Os pontos de troca da Internet (IXP) são frequentemente ignorados em discussões sobre infraestrutura crítica. No entanto, seu papel na estabilidade do roteamento, na resiliência local e na soberania digital é inegável. Neste artigo, exploramos o que acontece quando os IXP falham e por que classificá-los como infraestrutura crítica não é apenas uma formalidade burocrática, mas uma necessidade sistêmica.
Quando os IXP falham: consequências e lições do mundo real
O que é um IXP e por que ele é importante?
Um ponto de troca da Internet é uma instalação física de interconexão onde vários sistemas autônomos (AS) trocam tráfego IP. Em vez de rotear o tráfego através de provedores upstream caros, as redes podem fazer peering diretamente, reduzindo os custos, a latência e a dependência do trânsito. A maioria dos IXP consiste em uma infraestrutura de comutação de alto desempenho, servidores de roteamento e ferramentas opcionais de medição e monitoramento. Além da eficiência técnica, os IXP dão suporte à resiliência nacional, melhoram a experiência do usuário mantendo o tráfego local e servem como nós de coordenação críticos em tempos de crise. No entanto, apesar de seu papel fundamental na arquitetura da Internet, os IXP costumam operar por fora da conscientização pública e das estruturas políticas. Como resultado, suas vulnerabilidades tendem a ser subestimadas.
O paradoxo da visibilidade
Apesar de sua função crucial, os IXP são muitas vezes invisíveis tanto no discurso público quanto nas políticas de infraestrutura. Este “paradoxo da visibilidade” gera três riscos sistêmicos:
Otimização econômica em detrimento da resiliência. O tráfego é roteado cada vez mais através dos IXP principais devido ao custo e à eficiência, concentrando riscos.
Dependência das redes menores. Muitos ISP pequenos dependem de um único IXP para acessar conectividade acessível e grandes provedores de conteúdo.
Centralização topológica. Alguns IXP nos mesmos locais físicos transportam quantidades desproporcionais de tráfego regional, criando vulnerabilidades estruturais.
Quando os IXP falham: exemplos da vida real
Analisemos o que acontece quando um IXP falha. A seguir, apresentamos incidentes reais que ilustram as dependências sistêmicas desses nós.
Quênia (KIXP): construir resiliência com um orçamento limitado
Em 2000, o governo tentou bloquear o lançamento do Ponto de Troca da Internet de Quênia. Somente uma forte defesa da comunidade técnica local conseguiu preservá-lo. Desde então, a KIXP reduziu os custos de trânsito nacional em mais de 70% e melhorou a estabilidade das rotas, apesar dos recursos limitados.
Sudão: isolamento nacional total
Durante os apagões da Internet de 2021–2023, a falta de um IXP local robusto no Sudão significou que até mesmo o tráfego interno foi cortado. A ausência de interconexão nacional tornou o país completamente dependente dos laços internacionais, que foram politica e tecnicamente cortados.
(Acesso livre, não requer assinatura)
Fonte: Cloudflare
Brasil (IX.br): redundância liderada sob o modelo multissetorial*
O IX.br do Brasil, coordenado pelo CGI.br, opera IXP em 35 locais diferentes. Durante o aumento repentino do tráfego em 2020 na pandemia, sua ampla cobertura geográfica ajudou a absorver os enormes aumentos de tráfego. Seu modelo comprova que a coordenação colaborativa e a descentralização melhoram a resiliência sistêmica.
Alemanha (DE-CIX): queda de energia, grande impacto
Em 2018, uma queda de energia no Interxion FRA5 (que hospeda um importante switch DE-CIX) provocou uma falha parcial do IXP. A perda resultante de visibilidade do BGP afetou rotas na Europa toda. Mesmo com redundância integrada, esse incidente destacou o quanto muitos AS dependem de um único local físico.
Fonte: Cloudflare
Brasil (IX.br): redundância liderada sob o modelo multissetorial*
O IX.br do Brasil, coordenado pelo CGI.br, opera IXP em 35 locais diferentes. Durante o aumento repentino do tráfego em 2020 na pandemia, sua ampla cobertura geográfica ajudou a absorver os enormes aumentos de tráfego. Seu modelo comprova que a coordenação colaborativa e a descentralização melhoram a resiliência sistêmica.
Alemanha (DE-CIX): queda de energia, grande impacto
Em 2018, uma queda de energia no Interxion FRA5 (que hospeda um importante switch DE-CIX) provocou uma falha parcial do IXP. A perda resultante de visibilidade do BGP afetou rotas na Europa toda. Mesmo com redundância integrada, esse incidente destacou o quanto muitos AS dependem de um único local físico.
Reino Unido (LINX): reconvergência em larga escala
Em 2021, uma falha de software no LINX provocou uma reconvergência em massa do tráfego, afetando principalmente os AS menores. Embora o roteamento tenha se recuperado, a instabilidade temporária causou uma degradação do desempenho e demonstrou como os eventos nos IXP se propagam além das fronteiras.
