Contratas una segunda línea con otro operador, configuras el failover en el firewall y lo pruebas desenchufando la principal: la navegación vuelve en unos segundos y el asunto queda cerrado. Esa prueba mide lo que sale de la oficina. Lo que entra —tu VPN, tu correo, el portal que usan tus clientes— viaja hacia una dirección IP que sigue siendo del primer operador.
Escribimos esto como operador: everyWAN tiene red propia, ASN, tránsito, peering y un looking glass público en lg.everywan.com. O sea que vendemos exactamente lo que va a salir aquí, y por eso el artículo incluye la lista de casos en los que no hace falta comprarlo. Sin esa lista, esto sería un folleto.
El segundo enlace no mueve tu IP: la sustituye
Las direcciones IP fijas que te da un operador son suyas. Están dentro de un bloque más grande que ese operador anuncia al resto de internet, y salvo que el propietario lo autorice por escrito —cosa que casi nunca hace— ningún otro operador las va a anunciar por ti. Además, lo que te entregan suele ser un puñado de direcciones, un /29 o menos, muy por debajo de lo que el resto de internet acepta como anuncio. Así que cuando el enlace principal cae y el firewall pasa el tráfico al segundo, tus servicios publicados cambian de dirección, no de camino.
Y cambiar de dirección tiene una factura que se paga en sitios distintos y a horas distintas. Los registros DNS apuntan a la vieja hasta que caduca el TTL, y el TTL manda sobre las prisas de cualquiera. Las sesiones abiertas —terminal server, cliente de escritorio del ERP, la sesión de escritorio remoto de la gestoría— se cortan. Los túneles a la central o a un cliente, si están montados contra una IP y no contra un nombre, dejan de negociar. Y luego está el escalón que nadie apunta en el acta: los terceros que tienen tu IP en una lista blanca. El banco, la plataforma de facturación electrónica, el proveedor con EDI, el registro que solo acepta consultas desde una dirección declarada por escrito. Ninguno de ellos actualiza su lista en quince minutos porque tú hayas tenido un corte.
Es la misma trampa que contábamos en redundancia no es diversidad de ruta, un piso más arriba. Allí el problema era que dos enlaces contratados por separado compartían la misma zanja. Aquí comparten algo peor: la identidad con la que te encuentran.
Tres maneras de tener dos caminos
Puestas en fila, las opciones reales son tres, y se diferencian por lo que le pasa a la dirección IP cuando algo falla.
- Dos líneas del mismo operador. La dirección puede mantenerse, porque sigue siendo del mismo dueño y él decide por dónde entregarla. Cubre la avería del router, del latiguillo o del acceso; no cubre que el operador tenga un problema en su red, ni un corte de fibra que afecte a los dos accesos si comparten recorrido. Es la opción más barata y la más fácil de contratar, y por eso es la que más se vende como «redundancia».
- Dos operadores, cada uno con su rango. Sales por donde funcione, y para el tráfico saliente resuelve de verdad. Para el entrante, la dirección cambia con el corte: es la mudanza del apartado anterior, con su TTL, sus sesiones cortadas y sus listas blancas ajenas. Se puede paliar —DNS con TTL bajo, nombres en vez de IP en los túneles, comprobaciones de servicio hechas desde fuera— y para muchas empresas eso es suficiente. Lo caro es enterarse el día del corte.
- Un bloque tuyo, anunciado por ti a dos operadores. Necesitas un número de sistema autónomo (ASN) y un prefijo propio. Los dos operadores anuncian tu prefijo al resto de internet; si uno se cae, la ruta sobrevive por el otro y la dirección no se mueve. Es lo único de la lista que mantiene la identidad intacta también cuando el problema está dentro de la red del operador y no en el acceso, y lo único que te convierte en administrador de una pieza de la tabla de rutas global.
La cuenta del bloque propio, con las cifras de 2026
El esquema de tarifas del RIPE NCC para 2026 fija 1.800 € al año por cuenta de LIR, más 50 € por cada ASN asignado y 75 € por cada asignación de recurso independiente —los tipos más habituales ahí son los PI de IPv4 e IPv6, los anycast y los de punto neutro—. El alta cuesta 1.000 € una sola vez. Sumado: 2.850 € el primer año si solo tienes el ASN, y 1.850 € en los siguientes; 1.925 € si además mantienes algún recurso independiente.
