BGP-Routing erklärt
Verstehen Sie, wie das Border Gateway Protocol das Internet-Routing steuert — von der Pfadauswahl über die RPKI-Sicherheit bis hin zur Bedeutung für IPv4-Adressübertragungen. Ein Leitfaden von IPv4Center.
Was ist BGP?
Das Border Gateway Protocol (BGP) ist das Exterior-Gateway-Routing-Protokoll, das bestimmt, wie Datenpakete zwischen autonomen Systemen (AS) im Internet weitergeleitet werden. In RFC 4271 definiert, ist BGP-4 das einzige Protokoll, das die vollständige Internet-Routing-Tabelle verwalten kann, die Stand 2026 über 1 Million IPv4-Präfixe enthält.
Jedes mit dem Internet verbundene Netzwerk — ob Internetanbieter, Cloud-Provider, Unternehmensnetzwerk oder Content-Delivery-Netzwerk — nutzt BGP, um die eigenen IP-Adresspräfixe anzukündigen und Pfade zu allen anderen Präfixen im Internet zu erlernen. Ohne BGP gäbe es keinen Mechanismus für die rund 75.000 autonomen Systeme weltweit, Erreichbarkeitsinformationen auszutauschen.
BGP arbeitet als Pfad-Vektor-Protokoll und zeichnet den vollständigen AS-Pfad auf, den eine Route durchlaufen hat. Dies unterscheidet es grundlegend von Interior-Gateway-Protokollen wie OSPF oder IS-IS, die innerhalb einer einzelnen Organisation arbeiten. BGP nutzt TCP-Port 179, um Sitzungen zwischen Peers aufzubauen und eine zuverlässige Übermittlung von Routing-Updates zu gewährleisten.
Wie die BGP-Pfadauswahl funktioniert
Wenn ein BGP-Router mehrere Pfade zum selben Zielpräfix empfängt, muss er den besten auswählen. BGP verwendet einen definierten Entscheidungsprozess, der Routen durch eine Reihe von Kriterien bewertet. Der Router durchläuft diese Schritte der Reihe nach und stoppt, sobald ein einziger bester Pfad identifiziert ist:
1. Höchstes Gewicht (Weight) — Ein Cisco-proprietäres Attribut (lokal auf dem Router). Höheres Gewicht wird bevorzugt. 2. Höchste lokale Präferenz — Wird innerhalb eines AS über iBGP geteilt. Der Standardwert ist 100; höhere Werte werden bevorzugt. 3. Lokal erzeugte Routen — Vom lokalen Router erzeugte Routen werden bevorzugt. 4. Kürzester AS-Pfad — Weniger AS-Hops bedeuten in der Regel eine direktere Route. Dies ist das am häufigsten verwendete Traffic-Engineering-Instrument. 5. Niedrigster Origin-Typ — IGP (i) wird gegenüber EGP (e) bevorzugt, EGP gegenüber Incomplete (?). 6. Niedrigster MED — Der Multi-Exit Discriminator schlägt externen Nachbarn den bevorzugten Eintrittspunkt in Ihr AS vor. 7. eBGP vor iBGP — Extern erlernte Routen werden gegenüber intern erlernten bevorzugt. 8. Niedrigste IGP-Metrik zum nächsten Hop — Der Pfad mit dem nächsten Next-Hop-Router (nach IGP-Kosten) gewinnt. 9. Älteste Route — Für Stabilität wird die am längsten bekannte Route bevorzugt.
Netzwerkingenieure nutzen diese Attribute für das Traffic Engineering — die Steuerung, welche Pfade ein- und ausgehender Datenverkehr nimmt. Das Voranstellen zusätzlicher AS-Nummern an den AS-Pfad (Prepending) ist eine gängige Technik, um einen Pfad weniger attraktiv zu machen, während die lokale Präferenz zur Steuerung der ausgehenden Routing-Politik innerhalb eines AS verwendet wird.
BGP und IPv4-Adressübertragungen
Wenn Sie IPv4-Adressen kaufen, ist die BGP-Ankündigung ein entscheidender Schritt, um diese Adressen im Internet nutzbar zu machen. Das übertragene Präfix muss von der Autonomen Systemnummer (ASN) des Käufers angekündigt werden, und Upstream-Provider müssen diese Ankündigung für globale Erreichbarkeit akzeptieren und weitergeben.
Bevor ein übertragener IPv4-Block angekündigt werden kann, müssen mehrere Schritte abgeschlossen werden. Die regionale Internet-Registratur (RIR) muss die WHOIS-Einträge aktualisieren, um den neuen Inhaber widerzuspiegeln. Eine RPKI Route Origin Authorization (ROA) muss erstellt werden, die das Präfix an die ASN des Käufers bindet. Die Upstream-Transit-Provider des Käufers müssen ihre Router so konfigurieren, dass sie das neue Präfix akzeptieren und weiterleiten.
