Routing BGP spiegato
Comprendi come il Border Gateway Protocol gestisce il routing di Internet — dalla selezione del percorso alla sicurezza RPKI e cosa significa per i trasferimenti di indirizzi IPv4. Una guida di IPv4Center.
Cos'è il BGP?
Il Border Gateway Protocol (BGP) è il protocollo di routing di gateway esterno che governa il modo in cui i pacchetti di dati vengono instradati tra i sistemi autonomi (AS) su Internet. Definito nel RFC 4271, il BGP-4 è l'unico protocollo in grado di gestire la tabella di routing completa di Internet, che contiene oltre 1 milione di prefissi IPv4 nel 2026.
Ogni rete connessa a Internet — che si tratti di un ISP, provider cloud, rete aziendale o rete di distribuzione dei contenuti — utilizza il BGP per annunciare i prefissi di indirizzi IP che possiede e per apprendere i percorsi verso tutti gli altri prefissi su Internet. Senza il BGP, non esisterebbe alcun meccanismo per i circa 75.000 sistemi autonomi nel mondo per scambiare informazioni di raggiungibilità.
Il BGP opera come un protocollo a vettore di percorso, il che significa che traccia il percorso AS completo che una rotta ha attraversato. Questo lo differenzia fondamentalmente dai protocolli di gateway interni come OSPF o IS-IS, che operano all'interno di una singola organizzazione. Il BGP utilizza la porta TCP 179 per stabilire sessioni tra peer, garantendo la consegna affidabile degli aggiornamenti di routing.
Come funziona la selezione del percorso BGP
Quando un router BGP riceve più percorsi verso lo stesso prefisso di destinazione, deve selezionare il migliore. Il BGP utilizza un processo decisionale definito che valuta le rotte attraverso una serie di criteri di spareggio. Il router percorre questi passaggi in ordine e si ferma non appena viene identificato un unico percorso migliore:
1. Peso più alto (Weight) — Attributo proprietario Cisco (locale al router). Il peso più alto è preferito. 2. Preferenza locale più alta — Condivisa all'interno di un AS tramite iBGP. Il valore predefinito è 100; i valori più alti sono preferiti. 3. Rotte originate localmente — Le rotte originate dal router locale sono preferite. 4. Percorso AS più breve — Meno hop AS generalmente significa una rotta più diretta. È lo strumento di ingegneria del traffico più utilizzato. 5. Tipo di origine più basso — IGP (i) è preferito rispetto a EGP (e), che è preferito rispetto a Incomplete (?). 6. MED più basso — Il Multi-Exit Discriminator suggerisce ai vicini esterni il punto di ingresso preferito nel vostro AS. 7. eBGP su iBGP — Le rotte apprese esternamente sono preferite rispetto a quelle apprese internamente. 8. Metrica IGP più bassa verso il prossimo hop — Il percorso con il router next-hop più vicino (per costo IGP) vince. 9. Rotta più vecchia — Per stabilità, viene preferita la rotta conosciuta da più tempo.
Gli ingegneri di rete utilizzano questi attributi per l'ingegneria del traffico — controllando quali percorsi segue il traffico in entrata e in uscita. L'aggiunta di numeri AS supplementari al percorso AS (prepending) è una tecnica comune per rendere un percorso meno attraente, mentre la preferenza locale viene utilizzata per impostare la politica di routing in uscita all'interno di un AS.
BGP e trasferimenti di indirizzi IPv4
Quando acquistate indirizzi IPv4, l'annuncio BGP è un passaggio fondamentale per rendere quegli indirizzi utilizzabili su Internet. Il prefisso trasferito deve essere annunciato dal Numero di Sistema Autonomo (ASN) dell'acquirente, e i provider upstream devono accettare e propagare quell'annuncio per la raggiungibilità globale.
Prima che un blocco IPv4 trasferito possa essere annunciato, devono essere completati diversi passaggi. Il Registro Internet Regionale (RIR) deve aggiornare i record WHOIS per riflettere il nuovo titolare. Deve essere creata un'Autorizzazione di Origine della Rotta (ROA) RPKI, che vincola il prefisso all'ASN dell'acquirente. I provider di transito upstream dell'acquirente devono configurare i loro router per accettare e propagare il nuovo prefisso.
