado.
Relatório CSV > Resultados: quantidade de linhas do CSV.
Quando ativar (incidente): comando executado na abertura do incidente.
Quando resolver (resolvido): comando executado na resolução.
Atraso (segundos): atraso por fase.
Comandos por linha: um comando por linha.
Obrigatório: se o card estiver ativo, é obrigatório ter comando de incidente e de resolução.
Exemplo da UI: /path/script.sh $status $sources $report_csv.

Ações > SSH¶

Chave do card: ativa ou desativa o envio por SSH.
Escopo: envia comandos para cada fonte selecionada que tenha host, usuário e porta SSH configurados.
Quando ativar (incidente): comandos da abertura.
Quando resolver (resolvido): comandos da resolução.
Atraso (segundos): atraso por fase.
Comandos por linha: um comando por linha.
Modo: define a forma de execução.
Shell (Padrão): abre shell remoto e envia os comandos na sessão.
Exec: executa comando a comando via exec.
Obrigatório: se o card estiver ativo, é obrigatório ter comandos de incidente e de resolução.

Ações > Webhook¶

Chave do card: ativa ou desativa a chamada HTTP.
URL do Endpoint em Quando ativar (incidente): obrigatória.
URL do Endpoint em Quando resolver (resolvido): obrigatória.
Atraso (segundos): atraso por fase.
Método: aceita GET e POST.
Autenticação: aceita Nenhum, Bearer e HMAC.
Bearer: exige token.
HMAC: exige segredo.
Cabeçalhos personalizados: um por linha, no formato chave: valor.
Relatório JSON: inclui relatório agregado no payload.
Relatório JSON > Agregação: obrigatória quando o relatório JSON estiver ligado.
Relatório JSON > Ordenação: obrigatório quando o relatório JSON estiver ligado.
Relatório JSON > Resultados: quantidade máxima de linhas agregadas.

Salvar Regra: grava a regra.
Cancelar: fecha o modal sem salvar.
Excluir: remove a regra existente.
Clonar: duplica a regra atual para criação de uma nova.

Validação¶

A regra deve aparecer na listagem após Salvar Regra.
As fontes e interfaces selecionadas devem permanecer na edição seguinte.
O badge do card deve mostrar Incidente, Resfriamento, Resolvido ou Desconhecido de forma coerente com o tráfego real.
O botão de histórico deve abrir gráfico com a retenção configurada.
Se Telegram ou Email estiver ativo, os badges correspondentes devem aparecer no card.
Se BGP Flowspec, BGP Announcement, Adicionar Lista, Script, SSH ou Webhook estiver ativo, o badge correspondente deve aparecer no card.
Se a regra abrir incidente, valide o efeito da ação na tela correspondente.
BGP Flowspec: conferir em BGP > Tabela Flowspec.
BGP Announcement: conferir em BGP > Tabela Unicast.
Adicionar Lista: conferir se os novos alvos apareceram no grupo selecionado em Mitigação > Blacklist ou Mitigação > Whitelist.
Adicionar Lista com recorrência: se o incidente continuar ativo, validar se apenas alvos novos entram na lista.
Se a lista atingir o limite, conferir o aviso correspondente na central de notificações.
SSH: conferir retorno no equipamento de destino.
Webhook: conferir recebimento no endpoint externo.

Problemas comuns¶

Regra não salva: revisar obrigatórios do bloco ativo. A UI bloqueia, por exemplo, Telegram sem mensagem, Email sem assunto/corpo, SSH sem comandos e Webhook sem URLs.
Regra salva mas nunca dispara: revisar se o bloco Condições de gatilho ficou desligado ou vazio.
Regra dispara na direção errada: revisar Direção e o filtro usado.
Resultado inesperado na agregação: revisar combinação de campos de origem/destino e máscaras IPv4/IPv6.
Interfaces não aparecem: validar SNMP e leitura de interfaces da fonte.
BGP Flowspec indisponível: alguma fonte selecionada está sem peer FlowSpec.
BGP Announcement indisponível: alguma fonte selecionada está sem peer BGP.
Adicionar Lista sem efeito: revisar se a lista de destino foi escolhida, se o campo alvo faz sentido para o incidente e se os alvos já não existem na lista ou não estão cobertos por prefixo mais amplo.
Lista de destino não aparece no card Adicionar Lista: revisar se o grupo já existe em Mitigação > Blacklist ou Mitigação > Whitelist.
Aviso de limite na central de notificações: a blacklist ou whitelist escolhida atingiu o limite de prefixos e novos alvos deixaram de ser adicionados até que exista espaço.
Card em Resfriamento por muito tempo: revisar delays de resolução configurados nas ações.
Alteração em regra que já está em incidente: desabilitar primeiro, limpar ações ativas e só então reabilitar.
Falha ao desabilitar ou excluir: pode haver ação ativa ainda em processo de retirada.
Telegram sem entrega: revisar chats do card, chat padrão global e token do bot.
Webhook com erro de autenticação: revisar tipo de auth, token/segredo e cabeçalhos.

FlowSpec Estático¶

Tela: /admin/flowspec

Objetivo¶

Criar regras estáticas de FlowSpec para tratar tráfego específico com base em IP, protocolo, porta, flags, DSCP e outros critérios de match.

Pré-requisitos¶

BGP global configurado.
Peers compatíveis com FlowSpec configurados nas fontes.
Se usar Blacklist como condição, o grupo já deve existir em Mitigação > Blacklist.

Como usar¶

Acesse Mitigação > Flowspec Estático.
Use Pesquisar para localizar uma regra existente ou clique em Nova Regra.
Preencha os Metadados da regra.
Em Condições (Match), adicione o conjunto de critérios que define o tráfego que será tratado.
Em Ação, escolha o que fazer com o tráfego casado.
Se necessário, complemente a ação com Comunidade, Redirecionar e Remarcar DSCP.
Se a regra só deve valer em períodos específicos, configure Agendamento.
Clique em Salvar.
Revise o card criado e confirme o anúncio em BGP > Tabela Flowspec.