Holanda (AMS-IX): colapso do tráfego
Em novembro de 2023, o AMS-IX sofreu duas interrupções do serviço totalizando mais de cinco horas. Durante a interrupção, o tráfego caiu de 10 Tbps para 2 Tbps. Os efeitos foram sentidos por todos os provedores europeus que dependem deste IXP.
Itália (MiX): impacto nacional
Em 12 de maio de 2025, uma falha no ponto de troca da Internet de Milano (MiX) interrompeu a acessibilidade de vários serviços locais, causando lentidão e interrupções em todo o país. Isso reforçou o papel fundamental do MiX na arquitetura da Internet da Itália.
Conclusões
Os IXP não são meramente otimizadores técnicos, eles também são estabilizadores sistêmicos.
Uma falha em um único IXP pode desencadear problemas de roteamento em larga escala, congestionamento e degradação dos serviços.
A resiliência da Internet de um país está profundamente interligada à robustez, governança e redundância dos IXP locais.
IXP e resiliência: do amortecedor de crise à soberania digital
Os IXP como amortecedores em tempos de crise
Ao pensar na resiliência da Internet, a maioria das discussões gira em torno de provedores de backbone, cabos submarinos ou infraestrutura da raiz do DNS. No entanto, os pontos de troca de Internet (IXP) desempenham discretamente um papel fundamental no amortecimento de cenários de crise, na localização do tráfego e na preservação da conectividade crítica, principalmente em situações de estresse.
Tráfego local, impacto local
Os IXP reduzem drasticamente a dependência de rotas de trânsito de longa distância. Ao permitir que as redes locais troquem tráfego localmente, fornecem melhorias de latência e uma poderosa vantagem estrutural: autonomia. Em tempos normais, isso significa eficiência. Em tempos de crise, de guerras a desastres naturais, isso significa resiliência. Durante os primeiros estágios da guerra na Ucrânia, por exemplo, os operadores locais conseguiram manter a funcionalidade parcial da Internet em diversas cidades graças ao peering local. O tráfego que, de outra forma, teria exigido roteamento através de fornecedores de trânsito estrangeiros permaneceu dentro dos IXP nacionais, diminuindo a exposição e a dependência. Do outro lado, países com ecossistemas de peering subdesenvolvidos ou aqueles onde a interconexão está excessivamente centralizada estão mais expostos à fragilidade de roteamento.
Os IXP como amortecedores
O impacto dos eventos externos como falhas de energia, ataques cibernéticos e embargos geralmente é amplificado quando não há IXP ou são mal governados. Vejamos alguns exemplos recentes.
Quênia: um apagão em 2023 interrompeu o acesso à Internet em todo o país. Embora vários fornecedores tivessem capacidade internacional redundante, a ausência de um peering local robusto significava que o tráfego local dependia de rotas externas, o que prejudicava o desempenho e a acessibilidade.
Sudão: as interrupções recorrentes e apagões impostos pelo Estado mostraram que as dependências internacionais centralizadas dificultam a restauração. Um ecossistema IXP local mais forte poderia ter ajudado a mitigar o isolamento.
Península Ibérica (2025): um grande apagão revelou que o tráfego da Internet em Portugal caiu até 90%. O tráfego da Espanha, embora impactado, se manteve melhor, em parte devido à maior presença de seus IXP, incluindo a Espanix, sediada em Madri, e a DE-CIX Espanha.
Estes casos ilustram que os IXP não apenas roteiam pacotes, mas também absorvem impactos.
Soberania estratégica
Além da resiliência, os IXP desempenham um papel menos óbvio, mas igualmente crítico: a soberania digital. Um país com uma infraestrutura de IXP forte e neutra:
É menos dependente de fornecedores upstream estrangeiros
Pode aplicar as políticas de segurança nacional de forma mais eficaz
Ganha visibilidade nos padrões de tráfego locais
Permite o desenvolvimento regional e o acesso inclusivo
O conflito russo-ucraniano ressaltou isso. Na Rússia, a centralização ao nível de políticas foi acompanhada por uma reestruturação da infraestrutura do controle dos IXP. Na Ucrânia, a necessidade de descentralização da rede e de contar com planos de recuperação ágeis tornou-se um requisito de sobrevivência. No Brasil, os debates em torno da neutralidade da rede e do peering nacional levaram a iniciativas para fortalecer o IX.br como uma espinha dorsal da soberania, não apenas do desempenho.
O perigo do peering centralizado
A soberania e a resiliência ficam comprometidas quando a infraestrutura dos IXP é concentrada em uma única entidade, principalmente sem controles regulatórios ou uma governança aberta. Isso inclui:
Pontos únicos de falha técnica
Abuso de posições dominantes no mercado
Efeito de dependência no caso das redes menores
Observabilidade de dados limitada para os CERT e pesquisadores nacionais
Um ecossistema com múltiplos IXP, governado por processos transparentes e modelos federados, reduz esses riscos. A neutralidade não é apenas um princípio: é uma necessidade estrutural.
