BGP FlowSpec
Een BGP-extensie (RFC 5575) om filterregels voor verkeersstromen door het netwerk te verspreiden: ‘drop al het verkeer naar IP X op poort Y’. Vooral gebruikt voor DDoS-mitigatie: er wordt een regel geïnjecteerd en vrijwel direct beginnen alle routers te filteren.
Principe: in plaats van alleen routes aan te kondigen (prefix → next hop), draagt FlowSpec matchcriteria (bron-/doel-IP, poorten, protocol, pakketlengte) plus een actie (droppen, ratelimit, omleiden naar scrubbing). Winst bij DDoS: een mitigatieregel in seconden over het hele netwerk verspreiden, veel sneller dan handmatig ACL’s uitrollen. Risico: een foute FlowSpec-regel kan legitiem verkeer netwerkbreed blackholen, dus discipline is vereist. Operators en IXP’s bieden FlowSpec aan zodat klanten mitigaties kunnen signaleren. Te onderscheiden van RTBH (remotely-triggered blackhole), dat alleen per bestemmings-IP dropt; FlowSpec werkt fijnmaziger.