Campos e opções¶

Listagem da tela¶

Pesquisar: filtra os cards pelo nome da regra.
Nova Regra: abre o modal de cadastro.
Card da regra: mostra nome, descrição, gravidade, quantidade de condições, ação principal e janela de agenda.
Condições: quantidade de condições configuradas na regra.
Ação: ação principal da regra, como Aceitar, Descartar ou Limitar taxa.
Taxa: aparece quando a regra usa limitação de taxa.
Agendamento: aparece quando a regra usa agendamento.
Ativo: regra habilitada e válida no momento atual.
Agendado: regra habilitada, mas aguardando a janela programada.
Aguardando sincronização: a regra está salva e aguarda a ativação global do FlowSpec; não é necessário recriar a regra.
Expirado: regra cuja janela programada já terminou.
Inativo: regra desabilitada.
Clique no card para abrir a regra em edição.

Metadados da regra¶

Nome da regra: obrigatório. É o identificador exibido na listagem. Use um nome único e fácil de localizar.
Descrição: opcional. Serve para registrar o motivo da regra ou observações operacionais.
Gravidade: escala visual de 1 a 5 para destacar a importância da regra na listagem.
Habilitado: define se a regra pode entrar em operação. Regra desabilitada fica como Inativo.

Condições (Match)¶

Adicionar Condição: cria uma nova linha de match.
Condição mínima: a regra só salva se houver pelo menos uma condição.
Todos os campos visíveis da condição: precisam estar preenchidos.
Tipo de componente: define qual atributo do tráfego será analisado.

Tipos de condição disponíveis:

IP de destino / máscara: casa o tráfego destinado a um ou mais IPs ou prefixos CIDR.
IP de origem / máscara: casa o tráfego vindo de um ou mais IPs ou prefixos CIDR.
Blacklist de origem: usa um grupo de blacklist já cadastrado para casar endereços de origem.
Blacklist de destino: usa um grupo de blacklist já cadastrado para casar endereços de destino.
Protocolo: permite escolher um ou mais protocolos IP, como TCP, UDP, ICMP e outros.
Porta de destino: filtra pelo serviço de destino.
Porta de origem: filtra pela porta de origem.
Flags TCP: filtra por combinação de SYN, ACK, FIN, RST, PSH e URG.
Tamanho do pacote: filtra por tamanho em bytes.
DSCP: filtra por marcação DSCP.
Fragmento: filtra por estado de fragmentação do pacote.

Detalhes dos principais campos:

Endereços IP / CIDR: aceita IP individual ou prefixo CIDR. Use um item por entrada.
Grupo de blacklist: lista os grupos compatíveis com origem ou destino, conforme o tipo selecionado.
Protocolos: aceita múltiplos protocolos na mesma condição.
Tipo ICMP e Código ICMP: aparecem quando o protocolo selecionado for ICMP ou ICMPv6. Use quando precisar restringir a regra a um tipo específico de mensagem ICMP.
Operador em portas: define como o valor será comparado.
Igual (=): casa exatamente a porta informada.
Diferente / Exceto (!=): casa qualquer porta, exceto as informadas.
Maior que (>): casa portas acima do valor informado.
Menor que (<): casa portas abaixo do valor informado.
Intervalo: casa um intervalo entre porta inicial e porta final.
Modo nas Flags TCP:
- AND: exige que o pacote tenha todas as flags marcadas.
- OR: basta que o pacote tenha qualquer uma das flags marcadas.
Valores DSCP: aceita valor numérico de 0 a 63 ou classes conhecidas, quando disponíveis.
Tipo de fragmento:
- Não é um fragmento: pacote não fragmentado.
- Bit Dont Fragment (DF) definido: pacote com indicação de não fragmentar.
- É um fragmento: pacote fragmentado.
- Primeiro fragmento: primeiro fragmento.
- Último fragmento: último fragmento. Combinação prática:
Use várias condições quando quiser deixar o match mais específico.
Exemplo: IP de destino + Protocolo TCP + Porta de destino 80/443.
Regra muito ampla tende a afetar mais tráfego do que o necessário.

Ação¶

Aceitar: permite o tráfego que casar no match.
Descartar (Drop): descarta o tráfego que casar no match.
Limitar taxa: permite o tráfego, mas com limitação.
Taxa máxima (bps): obrigatório quando a ação for Limitar taxa. Informe o valor em bits por segundo.
Comunidade: adiciona uma community à regra anunciada.
Comunidade aceita um único valor nesta tela.
Redirecionar: permite informar communities ou IPs para redirecionamento do tráfego.
Redirecionar - Comunidades ou IP: obrigatório quando Redirecionar estiver ligado.
Remarcar DSCP: altera a marcação DSCP do tráfego casado.
Valores DSCP na ação: obrigatório quando Remarcar DSCP estiver ligado.

Leitura prática das ações:

Use Aceitar quando quiser criar uma exceção explícita.
Use Descartar quando a intenção for bloquear o tráfego casado.
Use Limitar taxa quando a intenção for reduzir impacto sem derrubar totalmente o tráfego.
Use Comunidade, Redirecionar e Remarcar DSCP apenas quando houver política operacional definida para isso.

Ignorar lista branca¶

Habilitar exceção de whitelist para esta regra: libera o bloco de exceção.
Ignorar todas as entradas da whitelist: a regra é aplicada sem bloqueio de whitelist.
Ignorar apenas grupos selecionados da whitelist: a regra ignora somente os grupos selecionados; os demais continuam sendo respeitados.
Se o bloco ficar desligado, o comportamento padrão é respeitar toda a whitelist.

Agendamento¶

Habilitar agendamento: liga a janela programada da regra.
Todas as datas: mantém a regra sem limite de calendário.
Todos os dias: mantém a regra válida em todos os dias da semana.
Data de início e Data de término: obrigatórias quando Todas as datas estiver desligado.
Hora de início e Hora de término: obrigatórias quando o agendamento estiver ativo.
Dias da semana: obrigatórios quando Todos os dias estiver desligado.
Use agendamento quando a mitigação só deve existir em janelas específicas, como eventos recorrentes ou janelas de manutenção.
Se a regra estiver habilitada, mas fora da janela atual, ela aparecerá como Agendado.
Se o período configurado já tiver encerrado, ela aparecerá como Expirado.

Botões do modal¶

Salvar: grava a regra.
Cancelar: fecha o modal sem salvar.
Excluir: remove a regra existente. Esse botão só aparece ao editar uma regra já criada.