Reconhecer os IXP como infraestrutura crítica: o que precisa mudar
Apesar de seu papel central na estabilidade do roteamento e na interconexão local, os pontos de troca da Internet ainda são raramente classificados ou tratados como infraestrutura crítica. Essa lacuna cria pontos cegos regulatórios e fragilidade operacional, principalmente em países onde só um IXP domina a troca de tráfego nacional. Nesta última parte, analisamos as estruturas de governança, políticas e operacionais que devem evoluir para garantir que os IXP sejam reconhecidos e apoiados como a espinha dorsal resiliente que eles são.
Governança: a transparência antes da escala
Muitos IXP começam sendo pequenos, geralmente como esforços colaborativos entre ISP, universidades ou NOG locais. À medida que crescem, no entanto, seu modelo de governança pode permanecer informal ou opaco. Isso cria riscos quando a concentração de tráfego aumenta.
Os princípios críticos de governança dos IXP deveriam incluir:
Propriedade neutra (nenhuma entidade comercial única deveria ter poder de veto)
Diretorias de múltiplas partes interessadas, incluindo operadores, academia, sociedade civil
Publicações de estatísticas de tráfego, políticas de afiliação e modelos de preços
Planos de recuperação claros e infraestrutura redundante
Sem estes, os IXP se tornam pontos únicos de falha invisíveis, técnicos e também institucionais.
Higiene técnica: segurança e observabilidade do roteamento
Para que os IXP sejam resilientes, também devem ser seguros e observáveis. Isso inclui:
Filtragem obrigatória do servidor de rotas com validação de prefixos e AS-path
Filtragem baseada no RPKI e compatibilidade com ferramentas de monitoramento do BGP
Visualizações públicas do Looking Glass ou do IXP Manager
Participação no Programa MANRS para IXP
Esses não são extras “desejáveis”. Em um mundo de vazamentos, sequestros e ataques direcionados de BGP, eles são requisitos básicos. Uma maior observabilidade também permite que os CERT e pesquisadores nacionais atuem mais rapidamente durante incidentes, desde erros de roteamento até ataques DoS que afetam redes conectadas ao IXP.
Política: do reconhecimento à resiliência
Poucas legislações nacionais incluem os IXP em suas listas de infraestrutura crítica, uma vez que costumam se focar nos sistemas de cabos físicos, data centers ou infraestrutura do DNS. No entanto, o valor estratégico dos IXP exige sua inclusão em:
Estratégias nacionais de segurança cibernética.
Estruturas regulatórias para a resiliência das redes (por exemplo, NIS2/CER).
Esquemas de financiamento para a preparação perante desastres e auditorias da infraestrutura.
No nível da União Europeia, os IXP poderiam ser reconhecidos em programas de infraestrutura transfronteiriça, como o CEF Digital, ou monitorados no âmbito das estratégias de proteção da infraestrutura crítica (CIIP) de ENISA.
Um modelo federado para a resiliência continental
O ecossistema IXP da Europa é denso, mas fragmentado. Isso é um ponto forte, não um gargalo, mas também um desafio de coordenação. Nós propomos:
Um Observatório Europeu de Resiliência dos IXP, combinando o RIPE NCC, Euro-IX, ENISA e os operadores.
Uma estrutura de resposta a incidentes compartilhada para interrupções direcionadas aos IXP.
Auditorias opcionais e monitoramento federado das práticas dos servidores de rotas.
Isso não significa substituir a governança existente. Significa reforçá-la, da mesma forma que os próprios IXP reforçam a Internet.
Considerações finais
Os IXP não são “apenas interruptores”. Eles são bens de interconexão comuns, que dão suporte não apenas ao tráfego, mas também aos valores da própria Internet: abertura, descentralização e colaboração. Reconhecê-los como infraestrutura crítica não é um gesto simbólico. É uma necessidade técnica. Tratar os IXP como estabilizadores sistêmicos significa investir em sua resiliência, governança e neutralidade. Da rede local que mantém conectada uma pequena cidade durante um apagão, à coordenação no nível continental que protege regiões inteiras das crises geopolíticas, os IXP são garantias silenciosas de continuidade. Seu impacto é visível sempre que os pacotes permanecem locais em vez de atravessar oceanos, sempre que uma crise é absorvida em vez de amplificada. Para garantir o futuro da Internet, é preciso que os IXP sejam incorporados nas estratégias nacionais de resiliência, apoiados por uma governança transparente e integrados aos esforços de soberania digital europeus. Isso inclui reconhecimento regulatório, financiamento para sua redundância e estruturas de colaboração transfronteiriça. Em um momento em que a conectividade é essencial para todos os aspectos da sociedade (economia, democracia, segurança), ignorar os IXP significa deixar um ponto cego em nossas defesas coletivas. Uma Internet resiliente não é possível sem IXP resilientes. O caminho a seguir não é centralizar mais tráfego em menos lugares, mas construir pontos de interconexão diversos, neutros e bem governados que reflitam a mesma descentralização que levou ao sucesso da Internet.
*Modificado em 6 de agosto de 2025.
As opiniões expressas pelos autores deste blog são próprias e não refletem necessariamente as opiniões de LACNIC.
