Blog
A carta de autorização (LOA): o que é e quem a assina
Uma carta de autorização (Letter of Authorization, LOA) é uma declaração assinada pelo titular de um bloco de endereços de que uma rede identificada o pode anunciar. Os fornecedores upstream, os pontos de troca de tráfego e muitos fornecedores de alojamento e cloud pedem uma antes de aceitarem um prefixo que nunca viram vindo de si. É a metade legível por pessoas de uma autorização cuja metade legível por máquinas é o ROA e o objeto route, e quem a pede normalmente quer ambas.
O que contém uma LOA
Não há um formulário oficial único, mas qualquer boa LOA responde às mesmas perguntas:
- O prefixo, exatamente como vai ser anunciado: 203.0.113.0/24.
- O titular, a organização que o registo indica para o bloco, com a sua morada.
- Quem o pode anunciar: a organização do cliente e o número AS que vai originar a rota.
- Através de quem: o upstream ou fornecedor a quem a carta é dirigida, e o seu ASN quando relevante.
- Durante quanto tempo: uma data de início e uma data de fim, ou «durante o aluguer».
- Uma assinatura de alguém que pode vincular o titular, com um contacto para questões.
Um exemplo simples, com valores de documentação:
14 October 2026
To: Example Transit Ltd (AS64511)
Letter of authorization for 203.0.113.0/24
Example Holder B.V., the registered holder of 203.0.113.0/24, authorizes
Example Customer GmbH to announce 203.0.113.0/24 from AS64500 through
Example Transit Ltd, from 14 October 2026 until 13 October 2027.
Signed for Example Holder B.V., name and position, contact addressQuem a pede
- Os fornecedores de trânsito e os pontos de troca de tráfego, antes de adicionarem o prefixo aos filtros da sua sessão.
- Os fornecedores de alojamento e cloud que aceitam o seu espaço. A Vultr pede o carregamento de uma LOA com um pedido BGP, a Leaseweb quer uma para cada bloco, assinada pelo titular, e a Cloudflare pode gerar a sua. A AWS, o Azure e a Google Cloud não pedem nenhuma: verificam o ROA e um certificado no registo, ou, na Google, um registo PTR. Cada guia por fornecedor diz qual (guias BYOIP).
- Os serviços de proteção DDoS que anunciam o seu prefixo durante um ataque.
LOA, ROA e objeto route
Respondem à mesma pergunta para leitores diferentes, e é por isso que normalmente precisa dos três.
| Escrito por | Lido por | Verificado | |
|---|---|---|---|
| LOA | O titular | Pessoas no seu upstream ou fornecedor | À mão, face ao registo |
| ROA | O titular, no RPKI do registo | Routers, através de validadores | Automaticamente, em cada rota (RPKI e ROA) |
| Objeto route | O titular, ou com a sua autorização | Filtros de prefixos construídos a partir de registos de encaminhamento | Automaticamente, quando os filtros são reconstruídos (objetos route) |
Uma LOA sem um ROA correspondente pode mesmo assim falhar: se existir um ROA para o bloco com outro ASN, o seu anúncio aparece como invalid, por melhor que seja a carta.
Erros que levam uma LOA a ser rejeitada
- Assinada por alguém que não o titular registado. Os fornecedores comparam a carta com o registo. A carta de um revendedor para espaço que não detém não basta.
- O ASN errado, ou nenhum ASN.
- Caducada. Alguns fornecedores verificam as datas, pelo que uma carta que caducou no mês passado trava hoje uma alteração.
- Um bloco maior do que o que usa. Indique o prefixo que vai anunciar, não a alocação de onde vem.
Se aluga o bloco
É o titular que escreve a LOA, porque só o titular o pode fazer. Num aluguer, é o locador. Peça-a no início, indicando o upstream ou fornecedor e o ASN, e peça uma nova quando algum deles mudar.
Onde entra a RTM Networks
Para espaço que nos aluga, emitimos a LOA sempre que precisar, dirigida ao seu upstream ou fornecedor e com o seu ASN, juntamente com o ROA e o objeto route que a acompanham (alugar IPv4).
Contacto
Precisa de aconselhamento para a sua situação?
Este artigo é geral; a sua rede não é. Diga-nos com o que está a trabalhar e analisamos o caso com atenção. Normalmente respondemos em 1 a 3 horas úteis.