La dimensione minima del prefisso accettata dalla maggior parte dei peer BGP su Internet globale è /24 (256 indirizzi). I prefissi più lunghi di /24 (come /25 o /28) vengono tipicamente filtrati dai provider upstream, il che significa che non saranno visibili al resto di Internet. Per questo /24 è l'unità minima commerciabile standard nel mercato dei trasferimenti IPv4.
Aggiornare i record RIR
I record WHOIS e RDAP devono riflettere il nuovo titolare prima dell'annuncio. L'approvazione del RIR è necessaria per i trasferimenti inter-RIR.
Creare un ROA RPKI
Un'Autorizzazione di Origine della Rotta vincola crittograficamente il prefisso all'ASN autorizzato, prevenendo il dirottamento.
Configurare il BGP upstream
I provider di transito devono aggiungere il nuovo prefisso ai loro filtri e accettare l'annuncio BGP dall'ASN dell'acquirente.
Verificare la visibilità globale
Utilizzate strumenti di looking glass e collettori di rotte per confermare che il prefisso è visibile da più punti di osservazione nel mondo.
Sicurezza BGP: RPKI e validazione dell'origine della rotta
La Resource Public Key Infrastructure (RPKI) è il principale framework di sicurezza per il BGP, definito nel RFC 6811. L'RPKI consente ai titolari di indirizzi IP di firmare crittograficamente le Autorizzazioni di Origine della Rotta (ROA) che dichiarano quale ASN è autorizzato a originare un prefisso specifico. Questo affronta direttamente il problema del dirottamento delle rotte, dove un AS non autorizzato annuncia lo spazio IP di qualcun altro.
La Route Origin Validation (ROV) utilizza i dati RPKI per classificare ogni rotta BGP in uno dei tre stati: Valida (esiste un ROA corrispondente e l'AS di origine è autorizzato), Invalida (esiste un ROA ma l'AS di origine o la lunghezza del prefisso non corrispondono) o Non trovata (non esiste un ROA per il prefisso). Nel 2026, circa il 50% dei prefissi IPv4 ha copertura RPKI, e le grandi reti tra cui Cloudflare, Google e AT&T scartano le rotte invalide.
Per gli acquirenti di indirizzi IPv4, creare ROA RPKI è essenziale. Senza un ROA valido, le reti che eseguono la ROV possono filtrare l'annuncio, con conseguente raggiungibilità parziale o nulla. La sicurezza BGP comprende anche il filtraggio dei prefissi (basato su IRR), BGPsec per la validazione del percorso (RFC 8205) e le migliori pratiche operative descritte nel RFC 7454 (BGP Operations and Security).
ROA RPKI
Attestazione crittografica che vincola un prefisso a un ASN autorizzato. Creato tramite il portale RPKI ospitato del RIR.
Validazione dell'origine della rotta
I router verificano gli annunci BGP in entrata rispetto ai dati RPKI. Le rotte invalide possono essere deprioritizzate o scartate.
Filtraggio IRR
Gli oggetti dell'Internet Routing Registry (route/route6) vengono utilizzati dai peer per costruire elenchi di filtri di prefissi indipendentemente dall'RPKI.
BGPsec (RFC 8205)
Fornisce la validazione crittografica dell'intero percorso AS, non solo dell'origine. L'adozione rimane limitata a causa della complessità.
Tipi di sessioni BGP
Le sessioni BGP sono categorizzate in base alla relazione tra i due router coinvolti. Le sessioni BGP esterno (eBGP) vengono eseguite tra router in diversi sistemi autonomi. Queste sessioni sono la spina dorsale del routing Internet, trasportando la tabella di routing completa o parziale tra le reti. Le sessioni eBGP utilizzano un TTL predefinito di 1, il che significa che i peer devono generalmente essere direttamente connessi (sebbene l'eBGP multi-hop sia configurabile).
