O que acontece quando uma empresa perde o seu IP público?

Uma mudança de endereço vai além do router. As listas de permissões dos clientes, o acesso remoto, o correio eletrónico e os sistemas dos parceiros podem continuar a depender do endereço antigo.

Quando uma empresa perde um endereço IP público, o primeiro sintoma visível pode ser simples: um sítio Web deixa de abrir, uma VPN deixa de aceitar ligações ou o sistema de um parceiro rejeita um pedido. O problema mais profundo é que um IP público raramente é apenas um destino. Pode estar integrado no DNS, no encaminhamento, no correio eletrónico, nas regras de segurança, nas relações com fornecedores e em anos de confiança acumulada.

É por isso que obter um endereço de substituição não restabelece automaticamente a atividade da empresa. O novo endereço pode estar acessível, mas os sistemas e as instituições em torno do endereço antigo podem ainda não o reconhecer. Uma rede pode estar tecnicamente de novo em linha enquanto a empresa continua operacionalmente desligada.

A primeira pergunta a responder

«Perder um IP» pode descrever vários acontecimentos diferentes:

• um fornecedor altera ou retira um endereço atribuído;
• um serviço de cloud ou de alojamento liberta um endereço após uma migração;
• um aluguer ou uma relação de conta termina;
• uma rota desaparece ou é rejeitada;
• o endereço continua registado, mas torna-se inutilizável devido à reputação, a listas de bloqueio, a registos inexatos ou a um litígio com o fornecedor.

Estes casos têm causas técnicas diferentes, mas colocam a mesma questão de negócio: consegue a organização manter os seus serviços, as suas relações e as suas provas de controlo funcionais quando a antiga identidade de rede deixa de estar disponível?

O que um IP público transporta consigo

Um IP público pode ser entendido como quatro camadas interligadas.

1. Acessibilidade: os sistemas de encaminhamento têm de saber como enviar tráfego para o endereço.
2. Reconhecimento: as entidades de registo, os fornecedores e as outras redes precisam de registos fiáveis sobre o recurso e o seu titular reconhecido.
3. Configuração: o DNS, as firewalls, as VPN, as API, os sistemas de correio eletrónico e as ferramentas de monitorização podem estar configurados em função do endereço.
4. Relação: os parceiros, os clientes e os sistemas de segurança podem ter aprendido a confiar no tráfego que dele provém.

Uma interrupção torna-se difícil de resolver quando estas camadas estão guardadas em locais diferentes e sob a responsabilidade de equipas diferentes. A equipa de rede pode conhecer a rota, a equipa de segurança pode conhecer as listas de permissões, o fornecedor de correio eletrónico pode conhecer a reputação e um fornecedor pode ter uma lista de contactos separada. Um endereço de substituição desencadeia então um exercício de coordenação antes de iniciar a recuperação.

O que pode deixar de funcionar quando o endereço muda

Sítios Web, API e serviços ao cliente

Os registos DNS podem continuar a encaminhar os utilizadores para o endereço antigo. Mesmo depois de o registo ser alterado, as respostas em cache podem enviar alguns utilizadores para a localização antiga enquanto outros chegam à nova. O resultado pode parecer uma falha intermitente da aplicação: o serviço funciona a partir de uma rede e falha a partir de outra.

Os portais de clientes, os callbacks de pagamentos, as integrações por API e os pontos de acesso a aplicações remotas podem ser afetados da mesma forma. A empresa pode não observar uma única interrupção bem delimitada. Pode observar falhas de início de sessão, tempos limite excedidos, transações incompletas e pedidos de apoio provenientes de apenas uma parte da sua base de clientes.

Listas de permissões de parceiros e ligações privadas

Muitas organizações continuam a restringir o acesso a uma plataforma de pagamentos, a um portal de fornecedores, a um serviço de cloud ou a uma API privada com base no IP de origem. Um novo endereço não passa a ser de confiança apenas porque a empresa detém o mesmo nome de domínio ou continua a ter as mesmas credenciais.

Alguém tem de identificar cada parceiro, comunicar o novo endereço, concluir qualquer análise de segurança e esperar que a outra parte altere as suas regras. O atraso pode resultar de uma fila de aprovações ou de um contacto desatualizado, e não da própria rede. Uma única mudança de endereço pode, por isso, interromper várias relações comerciais independentes.