Para muchas empresas ese número es asumible, y ahí es donde suele empezar el entusiasmo. El problema no es el dinero: es que no hay direcciones IPv4 que comprar con él. La propia página del RIPE lo dice sin adornos: «aunque nos hemos quedado sin direcciones IPv4, los miembros del RIPE NCC todavía pueden solicitar una única asignación /24», y añade la condición que descarta a casi todo el sector, «los miembros existentes solo pueden presentar una solicitud si nunca antes han recibido una asignación de IPv4 del RIPE NCC, de cualquier tamaño». Esa solicitud entra en una lista de espera que se alimenta de direcciones recuperadas de empresas que cierran. No hay fecha.
Quedan dos salidas. Una es el mercado de transferencias: se compra un /24 —256 direcciones, la pieza más pequeña que el enrutado global acepta en la práctica: el RFC 7454, que recoge las buenas prácticas de operación de BGP, dice que «los prefijos IPv4 más largos de /24 y los IPv6 más largos de /48 generalmente ni se anuncian ni se aceptan en internet»— a quien lo tenga y ya no lo use. Los precios los publican los intermediarios y bailan por región y por tamaño de bloque; IPv4.Global, uno de los mercados públicos, sitúa en su propia web la horquilla de entre 30 y 40 dólares por dirección referida a 2024. Con la cuenta hecha, un /24 son entre 7.700 y 10.200 dólares de golpe: tres o cuatro veces lo que cuestan todas las cuotas del RIPE juntas, y el número que de verdad pesa en el presupuesto. Tómalo como orden de magnitud y pide precio el día que vayas a comprar. La otra salida es no comprar IPv4 y montar el bloque propio en IPv6, con lo que sigues necesitando direcciones IPv4 prestadas del operador para todo lo que aún no habla IPv6, que en la práctica es casi todo lo que tienen tus clientes.
Un apunte que ahorra dinero: no hace falta ser LIR para tener un ASN. Se puede pedir a través de un LIR patrocinador: el RIPE le cobra a él los 50 €, y tú pagas lo que ese LIR te repercuta, sin la cuota anual de 1.800 €. Y hay un requisito de política que conviene leer antes de ilusionarse, porque está escrito en la web del RIPE: «la política actual del RIPE exige que una red sea multi-homed y tenga una política de enrutado única para que se le asigne un ASN». Es decir: el ASN no es el primer paso hacia el multihoming, es la consecuencia de haberlo decidido.
Lo que no está en el presupuesto: el router y noventa segundos
Si tus operadores te pasan la tabla completa, tu equipo tiene que guardarla entera. Cuánto es «entera» se puede consultar hoy mismo. El informe diario de BGP de Geoff Huston daba 1.076.340 prefijos IPv4 activos desde uno de los puntos de observación que publica, en la muestra de las 11:01 UTC de hoy, 27 de agosto de 2026. La vista de Route Views que publica el mismo informe daba 1.121.846 a las 10:00 UTC de ese día: el número depende de dónde mires, y por eso conviene decir desde dónde. Se consulta en una línea:
curl -s https://bgp.potaroo.net/as2.0/bgp-active.txt | tail -1Ese millón largo de rutas, más la tabla de IPv6, más los atributos de cada una, es lo que descarta al firewall pequeño que llevaba años haciendo su trabajo. Hay salida sin comprar hierro grande —pedir a los dos operadores solo la ruta por defecto, o una tabla parcial, y quedarte con la redundancia sin la ingeniería de tráfico—, y es una decisión razonable siempre que se tome a propósito, porque cambia lo que puedes hacer después.
La otra sorpresa es el reloj. BGP no se entera de que el vecino ha desaparecido hasta que vence el temporizador de espera, y el valor por defecto que sugiere el RFC 4271 es de noventa segundos, con los mensajes de mantenimiento a un tercio de ese tiempo. El mismo documento sugiere además espaciar los anuncios hacia un vecino externo treinta segundos. Traducido: si el enlace no se cae del todo sino que deja de pasar tráfico con la interfaz encendida, la conmutación por defecto tarda minuto y medio. Se arregla con dos cosas concretas: bajar los temporizadores de acuerdo con el operador y activar BFD, que si el operador lo ofrece en ese servicio baja la detección de noventa segundos a unos cientos de milisegundos. Ninguna de las dos viene puesta.
Sostener el anuncio, todos los días
Anunciar un prefijo es entrar en una conversación permanente con el resto de internet, y esa conversación tiene mantenimiento. Hay que firmar los ROA de RPKI para que tu origen sea verificable, mantener los objetos en el registro de enrutado para que los filtros de los demás te dejen pasar, y avisar a los dos operadores cada vez que cambie algo. Y hay que saber que firmar no es lo mismo que estar protegido: lo desarrollamos en RPKI no impide que te secuestren la ruta, porque un ROA valida el origen del anuncio, no el camino que sigue.
