Auf dieser Seite
Das Wichtigste
- BGP kündigt Präfixe anEin AS sagt, welche IP-Blöcke erreichbar sind.
- Beste Route ist PolicyAS Path, Local-Pref, MED und Communities zählen.
- DDoS hängt vom Routing abRouten ändern Exponierung.
Das Problem definieren
BGP ist ein Ankündigungssystem zwischen autonomen Systemen.
Verschiedene Provider können andere Pfade wählen; Communities, spezifischere Routen und Policy ändern das Ergebnis.
BGP-Attribute sind keine universellen Befehle. Local Preference ist meist intern, AS-Path Prepending wirkt nicht überall, und MED wird oft zwischen Providern ignoriert. Tests mit echten Upstreams sind nötig.
Zur Bewertung von BGP als Internet-Control-Plane müssen drei Ebenen getrennt werden: BGP-Signal, realer Traffic und Nutzererlebnis.
Warum es wichtig ist
BGP bestimmt, wo Traffic vor der Filterung ankommt.
Saubere Zustellung nach Mitigation muss definiert sein, sonst entstehen Asymmetrie und Routenkonflikte.
Bei DDoS-Mitigation gewinnt oft die akzeptierte spezifischste Route. Ein IPv4-/24 kann Traffic aus einem größeren Aggregat ziehen. Das ist nützlich, aber ohne RPKI, IRR und Filter gefährlich.
Mögliche Lösungen
Kunden-eBGP gibt viel Kontrolle.
Provider-gesteuerte Ankündigung ist einfacher, muss aber transparent bleiben.
Protected Transit zieht Traffic zur Mitigation und liefert sauber per Tunnel oder Cross-Connect zurück.
Default Route reicht vielen geschützten Kunden, weil inbound Traffic die Hauptgefahr ist. Full Table ist sinnvoll bei detaillierter Egress-Steuerung oder mehreren Transitbeziehungen.
- eBGP
- Controle / control / Kontrolle
- Operated
- Eenvoudig / simple / einfach
- Protected transit
- Filtering + clean delivery
| BGP-Element | Rolle | DDoS-Auswirkung |
|---|---|---|
| Präfix | Angekündigter IP-Block | Definiert Schutzbereich |
| AS Path | AS-Sequenz | Beeinflusst Traffic-Anziehung |
| Community | Provider-Anweisung | Kann Preference oder Blackhole ändern |
Konkretes Beispiel
Vor Produktion sollte die Route von externen Blickpunkten getestet werden. Eine BGP-Session up beweist nicht, dass das Internet Origin und Pfad korrekt sieht.
Häufige Fehler
BGP-Fehler erscheinen oft erst unter Last.
BGP-Änderungen sind keine harmlosen Edits. Propagation, Filter und Caches können Rollback langsamer machen als erwartet.
- BGP als Firewall sehen.
- Keinen sauberen Rückweg definieren.
- Präfixlimits ignorieren.
- RPKI/ROA auslassen.
FAQ
Ist BGP Pflicht?
Nein, aber es hilft bei eigenen Präfixen.
Wählt es den kürzesten Weg?
Nein, Policy und Attribute zählen.
Stoppt BGP DDoS?
Nein, es lenkt Traffic; Anti-DDoS filtert.
