Daten, die von einem Unternehmensstandort zu einem Cloud-Dienst unterwegs sind, durchlaufen meist mehrere Netze verschiedener Betreiber. Welchen Weg die Pakete nehmen, legt keine zentrale Stelle fest – diese Aufgabe erledigt das Border Gateway Protocol (BGP). Mit ihm handeln Netzbetreiber weltweit untereinander aus, welche Ziele über welche Pfade erreichbar sind.
Für IT-Verantwortliche ist BGP aus zwei Gründen von Bedeutung. Erstens hängt die Qualität externer Verbindungen unmittelbar an den Routing-Entscheidungen der beteiligten Provider. Zweitens können Fehler oder Angriffe im globalen Routing den eigenen Betrieb treffen, ohne dass im eigenen Netz irgendetwas falsch konfiguriert wäre. Wer die Grundzüge kennt, bewertet Anbieter fundierter und ordnet Vorfälle schneller ein.
Was ist BGP?
BGP organisiert den Austausch von Erreichbarkeitsinformationen zwischen autonomen Systemen. Ein autonomes System (AS) ist ein Netz unter einheitlicher administrativer Kontrolle – etwa das Netz eines Internetproviders, eines Carriers oder eines großen Unternehmens. Jedes AS führt eine weltweit eindeutige Nummer, die von den regionalen Internet-Registries vergeben wird. Auch manche Managed-Service-Provider betreiben eigene Netzinfrastruktur mit eigenem autonomen System und treffen ihre Routing-Entscheidungen selbst.
Per BGP informiert ein AS seine direkten Nachbarn darüber, welche IP-Adressbereiche – sogenannte Präfixe – über ihn erreichbar sind. Diese Mitteilungen heißen Announcements. Sie werden von Netz zu Netz weitergereicht und ergeben in Summe die globale Routing-Tabelle. Eine zentrale Instanz, die Wege vorschreibt, gibt es im Internet nicht: Das System funktioniert, weil zehntausende autonome Systeme ihre Routen wechselseitig bekannt geben und die Angaben ihrer Nachbarn weiterverarbeiten. Insofern ist BGP das Protokoll, das das Internet zusammenhält – wird es gestört oder manipuliert, verschwinden ganze Netze aus der Erreichbarkeit.
Funktionsweise
- Nachbarschaften statt Automatik: BGP-Router bauen gezielt konfigurierte Sitzungen zu festgelegten Partnern auf, den Peers. Jede Nachbarschaft ist eine bewusste Entscheidung beider Seiten und bildet meist eine Geschäftsbeziehung ab.
- Announcements und Withdrawals: Ein AS kündigt Präfixe an, die es selbst hält oder von Kunden gelernt hat. Fällt ein Pfad aus, zieht der Router die Route zurück, und die Nachbarn berechnen Alternativen.
- Pfadwahl über Attribute: Führt zu einem Ziel mehr als ein Weg, entscheidet BGP anhand von Attributen – wichtig sind unter anderem die lokale Präferenz und die Länge des AS-Pfads, also die Zahl der zu durchquerenden Netze.
- Policy schlägt Geschwindigkeit: BGP optimiert keine technischen Metriken wie Bandbreite oder Auslastung. Es setzt Richtlinien durch, etwa den Vorrang von Kundenrouten oder das Meiden teurer Transitwege.
- Schrittweise Konvergenz: Ändert sich die Topologie, wandern Updates von Nachbar zu Nachbar, bis alle beteiligten Router wieder einen konsistenten Stand haben.
Warum es wichtig ist
- Jeder öffentlich erreichbare Dienst setzt voraus, dass seine IP-Präfixe korrekt per BGP angekündigt werden.
- Erst ein eigenes AS mit eigenen Announcements ermöglicht Multihoming – die gleichzeitige Anbindung an mehrere Provider mit automatischem Failover.
- Über die Pfadsteuerung lassen sich Latenz und Kosten beeinflussen, etwa wenn Verkehr bevorzugt über direkte Peerings statt über Transit fließt.
- Route Leaks – versehentlich weitergegebene Routen – können Verkehr über falsche Netze führen und Verbindungen deutlich verlangsamen.
- Route Hijacking bezeichnet das absichtliche Ankündigen fremder Präfixe, um Verkehr umzulenken oder abzufangen. Solche Vorfälle treffen immer wieder auch große Anbieter.