Validação¶

A regra deve aparecer na listagem após Salvar.
O card deve mostrar a quantidade correta de Condições.
O card deve mostrar a Ação correta.
Se houver limitação, o badge Taxa deve aparecer.
Se houver agenda, o badge Agendamento deve aparecer.
O estado do card deve bater com a agenda e com o campo Habilitado.
O anúncio correspondente deve aparecer em Rotas BGP FlowSpec quando a regra estiver ativa.

Problemas comuns¶

Regra não aparece ativa: revisar Habilitado e Agendamento.
Regra não salva: revisar Nome da regra, existência de pelo menos uma condição e obrigatórios da ação.
Match sem efeito: revisar se a condição escolhida corresponde ao tráfego real e se o critério não ficou amplo ou restritivo demais.
Erro em portas: revisar Operador, porta inicial e porta final.
Blacklist não aparece na condição: revisar se o grupo já existe em Mitigação > Blacklist e se ele é compatível com origem ou destino.
Limitar taxa sem salvar: revisar Taxa máxima (bps).
Redirecionar sem salvar ou sem efeito: revisar se a lista foi preenchida corretamente.
Comunidade não salva: revisar se foi informado apenas um valor.
Remarcar DSCP não salva: revisar se foi informado ao menos um valor DSCP.
Regra não produz rota: revisar BGP global e peers FlowSpec das fontes envolvidas.
Aguardando sincronização por tempo prolongado: aguarde a ativação global; se não concluir, informe ao suporte o horário e o código mostrado na tela.

BGP unicast Estático¶

Tela: /admin/bgp-unicast-static

Objetivo¶

Criar regras estáticas de anúncio BGP unicast com match por prefixos definidos manualmente ou por grupos de Blacklist, aplicando atributos como communities, next-hop e agendamento.

Pré-requisitos¶

BGP global configurado.
Fontes com peers BGP compatíveis com os prefixos que serão anunciados.

Proteção ao alterar uma fonte usada pelo BGP¶

Uma fonte vinculada ao BGP unicast Estático, ao BGP Announcement da Análise de Tráfego ou ao BGP Escudo não pode ser renomeada, desligada, ter IPv4/IPv6 desabilitado nem ser excluída enquanto a configuração ou seu estado BGP ainda a usa.
Para fazer uma dessas alterações, primeiro remova a fonte das regras, aguarde a sincronização/limpeza terminar e só então volte a Gerenciar Fontes de Fluxo.
Se a verificação do estado não puder ser feita com segurança, nenhuma alteração sensível é salva. Outros campos da fonte continuam editáveis.

Como usar¶

Acesse Mitigação > Unicast Estático.
Use Pesquisar para localizar uma regra existente ou clique em Nova Regra.
Preencha os Metadados da regra.
Em Condições (Match), escolha o tipo de match:
- Prefixos estáticos para informar os prefixos manualmente.
- Blacklist para anunciar automaticamente os prefixos do grupo selecionado.
Em Ação, habilite os atributos BGP que deseja aplicar no anúncio.
Se necessário, configure Agendamento.
Clique em Salvar. A regra é gravada e a sincronização começa em segundo plano; não é necessário manter o modal aberto.
Acompanhe no card o badge de sincronização até chegar a Sincronizado.
Confirme o anúncio em BGP > Tabela Unicast e, quando necessário, também no peer remoto.

Campos e opções¶

Listagem da tela¶

Pesquisar: filtra os cards pelo nome da regra.
Nova Regra: abre o modal de cadastro.
Card da regra: mostra nome, descrição, gravidade, quantidade de Fontes, quantidade de Prefixos, atributos ligados e agenda.
Fontes: quantidade de fontes incluídas na regra.
Prefixos: quantidade de prefixos efetivos da regra (informados manualmente ou resolvidos via blacklist).
Blacklist: badge exibida quando a regra usa match por blacklist.
Badges de atributo:
- Comunidade
- Comunidade estendida
- Comunidade grande
- Next-hop
Agendamento: aparece quando a regra usa agendamento.
Ativo: regra habilitada e válida no momento.
Agendado: regra habilitada, mas aguardando a janela programada.
Expirado: regra com janela já encerrada.
Inativo: regra desabilitada.
O badge administrativo acima mostra se a regra está ativa, inativa ou depende do agendamento. Um segundo badge mostra o andamento da sincronização:
- Pendente: alteração salva e ainda não iniciada.
- Sincronizando: aplicação da alteração em andamento.
- Verificando: o sistema está confirmando o resultado.
- Sincronizado: a última alteração foi concluída neste servidor.
- Tentando novamente: ocorreu uma falha temporária e o sistema fará uma nova tentativa automaticamente.
- Falhou: não foi possível confirmar a conclusão; leia a mensagem apresentada e confira Rotas BGP unicast antes de considerar o anúncio ou a retirada concluído.
Durante exclusão, a regra sai da lista e a página mostra Limpeza em andamento. Se a retirada não for confirmada, permanece o alerta Falha na limpeza em vez de ocultar a pendência. Depois de conferir a mensagem apresentada e o estado da rota, use Tentar limpeza novamente.
A parte inferior do card mostra algumas das fontes vinculadas à regra.
Clique no card para editar a regra.

Metadados da regra¶

Nome da regra: obrigatório. É o nome exibido na listagem. Use um nome único.
Descrição: opcional. Serve para observações operacionais.
Fontes: obrigatório. Selecione uma ou mais fontes às quais a regra será aplicada.
O processamento é individual por fonte.
Gravidade: escala visual de 1 a 5 para destacar a regra na listagem.
Habilitado: define se a regra pode entrar em operação.

Condições (Match)¶

Tipo de match:
- Prefixos estáticos: você informa os prefixos IPv4/IPv6 manualmente.
- Blacklist: você seleciona um grupo e o sistema usa automaticamente os prefixos desse grupo. Prefixos estáticos
Obrigatório quando esse tipo estiver selecionado.
Lista de prefixos IPv4 e/ou IPv6 em formato CIDR.
A validação exige ao menos um prefixo válido.
Prefixos repetidos são desconsiderados.

