BGP FlowSpec
Rozszerzenie BGP (RFC 5575) do rozsyłania po sieci reguł filtrowania przepływów — „odrzuć cały ruch do adresu X na porcie Y”. Używane głównie do mitygacji DDoS: reguła jest wstrzykiwana i wszystkie routery zaczynają filtrować niemal natychmiast.
Zasada: zamiast tylko ogłaszać trasy (prefiks → następny skok), FlowSpec przenosi kryteria dopasowania (źródłowy/docelowy IP, porty, protokół, długość pakietu) oraz akcję (odrzuć, ogranicz przepustowość, przekieruj do czyszczenia ruchu). Zysk w obronie przed DDoS: reguła mitygacji rozchodzi się po całej sieci w kilka sekund, znacznie szybciej niż ręczne wdrażanie ACL. Ryzyko: błędna reguła FlowSpec może zablokować legalny ruch w całej sieci, więc wymaga dyscypliny. Operatorzy i IXP oferują FlowSpec, by klienci mogli sygnalizować mitygacje. Różni się od RTBH (remotely-triggered blackhole), który odrzuca ruch tylko według docelowego IP — FlowSpec jest precyzyjny.