Hay una ventaja que solo se cobra el día del ataque. Con prefijo propio y BGP puedes pedir a tus operadores que descarten en su red el tráfico hacia una dirección concreta —eso es RTBH— y quitarte de encima una denegación de servicio antes de que te sature el acceso, a cambio de que esa dirección deje de recibir todo lo que le llegue, también lo bueno: se sacrifica una IP para salvar las demás. Sin prefijo propio dependes de que el operador quiera y sepa hacerlo por ti. Lo contamos con detalle en por qué el firewall no salva tu enlace en un DDoS: la mitigación útil ocurre aguas arriba, y tener tu propio anuncio es lo que te da voz aguas arriba.
Cuándo esto no te hace falta
Si de tu oficina solo sale tráfico —la gente navega, usa correo en la nube y aplicaciones de terceros— y no hay nada publicado que alguien tenga que alcanzar desde fuera, el bloque propio no te aporta nada que justifique la cuota. Dos operadores y un equipo que sepa conmutar resuelven el caso entero. Si además tienes varias sedes y el problema es repartir el tráfico entre transportes distintos, la respuesta suele estar en SD-WAN, cuando compensa y cuando sobra, no en la tabla de rutas global.
Tampoco te hace falta si todo lo que publicas vive detrás de un CDN o de un proxy inverso: en ese caso la dirección que ve el mundo es la del proveedor, no la tuya, y la conversación se traslada a cómo llega ese proveedor hasta tu origen. Y no te hace falta —esto es lo importante— si nadie en tu empresa va a mantenerlo. Un prefijo propio mal sostenido, con ROA caducados o filtros desactualizados, es peor que no tenerlo: te deja fuera de internet un martes cualquiera sin que se haya caído ningún enlace.
Sí te hace falta cuando la lista de lo que entra es larga y cara de mover: una VPN de acceso remoto contra IP fija, un servidor de correo con la reputación construida sobre una dirección concreta, integraciones de clientes que declararon tu IP por escrito, un portal con sesiones largas. Ahí la pregunta deja de ser cuánto cuesta el ASN y pasa a ser cuánto cuesta la hora en la que tu dirección no es la que todos tienen apuntada.
¿Qué se rompe cuando cambia tu IP?
Hacer esa lista —qué entra, contra qué dirección y quién la tiene apuntada fuera— es por donde empezamos cuando diseñamos redes y comunicaciones que hagamos, y muchas veces termina en que no te hace falta ningún ASN, sino ordenar el reparto de tráfico entre sedes. Cuando sí hace falta, somos operador con red propia y podemos ser uno de tus dos caminos.
Hablar con everyWANNota de fuentes
Cuotas: esquema de tarifas del RIPE NCC para 2026 (documento ripe-848), de donde salen los 1.800 € por cuenta de LIR, los 75 € por asignación de recurso independiente, los 50 € por ASN y los 1.000 € de alta, así como la lista de recursos que entran en el cargo de 75 €. Situación de IPv4 y requisito de política del ASN: páginas oficiales del RIPE NCC sobre IPv4 y sobre números de sistema autónomo; las dos citas están traducidas por nosotros del original en inglés. Horquilla del mercado secundario: cifra publicada por IPv4.Global en su propia web y referida a 2024, citada como orden de magnitud y no como precio actual. Temporizadores: RFC 4271, sección 10, «BGP Timers» —noventa segundos de HoldTime sugerido, KeepaliveTime a un tercio y treinta segundos de intervalo mínimo entre anuncios en sesiones externas—. Tamaño de la tabla: informe diario de BGP de Geoff Huston (bgp.potaroo.net), fichero bgp-active.txt, muestra de las 11:01 UTC del 27 de agosto de 2026, consultada por nosotros con el comando que aparece en el artículo; la cifra de Route Views (1.121.846 a las 10:00 UTC del mismo día) sale del fichero equivalente del mismo informe. Que dos vistas den números distintos es normal: cada colector ve lo que le anuncian sus vecinos. Por eso este número no se puede comparar con el de 1.445.943 rutas que publicamos el 6 de agosto a partir de Cloudflare Radar, que suma IPv4 e IPv6 y agrega decenas de puntos de observación. Longitud mínima de prefijo: RFC 7454, apartado 6.1.3, citando la práctica documentada por la comunidad RIPE. El efecto de los temporizadores por defecto en una conmutación real es una observación de nuestra operación como operador con red propia, no de las fuentes citadas. Las opiniones sobre cuándo compensa y cuándo no, también.
Microsoft 365
ES 
CAT 
EN