Blacklist - Obrigatório quando esse tipo estiver selecionado. - Mostra grupos compatíveis com anúncio unicast. - A validação exige um grupo válido e com prefixos. - Sempre que os prefixos desse grupo mudarem, os anúncios unicast vinculados à regra são atualizados automaticamente.

Ação¶

Nesta tela, a regra só salva se pelo menos uma ação BGP estiver habilitada.

Comunidade

Liga o envio de communities padrão.
Valores da comunidade: aceita uma ou mais communities.
Formatos aceitos:
- asn:nn
- communities conhecidas como no-export, no-advertise, local-as e no-peer
Aditivo: adiciona a community sem substituir comunidades já existentes.

Comunidade estendida

Liga o envio de communities estendidas.
Tipo:
- Route Target (RT)
- Site-of-Origin (SoO)
Valores de comunidade estendida: aceita um ou mais valores.
Formatos aceitos:
- asn:nn
- ipv4:nn
Use esse bloco quando a política de roteamento depender de RT ou SoO.

Comunidade grande

Liga o envio de large communities.
Valores de comunidade grande: aceita um ou mais valores.
Formato aceito: asn:aa:bb
Aditivo: adiciona a large community sem substituir valores já existentes.

IP Next-hop

Liga a definição manual de next-hop.
IPv4 Next-hop: next-hop para anúncios IPv4.
IPv6 Next-hop: next-hop para anúncios IPv6.
Ao ligar esse bloco, é obrigatório informar pelo menos um dos dois campos.
Use o next-hop manual somente quando houver necessidade operacional clara.

Ignorar lista branca¶

Habilitar exceção de whitelist para esta regra: libera o bloco de exceção.
Ignorar todas as entradas da whitelist: o anúncio é aplicado sem bloqueio de whitelist.
Ignorar apenas grupos selecionados da whitelist: o anúncio ignora somente os grupos selecionados; os demais continuam sendo respeitados.
Se o bloco ficar desligado, o comportamento padrão é respeitar toda a whitelist.

Agendamento¶

Habilitar agendamento: liga a janela programada da regra.
Todas as datas: mantém a regra sem limite por calendário.
Todos os dias: mantém a regra válida em todos os dias da semana.
Data de início e Data de término: obrigatórias quando Todas as datas estiver desligado.
Hora de início e Hora de término: obrigatórias quando o agendamento estiver ativo.
Dias da semana: obrigatórios quando Todos os dias estiver desligado.
Regra habilitada fora da janela atual aparece como Agendado.
Regra com janela encerrada aparece como Expirado.

Botões do modal¶

Salvar: grava a regra.
Cancelar: fecha o modal sem salvar.
Excluir: remove a regra existente. Só aparece ao editar uma regra já criada.

Validação¶

A regra deve aparecer na listagem após Salvar.
As quantidades de Fontes e Prefixos exibidas no card devem bater com o cadastro.
Os atributos habilitados devem aparecer como badges no card.
O estado do card deve bater com Habilitado e com o Agendamento.
O badge no canto inferior direito mostra o andamento da sincronização. Aguarde Sincronizado, que indica a conclusão da última alteração neste servidor.
Esse estado não garante, sozinho, que o peer remoto recebeu a rota. Confirme o anúncio em Rotas BGP unicast e, quando necessário, também no peer remoto.
Os anúncios configurados devem aparecer em Rotas BGP unicast quando a regra estiver ativa e sincronizada.
Em regras com match por Blacklist, alterações no grupo devem refletir automaticamente nos anúncios ativos.
Se houver um reinício durante um anúncio ou uma retirada, acompanhe o badge até a sincronização ser concluída novamente.

Problemas comuns¶

Regra não salva: revisar Nome da regra, Fontes, condição de match e se ao menos uma ação foi habilitada.
Nome duplicado: a tela não aceita outra regra com o mesmo nome.
Prefixo não aparece em rota: revisar fonte, peer BGP, família do prefixo e IP Next-hop quando configurado.
Blacklist não aparece no match: revisar se o grupo é compatível e possui prefixos válidos.
Comunidade rejeitada: revisar o formato asn:nn ou use apenas communities conhecidas aceitas pela tela.
Comunidade estendida rejeitada: revisar o tipo e o formato asn:nn ou ipv4:nn.
Comunidade grande rejeitada: revisar o formato asn:aa:bb.
Next-hop inválido: revisar se o campo IPv4 recebeu IPv4 e o campo IPv6 recebeu IPv6.
Regra aparece como Agendado ou Expirado: revisar Agendamento.
Badge em Tentando novamente: aguarde; o sistema fará uma nova tentativa automaticamente.
Badge em Falhou: não recrie a regra. Leia a mensagem apresentada e confira Rotas BGP unicast. Se não for possível determinar o estado do anúncio, solicite a verificação do administrador antes de tentar novamente.
Falha na limpeza após excluir: a regra não está mais cadastrada, mas a retirada ainda não foi confirmada. Confira se a rota ainda aparece em Rotas BGP unicast e, quando aplicável, no peer remoto. Depois dessa conferência, use Tentar limpeza novamente.
Fonte não pode ser alterada ou excluída: remova-a das regras de BGP unicast Estático, Análise de Tráfego e BGP Escudo e aguarde a limpeza BGP pendente. Essa proteção evita alterações enquanto ainda existem anúncios vinculados à fonte.

BGP Escudo¶

Tela: /admin/bgp-shield

Objetivo¶

Consumir listas de proteção fornecidas pelo RR Flow e anunciar seus prefixos por BGP somente para as Fontes escolhidas, usando communities ou next-hop definidos pelo operador.

Pré-requisitos¶

BGP Escudo habilitado no botão Configurações desta página.
Pelo menos uma Fonte ativa com família BGP compatível.
Permissão de acesso ao BGP Escudo.