Die Mindestpräfixgröße, die von den meisten BGP-Peers im globalen Internet akzeptiert wird, beträgt /24 (256 Adressen). Präfixe, die länger als /24 sind (wie /25 oder /28), werden typischerweise von Upstream-Providern gefiltert und sind für den Rest des Internets nicht sichtbar. Deshalb ist /24 die Standard-Mindesthandelseinheit auf dem IPv4-Transfermarkt.
RIR-Einträge aktualisieren
WHOIS- und RDAP-Einträge müssen vor der Ankündigung den neuen Inhaber widerspiegeln. Für Inter-RIR-Transfers ist eine RIR-Genehmigung erforderlich.
RPKI ROA erstellen
Eine Route Origin Authorization bindet das Präfix kryptographisch an die autorisierte ASN und verhindert Hijacking.
Upstream-BGP konfigurieren
Transit-Provider müssen das neue Präfix in ihre Filter aufnehmen und die BGP-Ankündigung von der ASN des Käufers akzeptieren.
Globale Sichtbarkeit überprüfen
Verwenden Sie Looking-Glass-Tools und Route-Kollektoren, um zu bestätigen, dass das Präfix weltweit von mehreren Standorten aus sichtbar ist.
BGP-Sicherheit: RPKI und Route Origin Validation
Die Resource Public Key Infrastructure (RPKI) ist das primäre Sicherheitsframework für BGP, definiert in RFC 6811. RPKI ermöglicht es IP-Adressinhabern, Route Origin Authorizations (ROAs) kryptographisch zu signieren, die deklarieren, welche ASN berechtigt ist, ein bestimmtes Präfix zu originieren. Dies adressiert direkt das Problem des Route-Hijackings, bei dem ein nicht autorisiertes AS den IP-Raum eines anderen ankündigt.
Route Origin Validation (ROV) nutzt RPKI-Daten, um jede BGP-Route in einen von drei Zuständen zu klassifizieren: Gültig (Valid) (eine passende ROA existiert und das originierende AS ist autorisiert), Ungültig (Invalid) (eine ROA existiert, aber das originierende AS oder die Präfixlänge stimmt nicht überein) oder Nicht gefunden (Not Found) (keine ROA für das Präfix vorhanden). Stand 2026 haben etwa 50 % der IPv4-Präfixe eine RPKI-Abdeckung, und große Netzwerke wie Cloudflare, Google und AT&T verwerfen ungültige Routen.
Für Käufer von IPv4-Adressen ist die Erstellung von RPKI ROAs unverzichtbar. Ohne eine gültige ROA können Netzwerke, die ROV durchführen, die Ankündigung filtern, was zu teilweiser oder keiner Erreichbarkeit führt. BGP-Sicherheit umfasst auch Präfix-Filterung (IRR-basiert), BGPsec für die Pfadvalidierung (RFC 8205) und operative Best Practices aus RFC 7454 (BGP Operations and Security).
RPKI ROA
Kryptographische Bescheinigung, die ein Präfix an eine autorisierte ASN bindet. Wird über das gehostete RPKI-Portal der RIR erstellt.
Route Origin Validation
Router prüfen eingehende BGP-Ankündigungen gegen RPKI-Daten. Ungültige Routen können herabgestuft oder verworfen werden.
IRR-Filterung
Internet Routing Registry-Objekte (route/route6) werden von Peers verwendet, um Präfixfilterlisten unabhängig von RPKI zu erstellen.
BGPsec (RFC 8205)
Bietet kryptographische Validierung des gesamten AS-Pfads, nicht nur des Ursprungs. Die Verbreitung bleibt aufgrund der Komplexität begrenzt.
Arten von BGP-Sitzungen
BGP-Sitzungen werden basierend auf der Beziehung zwischen den beiden beteiligten Routern kategorisiert. Externes BGP (eBGP)-Sitzungen laufen zwischen Routern in verschiedenen autonomen Systemen. Diese Sitzungen sind das Rückgrat des Internet-Routings und tragen die vollständige oder teilweise Routing-Tabelle zwischen Netzwerken. eBGP-Sitzungen verwenden einen Standard-TTL von 1, was bedeutet, dass Peers typischerweise direkt verbunden sein müssen (obwohl Multihop-eBGP konfigurierbar ist).