Trabalho remoto e acesso de emergência

Os gateways de VPN, a administração remota, as ligações entre instalações e as políticas de firewall dependem frequentemente de pontos de acesso públicos estáveis. Se o mesmo gateway for necessário para resolver a interrupção, os responsáveis pela recuperação podem perder o acesso de que precisam para a investigar.

O planeamento da continuidade deve incluir uma via de emergência que não dependa do endereço que falhou. Caso contrário, o acesso normal e o acesso de recuperação partilham o mesmo ponto de falha.

Correio eletrónico e reputação de rede

Um endereço de envio pode acumular um historial através de autenticação consistente, envio responsável e baixas taxas de reclamação. Um endereço de substituição pode não ter qualquer historial útil ou pode trazer consigo o historial de abuso ou de inclusão em listas de bloqueio de um utilizador anterior. O DNS inverso, o SPF, a configuração do servidor de correio e as listas de permissões dos fornecedores também podem precisar de alterações.

A conectividade pode regressar antes da credibilidade. As mensagens legítimas podem sofrer atrasos, ser rejeitadas ou encaminhadas para o spam enquanto o novo endereço estabelece o seu próprio historial.

Segurança, deteção de fraude e monitorização

As firewalls, os sistemas de identidade, os controlos de cloud e as ferramentas de monitorização podem tratar o endereço antigo como uma origem conhecida. Depois de uma mudança, o tráfego legítimo pode parecer suspeito, enquanto regras esquecidas podem continuar a confiar num endereço que a empresa já não controla.

As bases de dados de geolocalização e de risco também podem demorar a refletir uma mudança de fornecedor ou de localização. Uma transação pode ficar sujeita a verificação adicional, um trabalhador pode receber um pedido de autenticação suplementar como se estivesse a iniciar sessão a partir de um novo país, ou um painel de operações pode dividir um serviço em dois sistemas aparentemente sem relação entre si.

Porque é que um endereço de substituição é apenas o início

Um endereço de substituição tem de ser verificado nas mesmas camadas que o original:

• O endereço está acessível a partir de várias redes externas pela rota pretendida?
• Os registos mantidos pela entidade de registo, os registos de contacto e os de DNS inverso estão corretos?
• As autorizações de rota e os filtros dos fornecedores estão preparados para o anúncio?
• Os registos DNS, os certificados, as firewalls, as VPN e as restrições das API foram atualizados?
• Todos os parceiros e fornecedores importantes aceitaram o novo endereço de origem?
• Foram verificadas a reputação, a presença em listas de bloqueio e a geolocalização do endereço?
• A organização consegue explicar a mudança aos clientes e a quem a investiga?

Estas não são tarefas finais isoladas. Em conjunto, determinam se o endereço de substituição pode ser utilizado como identidade da empresa.

A solução prática: tornar a continuidade explícita

A solução não é fingir que todas as empresas podem conservar um endereço para sempre. Os fornecedores falham, os alugueres terminam, as redes mudam e a Internet tem de permitir a mudança. A solução é tornar visíveis e portáteis as dependências em torno de um endereço antes de uma crise.

1. Mantenha um inventário de endereços e dependências

Para cada endereço público ou prefixo, registe o responsável de negócio, o operador técnico, a relação com o fornecedor ou a entidade de registo, os serviços associados, os registos DNS, os dados de encaminhamento, as declarações RPKI, o DNS inverso, as listas de permissões, as verificações de monitorização e as datas de renovação ou passagem de responsabilidade. Registe a pessoa que pode agir, não apenas o nome do departamento.

2. Separe o controlo da utilização

Saiba quem é reconhecido como titular, quem está atualmente a utilizar o recurso, quem anuncia a rota e quem pode alterar cada registo. Estes papéis podem pertencer a partes diferentes. Tratá-los como uma única identidade é a forma de transformar uma mudança de fornecedor numa discussão sobre quem tem permissão para agir.

3. Conceba uma via de recuperação independente

Mantenha a administração de emergência, a conectividade secundária, a recuperação de VPN testada e os contactos de parceiros fora da via que falhou. Um plano de continuidade só é útil se a equipa lhe conseguir aceder durante o incidente.