Como usar¶

Acesse Mitigação > BGP Escudo.
Para conhecer o conteúdo antes de ativar, clique em Ver prefixos. A consulta mostra bandeira, IP/prefixo, ASN e nome do ASN, com busca e paginação. Pesquisar um IP também encontra uma rede maior que o contenha.
No card da lista desejada, clique em Configurar e ativar. O RR Flow baixa e valida essa lista antes de abrir o formulário, sem anunciar rotas nesse momento.
Selecione uma ou mais Fontes.
Opcionalmente, habilite a Ação adicional - (BGP FlowSpec), escolha os limites IPv4/IPv6 e informe a Community do FlowSpec. Essa Community será a mesma para todas as Fontes selecionadas; em branco, nenhuma Community personalizada será enviada nas regras FlowSpec. Essa proteção exige o FlowSpec global ativo e pelo menos uma Fonte com a família FlowSpec correspondente habilitada.
Habilite pelo menos uma ação Unicast: Community, Extended community, Large community ou IP Next-hop.
Se necessário, habilite a exceção de whitelist e escolha se a lista deve ignorar todas as entradas ou somente grupos selecionados.
Confira o aviso de capacidade e clique em Salvar e ativar.
Acompanhe o estado do card até Ativa e confirmada.

A primeira ativação sempre exige essa configuração. Depois de desativar uma lista, o cadastro é preservado. O botão Ativar novamente pede confirmação e revalida as mesmas Fontes, ações e exceções antes de anunciar. Durante essa reativação, as rotas continuam retiradas; uma cópia antiga da lista não volta a ser anunciada enquanto a atualização atual não for validada.

Cards e opções¶

Rotas: quantidade atual de prefixos informada pela lista.
Ver prefixos: abre o conteúdo paginado da lista mesmo sem ativá-la. Se a cópia local ainda não estiver atual, o RR Flow baixa somente os dados para consulta, sem anunciar ou retirar rotas. Em prefixos maiores, bandeira e ASN correspondem ao primeiro endereço do prefixo.
Atualizar catálogo: procura listas novas ou removidas e atualiza os cards. Não baixa os endereços das listas já configuradas nem altera anúncios BGP.
Configurar: altera Fontes, ações e exceção de whitelist. Em lista ativa, a tela pede confirmação e inicia uma nova sincronização.
Atualizar agora: verifica imediatamente somente a lista ativa escolhida.
Desativar: retira os anúncios da lista após confirmação, sem apagar sua configuração.
Aplicar valores recomendados: o ícone de estrela ao lado de Habilitar BGP Escudo preenche intervalo de 1 hora, limite de 50.000 rotas por lista individual e retirada após 48 horas. Confira os valores e salve para aplicá-los; o ícone não altera sozinho uma configuração existente.
Intervalo de atualização das listas: aceita de 1 a 24 horas; o padrão é 1 hora. Alterar o intervalo não força a atualização imediata de todas as listas.
Número máximo de rotas aceito por lista: aceita de 1 a 100.000; o padrão é 50.000. Uma lista acima do valor configurado é rejeitada antes de alterar os anúncios válidos existentes.
Retirar listas sem atualização válida após: aceita de 24 a 168 horas; o padrão é 48 horas e nunca pode ser menor que o intervalo de atualização.
Última atualização válida / Próxima verificação: mostram em cada lista o horário e a idade do último conteúdo validado, além do próximo ciclo previsto.
Community do FlowSpec: ação opcional exclusiva daquela lista. Se duas listas incluírem o mesmo prefixo, o anúncio resultante levará as Communities configuradas nas duas listas. Em branco, nenhuma Community personalizada é enviada ao peer.
Limites IPv4 e IPv6 do FlowSpec: podem ser definidos mesmo quando a lista ainda não possui endereços de uma das famílias. O limite fica salvo e passa a ser usado automaticamente caso uma atualização futura adicione esses prefixos. IPv4 aceita de /8 a /24; IPv6 aceita de /16 a /48.
Rotas IPv4/IPv6 (FlowSpec): mostra quantas rotas da lista atual atendem às máscaras selecionadas.

O aviso de capacidade é preventivo e aparece quando os recursos do servidor podem ser insuficientes para o volume projetado. Revise-o antes de ativar a lista.

Estados¶

Inativa: a lista não está anunciando proteção.
Ativando proteção: a lista está sendo preparada ou aplicada.
Desativando proteção: os anúncios estão sendo retirados.
Ativa e confirmada: a ação indicada no card foi aplicada e confirmada neste servidor.
Não utilizado: a ação FlowSpec não foi habilitada para essa lista.
Erro de proteção: a aplicação não pôde ser confirmada. Anote o código de suporte exibido no card.

Problemas comuns¶

Não permite salvar: confira se há pelo menos uma Fonte compatível e uma ação habilitada.
IPv4 ou IPv6 não anuncia: confira se a Fonte possui a família BGP correspondente e se o next-hop informado pertence à mesma família.
BGP Escudo desligado: os cards ficam bloqueados e nenhuma lista anuncia. Abra Configurações, habilite o recurso e depois reative individualmente apenas as listas desejadas.
Ativando proteção por muito tempo: aguarde a tentativa em andamento e use Atualizar agora antes de recriar a configuração.
Erro de proteção: confira o código de suporte exibido no card e valide as sessões e famílias BGP antes de solicitar suporte.
Fonte não pode ser alterada ou excluída: desative ou remova essa Fonte das configurações BGP que ainda a utilizam e aguarde a retirada terminar.

Rotas BGP FlowSpec¶

Tela: /admin/flowspec-bgp-routes

Objetivo¶

Inspecionar as rotas FlowSpec presentes na tabela BGP atual.

Pré-requisitos¶

FlowSpec global habilitado.
Existência de rotas estáticas ou dinâmicas anunciadas.

Como usar¶

Acesse BGP > Tabela Flowspec.
Use o campo de busca para localizar uma rota por IP, prefixo, par ou correspondência.
Ative Mostrar origem da regra quando precisar enxergar a regra que gerou o anúncio.
Ative Mostrar rotas ignoradas quando quiser incluir rotas descartadas da visualização normal.
Ative Traduzir communities quando precisar ver a interpretação das communities cadastradas.
Ajuste Por página e AFI conforme o recorte desejado.
Clique em Atualizar para recarregar a tabela.
Para conferir as sessões, abra BGP > Peers sem sair do contexto de rotas.