- RPKI wirkt dagegen: Netzbetreiber hinterlegen kryptografisch signierte Nachweise, welches AS ein Präfix ankündigen darf, und Router verwerfen ungültige Announcements automatisch.
Typische Szenarien
- Ein Unternehmen bindet seinen Hauptstandort an zwei Provider an. Mit eigenem AS und eigenen Adressbereichen übernimmt die zweite Anbindung bei einem Leitungsausfall automatisch.
- Ein Betreiber will Verkehr zu einer Public Cloud über einen privaten, direkten Pfad führen und steuert die Wegewahl über BGP-Announcements auf dedizierten Verbindungen.
- Nach einem Routing-Vorfall bei einem großen Carrier prüft das Betriebsteam, ob eigene Präfixe betroffen waren, und verschärft die Filter gegenüber den Peers.
- Beim Umzug in ein neues Rechenzentrum wandern Adressbereiche kontrolliert mit: Announcements werden am neuen Standort schrittweise aktiviert und am alten zurückgezogen.
In der Praxis lagern viele Unternehmen Konzeption und Betrieb solcher Anbindungen an spezialisierte Netzbetreiber aus, etwa im Rahmen von Cloud Connectivity & SDN, statt eigenes BGP-Know-how rund um die Uhr vorzuhalten.
Abgrenzung: BGP und Interior-Routing (OSPF)
BGP und Interior-Protokolle wie OSPF beantworten unterschiedliche Fragen. OSPF arbeitet innerhalb einer Organisation: Es kennt die vollständige Topologie des eigenen Netzes und berechnet daraus den kürzesten Weg zwischen zwei Punkten. BGP arbeitet zwischen Organisationen: Es kennt keine Interna fremder Netze und setzt stattdessen Richtlinien durch, welche Wege Verkehr über Netzgrenzen hinweg nehmen darf. Im Zusammenspiel ergänzen sich beide Ebenen – OSPF hält das interne Netz konsistent, BGP verbindet es mit der Außenwelt und trägt dafür die vollständige Routing-Tabelle des Internets.
Häufige Fragen
Was ist ein autonomes System (AS)?
Ein autonomes System ist ein Netz unter einheitlicher administrativer Kontrolle, das eine weltweit eindeutige Nummer führt und eine eigene Routing-Politik verfolgt. Provider und große Unternehmen betreiben eigene AS. Die Nummern vergeben die regionalen Internet-Registries, in Europa die RIPE NCC. Erst ein eigenes AS erlaubt es, Announcements – und damit die eigenen Netzpfade – selbst zu steuern.
Wo liegt der Unterschied zwischen BGP und OSPF?
OSPF ist ein Interior-Protokoll: Es berechnet innerhalb eines Netzes den kürzesten Weg auf Basis der vollständigen Topologie. BGP verbindet dagegen unabhängige Netze und setzt Richtlinien durch, welche Pfade Verkehr zwischen Organisationen nimmt. Unternehmen nutzen OSPF im eigenen Backbone und BGP an den Übergängen zu Providern und Partnern.
Was ist Route Hijacking?
Beim Route Hijacking kündigt ein Netz fremde IP-Präfixe an – absichtlich oder infolge einer Fehlkonfiguration. Andere Router übernehmen die falsche Route und leiten Verkehr in das falsche Netz, wo er mitgelesen oder verworfen werden kann. Schutz bieten saubere Filter gegenüber Peers sowie RPKI, mit dem Router ungültige Announcements automatisch ablehnen.
Wann lohnt sich ein eigenes AS?
Ein eigenes AS ist sinnvoll, wenn eine Organisation mehrere Provider parallel nutzen, eigene IP-Adressbereiche behalten oder die Wegewahl ihres Verkehrs selbst bestimmen will. Für einen einzelnen Standort mit einer Anbindung reicht meist der Adressraum des Providers. Die Einführung verlangt ein tragfähiges Routing-Konzept und laufenden Betrieb; beides lässt sich an einen erfahrenen Partner übergeben.
Was ist RPKI?
RPKI steht für Resource Public Key Infrastructure. Netzbetreiber hinterlegen dort kryptografisch signierte Objekte, die festlegen, welches autonome System ein IP-Präfix ankündigen darf. Router gleichen eingehende Announcements damit ab und verwerfen ungültige Routen. Das entschärft viele Hijacks und Leaks, ersetzt aber keine sorgfältigen Routing-Filter zwischen den beteiligten Netzen.