4. Teste a passagem de responsabilidade

Ensaie as alterações de DNS, os anúncios de rotas, as atualizações RPKI, as alterações de firewall, a entrega de correio eletrónico, as notificações aos parceiros e a monitorização a partir de fora da rede principal. Um exercício de simulação em sala pode revelar dependências que um inventário, por si só, não deteta.

5. Encerre cuidadosamente a identidade antiga

Quando o controlo terminar, remova o endereço antigo do DNS, das listas de permissões, das políticas de acesso, da monitorização e da documentação. Preserve o historial necessário para explicar a transição, mas não deixe para trás uma rota sem responsável ou uma regra de confiança desatualizada.

O que deve acontecer durante o incidente

1. Confirme a falha: distinga retirada do endereço, perda da rota, erro de DNS, suspensão da conta, fim do aluguer, inclusão numa lista de bloqueio e comprometimento de segurança.
2. Identifique o alcance do impacto: use o inventário para listar os serviços ao cliente, as ligações a parceiros, o acesso remoto, o correio eletrónico e os controlos de segurança.
3. Proteja o acesso de emergência: mantenha o canal de recuperação disponível enquanto o tráfego normal está a ser transferido.
4. Valide o endereço de substituição: verifique a acessibilidade, a autorização de rota, os dados de registo, o DNS inverso, a reputação e a geolocalização.
5. Restabeleça os serviços de acordo com as consequências: dê prioridade aos serviços que geram receitas, ao acesso dos clientes, à administração de segurança, ao correio eletrónico e aos parceiros essenciais.
6. Comunique a mudança com clareza: transmita aos trabalhadores, clientes e parceiros a mesma informação atual sobre o endereço, o responsável e a próxima atualização.
7. Analise a causa: depois de o serviço regressar, identifique o registo em falta, a dependência ou o limite de autoridade que tornou a recuperação lenta.

A questão mais ampla para a Internet

Este problema de negócio expõe uma questão que costuma ficar escondida atrás do vocabulário técnico. Quem tem permissão para alterar um registo, quem é reconhecido como detentor do controlo de um recurso e o que acontece quando o administrador desse registo falha?

Um registo é valioso porque muitos participantes podem confiar nele. Essa utilidade não dá ao seu administrador autoridade ilimitada sobre a rede em funcionamento ou sobre a empresa que utiliza o recurso. Um fornecedor pode operar a infraestrutura, uma entidade de registo pode coordenar um registo e um operador pode assegurar o serviço. Esses papéis devem continuar a ser distinguíveis.

Lu Heng desenvolve este limite no argumento de que os recursos de numeração da Internet não são propriedade política e em A Declaração de Direitos da Coordenação da Unicidade. A camada partilhada tem de estabelecer unicidade, provas e continuidade, enquanto as pessoas que dela dependem têm de conservar a capacidade de mudar de fornecedores e coordenadores.

A Falácia da Continuidade do Registo leva o mesmo problema um passo mais longe: a continuidade deve proteger o registo e a rede em funcionamento, não tornar permanente uma entidade que controla o acesso. Primazia do Código em Funcionamento questiona como uma rede funcional pode continuar a ser o ponto de referência quando as pretensões administrativas se tornam mais amplas do que o sistema que deveriam coordenar.

Leia isto como um teste de continuidade

Faça quatro perguntas sobre cada IP público importante:

• Conseguimos identificar o recurso, o seu titular reconhecido e o seu utilizador atual?
• Conseguimos mover o serviço sem perder os registos e as relações em torno dele?
• Pode outro coordenador verificar os mesmos factos se o fornecedor atual falhar?
• Conseguimos terminar a relação sem deixar para trás relações de confiança desatualizadas ou uma rota sem responsável?

Se a resposta depender da base de dados privada de um fornecedor, da memória de um trabalhador ou da aprovação discricionária de uma instituição, a empresa tem um risco de continuidade mesmo quando a rede está a funcionar hoje.

A continuidade do IP público é, por isso, continuidade do negócio. Uma conceção duradoura assenta numa rede cujos factos podem ser verificados, cujas dependências podem ser transmitidas e cujo coordenador pode ser substituído sem levar consigo a identidade do serviço.

Prossiga a leitura

Para conhecer os registos operacionais subjacentes a este artigo, leia Porque é que os Registos Operacionais Claros São Importantes no Aluguer de Endereços IP. Para aprofundar a teoria de base, continue com a Nota 72 e as Notas relacionadas nas ligações acima.