Campos e opções¶

Busca: filtra por IP, prefixo, par ou correspondência.
Mostrar origem da regra: exibe a origem da rota quando disponível.
Mostrar rotas ignoradas: inclui rotas ignoradas no resultado.
Traduzir communities: converte communities para a forma interpretada pelo cadastro local.
Por página: quantidade de linhas exibidas na tabela.
AFI: filtra por IPv4, IPv6 ou ambos.
Atualizar: recarrega a leitura da tabela BGP.
Tabela de rotas:
- Rota: NLRI FlowSpec anunciada.
- Corresponder: descrição do match associado.
- Comunidade: communities padrão da rota.
- Comunidade estendida: extended communities associadas.
- Data: referência temporal da rota.
- Ações: ações disponíveis para a entrada exibida.

Validação¶

A tabela deve reagir à busca, ao filtro de AFI e às chaves visuais.
Quando houver rotas ativas, a origem exibida deve ser coerente com a regra que gerou o anúncio.
A quantidade de rotas deve ser compatível com a tabela BGP no momento da consulta.

Problemas comuns¶

Lista vazia: revisar FlowSpec global, peers e regras ativas.
Sessões ausentes: revisar BGP > Peers por família e conectividade com os vizinhos.
Communities sem tradução: revisar o cadastro em Operações > Comunidades.
Resultado antigo: usar Atualizar e conferir novamente a tabela BGP.

Rotas BGP unicast¶

Tela: /admin/bgp-unicast-routes

Objetivo¶

Inspecionar os anúncios unicast presentes na tabela BGP atual.

Pré-requisitos¶

BGP global configurado.
Existência de anúncios estáticos ou dinâmicos ativos.

Como usar¶

Acesse BGP > Tabela Unicast.
Use a busca para localizar uma rota por prefixo, peer, next-hop ou comunidade.
Ative Mostrar origem da regra quando precisar identificar a origem do anúncio.
Ative Traduzir communities quando quiser ver a interpretação das communities cadastradas.
Ajuste Por página e AFI conforme o recorte desejado.
Clique em Atualizar para recarregar a tabela.
Compare o resultado com BGP unicast - Estático ou com anúncios dinâmicos quando necessário.
Para conferir as sessões, abra BGP > Peers.

Campos e opções¶

Busca: filtra por prefixo, peer, next-hop ou comunidade.
Mostrar origem da regra: exibe a origem do anúncio quando disponível.
Traduzir communities: converte communities para a interpretação do cadastro local.
Por página: quantidade de linhas exibidas.
AFI: filtra por IPv4, IPv6 ou ambos.
Atualizar: recarrega a leitura da tabela BGP.
Ordenação: organiza os anúncios pelo prefixo; quando o mesmo prefixo é enviado a mais de um peer, as linhas correspondentes aparecem juntas.
Tabela de rotas:
- Peer: vizinho que recebeu ou mantém o anúncio.
- Prefixo: rota unicast anunciada.
- Próximo salto: next-hop da rota.
- Comunidade: communities padrão associadas.
- Comunidade estendida: extended communities da rota.
- Comunidade grande: large communities aplicadas.
- Data: referência temporal do anúncio.

Validação¶

A tabela deve reagir à busca, ao filtro de AFI e às chaves visuais.
Os prefixos e next-hops devem ser compatíveis com os anúncios ativos.
A tradução de communities deve seguir o cadastro de Operações > Comunidades.

Problemas comuns¶

Sem anúncios: revisar peers, regras e estado do BGP.
Sessões ausentes: revisar BGP > Peers por família e conectividade com os vizinhos.
Origem inesperada: revisar regra estática ou anúncio dinâmico associado.
Communities sem legenda: revisar o cadastro em Operações > Comunidades.
Resultado antigo: usar Atualizar e conferir novamente a tabela BGP.

Anomalias¶

Tela: /admin/anomalies

Objetivo¶

Consultar a linha do tempo de incidentes e ações de mitigação gerados pela Análise de Tráfego.

Pré-requisitos¶

Regras de Análise de Tráfego gerando incidentes.

Como usar¶

Acesse Mitigação > Anomalias.
Use Pesquisar para localizar uma regra ou incidente.
Ajuste o Intervalo de tempo.
Use o botão de atualização para recarregar a leitura.
Revise os cards de Incidentes ativos, Incidentes resolvidos e Total de incidentes.
Na tabela, valide regra, gravidade, origem, status, início, fim, duração, quantidade de ações e erros.
Use os botões da coluna Detalhe para abrir a visão detalhada do incidente.

Campos e opções¶

Pesquisar: filtra incidentes por texto.
Intervalo de tempo: recorte temporal da consulta.
Atualizar: recarrega os dados da tela.
Incidentes ativos: total de incidentes em aberto.
Incidentes resolvidos: total de incidentes encerrados.
Total de incidentes: total consolidado no período.
Tabela de incidentes:
- Regra: nome da regra que gerou o incidente.
- Gravidade: severidade do evento.
- Origem: fonte associada.
- Status: estado atual do incidente.
- Início e Fim: janela do evento.
- Duração: tempo total do incidente.
- Ações: quantidade de ações executadas.
- Erros: quantidade de falhas registradas.
- Detalhe: atalhos para abrir a visualização do incidente ou o gráfico.
Por página e paginação: controlam a navegação pela tabela.

Detalhes do incidente¶

Ao abrir um incidente, uma única janela reúne todas as informações, organizadas em três abas. O cabeçalho mostra a regra, a fonte, o status, a linha de tempo (início → fim ou em andamento, com a duração), a gravidade e o botão Baixar relatório TXT.

Resumo: totais de execuções, sucessos e falhas, a mitigação ativa por família (IPv4/IPv6), o filtro da regra e os alvos do incidente.
Ações: uma tabela única com uma linha por tipo de ação (FlowSpec, BGP Announcement, Telegram, e-mail, webhook, script, SSH). Clique na linha para expandir as execuções individuais, cada uma com horário (com segundos), resultado e contexto (Durante incidente ou Na resolução).
- Alvos: quantidade de alvos detectados, por família IPv4/IPv6.
- Mitigando: quantidade de rotas de mitigação ativas; ações de notificação exibem —, pois o conceito não se aplica.
- Execuções de mitigação já resolvidas ou sem efeito ficam ocultas por padrão; uma nota indica a quantidade e o link mostrar as revela.
- Ver detalhes abre um painel lateral com as configurações aplicadas (em formato campo → valor), os alvos envolvidos, os prefixos do Meu ISP e de Meus Clientes afetados e a linha do tempo completa das execuções.
- Quando uma execução falha, o painel mostra um título curto, uma explicação e o que o operador pode conferir ou fazer. O código técnico fica apenas como informação auxiliar ao passar o mouse e também não substitui a orientação no relatório TXT.
Gráfico: série temporal do incidente com escolha de métrica (Bps, Bytes, Packets, Flows, Pps, Bpp) e atualização sob demanda.