Le sessioni BGP interno (iBGP) connettono router all'interno dello stesso AS. L'iBGP viene utilizzato per distribuire le rotte apprese esternamente in tutta la rete dell'organizzazione. A differenza dell'eBGP, l'iBGP non modifica il percorso AS, e le rotte apprese tramite iBGP non vengono ri-annunciate ad altri peer iBGP — questa è la regola dell'orizzonte diviso iBGP, che richiede una mesh completa di sessioni iBGP o l'uso di route reflector.
Nell'ecosistema Internet più ampio, le sessioni BGP differiscono anche per relazione commerciale. Le sessioni di transito forniscono a una rete l'accesso alla tabella di routing Internet completa in cambio di un pagamento. Le sessioni di peering scambiano traffico tra due reti gratuitamente (peering senza compensazione), tipicamente presso gli Internet Exchange Point (IXP). I route server IXP semplificano il peering consentendo lo scambio di rotte con più peer attraverso una singola sessione BGP.
eBGP (Esterno)
Sessioni tra ASN diversi. Trasporta informazioni di routing inter-dominio. TTL predefinito di 1 (direttamente connesso).
iBGP (Interno)
Sessioni all'interno dello stesso ASN. Distribuisce le rotte esterne internamente. Richiede mesh completa o route reflector.
Transito
Connettività upstream a pagamento con accesso alla tabella di routing completa. Il provider di transito propaga le rotte del cliente a livello globale.
Peering IXP
Scambio di traffico senza compensazione presso gli Internet Exchange Point. I route server consentono il peering multilaterale tramite una singola sessione.
Domande frequenti
Risposte alle domande più comuni sul routing BGP
Il BGP (Border Gateway Protocol) è il protocollo di routing che consente ai dati di trovare il loro percorso attraverso Internet. Permette ai circa 75.000 sistemi autonomi nel mondo di scambiare informazioni di raggiungibilità. Senza il BGP, il traffico Internet non avrebbe modo di transitare tra reti, ISP e fornitori di contenuti diversi.
Nel 2026, la tabella di routing BGP globale contiene oltre 1 milione di prefissi IPv4 e oltre 200.000 prefissi IPv6. Questo numero cresce costantemente man mano che nuove reti si collegano e i blocchi di indirizzi esistenti vengono disaggregati attraverso trasferimenti e assegnazioni.
La dimensione minima del prefisso IPv4 accettata dalla maggior parte dei peer BGP è /24 (256 indirizzi). Prefissi più lunghi come /25 o /28 vengono tipicamente filtrati dai provider upstream e non si propagheranno globalmente. Questo rende /24 il blocco più piccolo instradabile indipendentemente su Internet.
L'RPKI (Resource Public Key Infrastructure) è un framework crittografico che consente ai titolari di indirizzi IP di autorizzare ASN specifici a originare i propri prefissi. Previene il dirottamento delle rotte consentendo alle reti di validare l'origine degli annunci BGP. Circa il 50% dei prefissi IPv4 ha copertura RPKI nel 2026.
Le configurazioni errate o i dirottamenti BGP possono causare interruzioni diffuse di Internet. Gli incidenti notevoli includono l'interruzione di Facebook nel 2021 (causata da un ritiro BGP di tutti i loro prefissi) e numerose fughe di rotte in cui una rete ha accidentalmente annunciato percorsi che non avrebbe dovuto. RPKI e filtraggio dei prefissi aiutano a mitigare questi rischi.
Sì, se desiderate annunciare il prefisso acquistato in modo indipendente. Avete bisogno di un ASN (dal vostro RIR) e di almeno un provider di transito upstream. In alternativa, il vostro provider di hosting o ISP può annunciare il prefisso per vostro conto sotto il proprio ASN, ma questo limita il vostro controllo e la portabilità.
Un percorso AS è l'elenco ordinato dei numeri di sistema autonomo che una rotta BGP ha attraversato. Ad esempio, un percorso AS di "64500 64501 64502" significa che la rotta è originata dall'AS 64502, è passata per l'AS 64501 ed è stata ricevuta dall'AS 64500. I percorsi AS più brevi sono generalmente preferiti nella selezione del percorso BGP.