Internes BGP (iBGP)-Sitzungen verbinden Router innerhalb desselben AS. iBGP wird verwendet, um extern erlernte Routen im gesamten Netzwerk der Organisation zu verteilen. Im Gegensatz zu eBGP ändert iBGP den AS-Pfad nicht, und über iBGP erlernte Routen werden nicht an andere iBGP-Peers weitergegeben — dies ist die iBGP-Split-Horizon-Regel, die entweder ein vollständiges Mesh von iBGP-Sitzungen oder den Einsatz von Route-Reflektoren erfordert.
Im breiteren Internet-Ökosystem unterscheiden sich BGP-Sitzungen auch nach kommerzieller Beziehung. Transit-Sitzungen bieten einem Netzwerk gegen Bezahlung Zugang zur vollständigen Internet-Routing-Tabelle. Peering-Sitzungen tauschen Datenverkehr zwischen zwei Netzwerken kostenlos aus (Settlement-Free Peering), typischerweise an Internet Exchange Points (IXPs). IXP-Route-Server vereinfachen Peering, indem sie den Austausch von Routen mit mehreren Peers über eine einzige BGP-Sitzung ermöglichen.
eBGP (Extern)
Sitzungen zwischen verschiedenen ASNs. Trägt Inter-Domain-Routing-Informationen. Standard-TTL von 1 (direkt verbunden).
iBGP (Intern)
Sitzungen innerhalb derselben ASN. Verteilt externe Routen intern. Erfordert Full Mesh oder Route-Reflektoren.
Transit
Bezahlte Upstream-Konnektivität mit Zugang zur vollständigen Routing-Tabelle. Der Transit-Provider propagiert Kundenrouten global.
IXP-Peering
Settlement-freier Datenaustausch an Internet Exchange Points. Route-Server ermöglichen multilaterales Peering über eine einzelne Sitzung.
Häufig gestellte Fragen
Häufige Fragen zum BGP-Routing beantwortet
BGP (Border Gateway Protocol) ist das Routing-Protokoll, das es ermöglicht, Daten ihren Weg durch das Internet zu finden. Es ermöglicht den rund 75.000 autonomen Systemen weltweit, Erreichbarkeitsinformationen auszutauschen. Ohne BGP hätte der Internetverkehr keine Möglichkeit, zwischen verschiedenen Netzwerken, Internetanbietern und Content-Providern zu wechseln.
Stand 2026 enthält die globale BGP-Routing-Tabelle über 1 Million IPv4-Präfixe und über 200.000 IPv6-Präfixe. Diese Zahl wächst stetig, da neue Netzwerke verbunden werden und bestehende Adressblöcke durch Transfers und Zuweisungen deaggregiert werden.
Die Mindestgröße für IPv4-Präfixe, die von den meisten BGP-Peers akzeptiert wird, ist /24 (256 Adressen). Längere Präfixe wie /25 oder /28 werden typischerweise von Upstream-Providern gefiltert und propagieren nicht global. Damit ist /24 der kleinste unabhängig routbare Block im Internet.
RPKI (Resource Public Key Infrastructure) ist ein kryptographisches Framework, das es IP-Adressinhabern ermöglicht, bestimmte ASNs zu autorisieren, ihre Präfixe zu originieren. Es verhindert Route-Hijacking, indem es Netzwerken ermöglicht, den Ursprung von BGP-Ankündigungen zu validieren. Stand 2026 haben etwa 50 % der IPv4-Präfixe eine RPKI-Abdeckung.
BGP-Fehlkonfigurationen oder Hijacks können weitreichende Internetausfälle verursachen. Bemerkenswerte Vorfälle umfassen den Facebook-Ausfall 2021 (verursacht durch eine BGP-Zurückziehung aller Präfixe) und zahlreiche Route-Leaks, bei denen ein Netzwerk versehentlich Pfade ankündigte, die es nicht sollte. RPKI und Präfix-Filterung helfen, diese Risiken zu mindern.
Ja, wenn Sie das gekaufte Präfix unabhängig ankündigen möchten. Sie benötigen eine ASN (von Ihrer RIR) und mindestens einen Upstream-Transit-Provider. Alternativ kann Ihr Hosting-Provider oder ISP das Präfix in Ihrem Namen unter seiner ASN ankündigen, was jedoch Ihre Kontrolle und Portabilität einschränkt.
Ein AS-Pfad ist die geordnete Liste der autonomen Systemnummern, die eine BGP-Route durchlaufen hat. Beispielsweise bedeutet ein AS-Pfad von „64500 64501 64502", dass die Route von AS 64502 stammt, durch AS 64501 ging und von AS 64500 empfangen wurde. Kürzere AS-Pfade werden in der BGP-Pfadauswahl generell bevorzugt.