Validação¶

Os incidentes exibidos devem bater com os eventos gerados pela Análise de Tráfego.
Os contadores superiores devem ser coerentes com o resultado listado no período.
A tabela deve reagir ao filtro de texto e ao Intervalo de tempo.
O status e a duração devem ser compatíveis com o início e o fim do incidente.
Na aba Ações, a soma das execuções expandidas (incluindo as ocultas) deve bater com o total da linha do tipo de ação.

Problemas comuns¶

Lista vazia: ampliar o período ou revisar se houve incidentes no intervalo.
Busca sem resultado: revisar o termo pesquisado ou remover filtros.
Contador divergente: atualizar a tela e validar o período aplicado.
Incidente com erros: abrir o detalhe e revisar as ações executadas pela regra.
Execuções que parecem faltar na aba Ações: verifique a nota de execuções ocultas e use mostrar para exibi-las.

Terminal¶

Tela: /admin/terminal

Objetivo¶

Abrir o terminal BGP integrado para consultar o estado atual do roteamento.

Pré-requisitos¶

Acesso liberado ao Terminal.
Serviço de roteamento disponível no servidor.

Como usar¶

Acesse BGP > Terminal.
No estado Desconectado, clique em Início.
Aguarde o estado mudar para Conectado e o prompt aparecer.
Digite o comando de consulta e pressione Enter.
Use Ajuda para abrir exemplos de consultas do Looking Glass.
Use Limpar para apagar somente a saída exibida na tela.
Clique em Parado para encerrar a sessão.

Campos e opções¶

Início: abre a sessão do terminal.
Conectado / Desconectado: informa o estado da sessão.
Parado: encerra a sessão ativa.
Ajuda: abre referência rápida de uso.
Limpar: limpa o conteúdo exibido no terminal.

Prefira os comandos de consulta apresentados em Ajuda. Comandos de alteração podem modificar o roteamento do servidor.

Validação¶

Depois de clicar em Início, o estado Conectado e o prompt devem aparecer.
Os comandos digitados devem retornar saída coerente com o estado atual do FRR.
Depois de clicar em Parado, o estado deve voltar para Desconectado.

Problemas comuns¶

Terminal permanece desconectado: confirme se o serviço de roteamento está disponível e tente iniciar novamente.
Comando sem retorno: confirme a sintaxe na Ajuda e o estado atual do BGP.
Saída confusa: usar Limpar antes de repetir a consulta.
Comando de alteração: execute somente quando houver autorização operacional para modificar o roteamento.

Whitelist¶

Tela: /admin/whitelist

Objetivo¶

Gerenciar grupos confiáveis de ASN e prefixos IP para uso nas rotinas de mitigação e nas automações da Análise de Tráfego.

Pré-requisitos¶

Ter definidos os prefixos ou ASNs que servirão de base para montar o grupo.
Se for usar Importar, ter um arquivo JSON no formato aceito pela tela.

Como usar¶

Acesse Mitigação > Whitelist.
Use Buscar grupos para localizar um grupo por descrição.
Se quiser localizar um grupo por IP, digite um IP na busca. A tela mostra apenas os grupos cujo prefixo contém esse IP.
Clique em Novo Grupo para cadastrar um grupo.
Preencha a descrição, informe os prefixos manualmente ou use os ASNs para descobrir prefixos.
Defina em Aplicar em se o grupo vale para Somente origem, Somente destino ou Origem e destino.
Clique em Salvar.
Para editar um grupo existente, clique no card correspondente.
Use Importar ou Exportar quando precisar carregar ou extrair a base de grupos.

Campos e opções¶

Listagem da tela¶

Buscar grupos: filtra por descrição.
A busca também aceita IP:
- se o IP estiver dentro de algum prefixo do grupo, o card permanece visível;
- a tela mostra o prefixo encontrado no próprio card.
Importar: abre o modal para carregar grupos a partir de JSON.
Exportar: baixa o conteúdo atual em JSON.
Novo Grupo: abre o modal de cadastro.
Card do grupo: mostra descrição, direção de uso, quantidade de ASNs e quantidade de Prefixos.
Ícone de vínculo no card: indica que o grupo está em uso por regra de mitigação ou automação da Análise de Tráfego.
Clique no card para abrir o grupo em edição.

Cadastro e edição do grupo¶

Descrição: nome do grupo. Deve ser único.
ASNs: lista opcional de ASNs usada apenas para descobrir prefixos.
Importante: os ASNs não são usados diretamente na whitelist. O que entra em vigor são os prefixos.
Botão com ícone de mágica ao lado de ASNs:
- consulta os prefixos anunciados pelos ASNs informados;
- adiciona esses prefixos no campo Prefixos IP.
Prefixos IP: lista efetiva de prefixos do grupo.
Se você digitar um IP sem máscara, a tela normaliza automaticamente:
- IPv4 vira /32
- IPv6 vira /128
Colar vários IPs ou prefixos também é aceito.
Aplicar em:
- Somente origem: grupo aplicado apenas na origem.
- Somente destino: grupo aplicado apenas no destino.
- Origem e destino: grupo aplicado em ambos.
No modal de edição, a tela também mostra o ID do grupo.

Importar e exportar¶

Arquivo JSON: arquivo de entrada para importação.
Se a entrada já existir:
- Ignorar: mantém o grupo já existente e ignora o importado.
- Sobrescrever: substitui o grupo existente pelo conteúdo do arquivo.
Exportar: gera um arquivo whitelist.json.

Regras e limites da tela¶

É obrigatório informar:
- Descrição
- pelo menos um item em Prefixos IP
O nome do grupo não pode repetir outro já existente.
O grupo aceita no máximo 2000 prefixos.
Se o ASN consultado tiver prefixos demais, a tela pode carregar apenas parte deles e avisar isso ao operador.
Se o grupo estiver em uso por regras estáticas, dinâmicas ou pela ação Adicionar Lista, a exclusão pode ser bloqueada.

