En España, los bloqueos de Cloudflare relacionados con el fútbol provocan fallas en Docker Pull

• Se detectó un problema en España donde se bloquean las solicitudes de descarga de imágenes de Docker (docker pull)
• Se confirmó que la causa fue que la política de bloqueo de Cloudflare relacionada con transmisiones de partidos de fútbol también afectó el tráfico de Docker Hub
• Debido a este bloqueo, se produjeron interrupciones temporales en los procesos de configuración de entornos de desarrollo y automatización de despliegues
• Se estima que Cloudflare realizó un filtrado incorrecto de dominios en la ruta de red
• Es un caso que muestra que las políticas globales de bloqueo de CDN pueden afectar directamente la operación de infraestructura de desarrollo

---

Bloqueo de acceso a Docker Hub ocurrido en España

• Se reportaron casos en los que fallaron las solicitudes de descarga de imágenes desde Docker Hub en algunas redes dentro de España
• Se confirmó que el tráfico fue bloqueado en el tramo que pasa por Cloudflare
• Se informó que la causa del bloqueo fue un mal funcionamiento de la política de filtrado de Cloudflare para impedir transmisiones ilegales de partidos de fútbol

Impacto en el entorno de desarrollo

• Al bloquearse el acceso a Docker Hub, se produjo la interrupción de pipelines de CI/CD y procesos de despliegue automático
• También en entornos de desarrollo locales, la falla al descargar imágenes esenciales impidió ejecutar nuevos contenedores
• Muestra que un cambio temporal en políticas de red puede provocar interrupciones directas en la operación de infraestructura de desarrollo a nivel global

[GN⁺]

Opiniones de Hacker News

• Mi ISP directamente descarta el tráfico hacia esa IP. No funcionan ni el ping ni el traceroute, y el navegador solo se queda cargando hasta terminar en “no se puede encontrar la página”
  LaLiga está ignorando este problema, tratándolo como “algo menor que solo les pasa a unos cuantos nerds”. Pero en realidad hay casos en los que servicios como dispositivos de hogar inteligente o apps de rastreo para pacientes con demencia dejan de funcionar durante los partidos. Por ejemplo, hubo un caso en el que una mujer pidió ayuda porque no podía encontrar a su padre (enlace al artículo)
  Esto no debería pasar, pero es triste que solo cuando hay este tipo de daños en la vida real el público llegue a reconocer la gravedad del problema de la censura

  • El GFW (Gran Cortafuegos) de China funciona de forma parecida. No es solo un bloqueo de DNS, sino que da la sensación de que internet está roto de forma incompleta en algún lado. También hay muchos sitios bloqueados por accidente y problemas de enrutamiento frecuentes
    Este tipo de sistemas de censura a veces benefician al Estado o a las empresas, pero al final estamos provocando el colapso de la infraestructura de comunicaciones. No es solo un tema de libertad: también hay que pensar que estamos desmantelando el propio internet que tanto trabajo nos costó construir
  • Quienes se hayan visto afectados por esto deberían presentar quejas ante su ISP y la Oficina de Atención al Usuario de Telecomunicaciones, y exigir compensación por las pérdidas económicas
  • Lo que hace LaLiga es absurdo, pero este caso también debería hacernos pensar otra vez en los riesgos de la centralización en Cloudflare
  • La causa de fondo del problema está en el mal diseño de dispositivos IoT que se convierten en ladrillos cuando se cae internet
  • También ya es momento de considerar poner una VPN en los trabajos de CI

• Durante los partidos de LaLiga, se bloquea todo Cloudflare R2 y Docker Hub también sufre daño colateral (collateral). Todos los servicios proxied a través de CF se detienen
  Existe el sitio hayahora.futbol para comprobar si hay partido en curso. Ahí también se puede verificar si tu dominio está siendo afectado

  • No entiendo por qué hacen esto. Dicen que, como no saben español, les cuesta entender la razón
  • El efecto shader del fondo del sitio está impresionante. Parece como un rito de paso de los desarrolladores web, como este ejemplo de Shadertoy

• En HN aparece seguido la indignación por los bloqueos de LaLiga, pero no hay cambios
  Yo no vivo en España, pero creo que harían falta pasos como estos

  1. Crear una comunidad en línea (Telegram, Discord, subreddit, etc.) para compartir casos de personas afectadas
  2. Construir una wiki que reúna la base legal y las formas de respuesta
  3. Mantener un sitio que explique los horarios del apagón y su impacto de forma que cualquiera lo entienda
  4. Aprovechar mecanismos de acción política, como sistemas de peticiones — por ejemplo, el sistema oficial de peticiones de Portugal
     Como demandas, se podría proponer que LaLiga compense el costo de internet, o que al inicio y al final del partido se inserten subtítulos avisando sobre la “restricción de la conexión a internet”

• Este tipo de bloqueo de IP completa es una forma de control realmente ineficiente. Cloudflare opera cientos de miles de servicios sobre IPs compartidas, así que al bloquear uno también dejas fuera registros de Docker y APIs
  Una solución temporal sería poner un pull-through registry cache en un VPS fuera de España y apuntar el daemon de Docker hacia ahí. Así se evita el bloqueo y también se puede esquivar el rate limit de Docker Hub
  Que una sola orden de control contra transmisiones de fútbol termine deteniendo el docker pull de todo un país es una realidad ridícula

  • En realidad no es tanto un bloqueo completo de IP, sino un intento de interceptación de DNS e IP. La mayoría de las veces falla por la discrepancia del certificado, pero el resultado final es el mismo: no se puede acceder
  • La próxima vez quizá hasta bloqueen Azure y también deje de funcionar el sitio oficial de LaLiga

• A menos que alguna gran empresa de internet presente una demanda, parece difícil que esto cambie.
  Alguien debería escribir una película de atracos ambientada en España, donde durante un partido se aprovecha el bloqueo de LaLiga para atravesar los sistemas de seguridad

• Esto es como cerrar el suministro de agua de toda una ciudad porque una casa tiene un problema de fuga. El daño social es muchísimo mayor

  • Si crees que esto es lo peor que ha hecho el gobierno español, te recomiendan buscar los casos de violaciones de derechos humanos en Catalunya (enlace relacionado)

• Como residente en España, yo también estoy teniendo el mismo problema. La solución es usar una VPN o cambiar de servidor DNS
  El DNS de Cloudflare usa EDNS Client Subnet (ECS) para devolver IPs distintas según la región. Si usas un resolver fuera de España o DoH/DoT, puedes recibir una IP no bloqueada. AdGuard DNS funciona bien

• Los seres humanos tienden a introducir nuevas políticas sin probarlas adecuadamente. Estas políticas de bloqueo no son la excepción

  • Primero deberían pasar por pruebas a pequeña escala
  • Debería existir un canal de retroalimentación para las personas afectadas por la política (por ejemplo, indicándolo claramente con un código HTTP 451)
  • La política debería incluir una fecha de revisión
    Estos principios deberían aplicarse al diseño de cualquier política

• Bloquear dominios e IPs durante los partidos de LaLiga ya se volvió una rutina cotidiana
  Casos parecidos incluyen “servidores de juegos bloqueados en España durante partidos” (enlace) y “el caso en que LaLiga bloqueó el acceso a freedom.gov” (enlace)

• Como español, preferiría que Cloudflare simplemente suspendiera sus servicios en España. Sin presión internacional, parece que este abuso no va a terminar

  • Al menos por un día podrían declarar un “día de concientización” y hacer un evento bloqueando las mismas IPs que en los partidos reales. Pero por contrato seguramente no se puede
  • Como otro español, estoy completamente de acuerdo. Esta situación es realmente absurda