Validação¶

O grupo deve aparecer na listagem após cadastro ou importação.
A quantidade de ASNs e Prefixos exibida no card deve bater com o conteúdo do grupo.
A direção exibida no card deve bater com Aplicar em.
Na busca por IP, o grupo deve aparecer quando o IP pertencer a um dos prefixos cadastrados.
Se o card mostrar ícone de vínculo, revise em quais regras o grupo está sendo usado antes de alterar ou excluir.
Depois de editar, exportar ou importar, revise se o conteúdo final ficou coerente com a política definida.

Problemas comuns¶

Grupo não salva: revisar se foi informada a Descrição e pelo menos um prefixo.
Grupo duplicado: a tela não aceita duas descrições iguais.
Prefixo inválido: revisar IP, máscara e formato CIDR.
Busca por IP sem resultado: revisar se o IP realmente pertence a algum prefixo do grupo.
Descoberta por ASN trouxe prefixos demais: a tela pode limitar a carga inicial; revise os prefixos antes de salvar.
Não foi possível excluir: o grupo pode estar em uso por regras estáticas, dinâmicas ou pela ação Adicionar Lista.
Importação divergente: revisar se o modo correto era Ignorar ou Sobrescrever.

Blacklist¶

Tela: /admin/blacklist

Objetivo¶

Gerenciar grupos de ASN e prefixos IP bloqueados para uso nas rotinas de mitigação e nas automações da Análise de Tráfego.

Pré-requisitos¶

Ter definidos os prefixos ou ASNs que servirão de base para montar o grupo.
Se for usar Importar, ter um arquivo JSON no formato aceito pela tela.

Como usar¶

Acesse Mitigação > Blacklist.
Use Buscar grupos para localizar um grupo por descrição.
Se quiser localizar um grupo por IP, digite um IP na busca. A tela mostra apenas os grupos cujo prefixo contém esse IP.
Clique em Novo Grupo para cadastrar um grupo.
Preencha a descrição, informe os prefixos manualmente ou use os ASNs para descobrir prefixos.
Defina em Aplicar em se o grupo vale para Somente origem, Somente destino ou Origem e destino.
Clique em Salvar.
Para editar um grupo existente, clique no card correspondente.
Use Importar ou Exportar quando precisar carregar ou extrair a base de grupos.

Campos e opções¶

Listagem da tela¶

Buscar grupos: filtra por descrição.
A busca também aceita IP:
- se o IP estiver dentro de algum prefixo do grupo, o card permanece visível;
- a tela mostra o prefixo encontrado no próprio card.
Importar: abre o modal para carregar grupos a partir de JSON.
Exportar: baixa o conteúdo atual em JSON.
Novo Grupo: abre o modal de cadastro.
Card do grupo: mostra descrição, direção de uso, quantidade de ASNs e quantidade de Prefixos.
Ícone de vínculo no card: indica que o grupo está em uso por regra de mitigação ou automação da Análise de Tráfego.
Clique no card para abrir o grupo em edição.

Cadastro e edição do grupo¶

Descrição: nome do grupo. Deve ser único.
ASNs: lista opcional de ASNs usada apenas para descobrir prefixos.
Importante: os ASNs não são usados diretamente na blacklist. O que entra em vigor são os prefixos.
Botão com ícone de mágica ao lado de ASNs:
- consulta os prefixos anunciados pelos ASNs informados;
- adiciona esses prefixos no campo Prefixos IP.
Prefixos IP: lista efetiva de prefixos do grupo.
Se você digitar um IP sem máscara, a tela normaliza automaticamente:
- IPv4 vira /32
- IPv6 vira /128
Colar vários IPs ou prefixos também é aceito.
Aplicar em:
- Somente origem: grupo aplicado apenas na origem.
- Somente destino: grupo aplicado apenas no destino.
- Origem e destino: grupo aplicado em ambos.
No modal de edição, a tela também mostra o ID do grupo.

Importar e exportar¶

Arquivo JSON: arquivo de entrada para importação.
Se a entrada já existir:
- Ignorar: mantém o grupo já existente e ignora o importado.
- Sobrescrever: substitui o grupo existente pelo conteúdo do arquivo.
Exportar: gera um arquivo blacklist.json.

Regras e limites da tela¶

É obrigatório informar:
- Descrição
- pelo menos um item em Prefixos IP
O nome do grupo não pode repetir outro já existente.
O grupo aceita no máximo 2000 prefixos.
Se o ASN consultado tiver prefixos demais, a tela pode carregar apenas parte deles e avisar isso ao operador.
Se o grupo estiver em uso por regras de mitigação ou pela ação Adicionar Lista, algumas alterações podem ser bloqueadas:
- exclusão do grupo;
- mudança de direção incompatível com o uso atual em Blacklist (Origem) ou Blacklist (Destino).

Validação¶

O grupo deve aparecer na listagem após cadastro ou importação.
A quantidade de ASNs e Prefixos exibida no card deve bater com o conteúdo do grupo.
A direção exibida no card deve bater com Aplicar em.
Na busca por IP, o grupo deve aparecer quando o IP pertencer a um dos prefixos cadastrados.
Se o card mostrar ícone de vínculo, revise em quais regras o grupo está sendo usado antes de alterar direção ou excluir.

Problemas comuns¶

Grupo não salva: revisar se foi informada a Descrição e pelo menos um prefixo.
Grupo duplicado: a tela não aceita duas descrições iguais.
Prefixo inválido: revisar IP, máscara e formato CIDR.
Busca por IP sem resultado: revisar se o IP realmente pertence a algum prefixo do grupo.
Descoberta por ASN trouxe prefixos demais: a tela pode limitar a carga inicial; revise os prefixos antes de salvar.
Não foi possível excluir: o grupo pode estar em uso por FlowSpec, BGP unicast, Traffic Analysis ou pela ação Adicionar Lista.
Não foi possível trocar a direção: o grupo pode estar sendo usado como Blacklist (Origem) ou Blacklist (Destino) em regras existentes.
Importação divergente: revisar se o modo correto era Ignorar ou Sobrescrever.