Sur cette page
À retenir
- BGP annonce des préfixesUn AS indique quels blocs IP il sait joindre.
- La meilleure route est politiqueAS path, local-pref, MED et communautés influencent le choix.
- DDoS et BGP sont liésAttirer, déplacer ou retirer une route change directement l’exposition réseau.
Définition du problème
Beaucoup résument BGP à “le protocole d’Internet”. C’est vrai, mais insuffisant pour l’exploiter. BGP est un système d’annonces entre AS : chaque réseau publie des préfixes, reçoit ceux des autres et choisit une route selon sa politique locale. Il n’existe pas une autorité centrale qui choisit le meilleur chemin pour tout le monde.
Cette nature distribuée rend BGP puissant, mais parfois contre-intuitif. Le chemin choisi par un FAI peut être différent de celui choisi par un autre. Une route plus spécifique peut attirer plus de trafic. Une communauté peut demander à un transitaire de modifier la préférence, de prepender ou de blackholer. Pour acheter ou vendre du transit protégé, ces détails ne sont pas optionnels.
Pourquoi c’est important
BGP est important pour le DDoS parce qu’il contrôle l’endroit où arrive le trafic avant filtrage. Si votre préfixe est annoncé uniquement depuis un petit port, une attaque volumétrique peut saturer avant que le moindre serveur n’ait l’occasion de répondre. Si le préfixe est annoncé vers un réseau de mitigation, le trafic arrive d’abord là où il peut être absorbé.
La relivraison est tout aussi importante. Après nettoyage, le trafic doit revenir vers l’infrastructure client par tunnel, cross-connect ou autre mécanisme. Sans modèle BGP clair, on obtient des asymétries imprévues, des routes qui se battent, des annonces plus spécifiques mal contrôlées ou des sessions clients instables.
Les solutions possibles
La première solution est d’utiliser le BGP client classique : le client annonce ses préfixes à un fournisseur, reçoit une table complète ou une route par défaut, puis maîtrise son routage sortant. C’est adapté aux équipes réseau expérimentées.
La seconde solution est l’annonce sous ASN fournisseur. Le client délègue une partie du routage au prestataire, souvent plus simple pour démarrer. Le risque est de perdre en visibilité si le fournisseur n’explique pas comment les routes sont gérées.
La troisième solution, fréquente en mitigation, consiste à annoncer le préfixe vers le réseau Anti-DDoS puis à relivrer le trafic propre par GRE, IPIP, VXLAN, router VM ou cross-connect. C’est ce modèle qui doit être documenté avant une crise.
- eBGP client
- Contrôle fort, mais demande de la compétence réseau.
- Annonce opérée
- Plus simple à lancer, mais dépend de la transparence fournisseur.
- Transit protégé
- Le trafic est attiré vers le filtrage puis relivré proprement.
| Élément BGP | Rôle | Impact Anti-DDoS |
|---|---|---|
| Préfixe | Bloc IP annoncé | Détermine ce qui est protégé |
| AS path | Chemin d’AS | Influence l’attraction trafic |
| Communauté | Instruction opérateur | Peut modifier préférence ou blackhole |
Erreurs fréquentes
Les erreurs BGP sont rarement spectaculaires au début. Elles apparaissent quand le trafic augmente, quand un transitaire change de préférence ou quand une attaque force le réseau à utiliser des chemins prévus uniquement sur papier.
- Croire que BGP filtre les paquets comme un firewall.
- Annoncer un préfixe sans définir le chemin de retour du trafic propre.
- Oublier les limites de préfixes IPv4/IPv6 chez le transitaire.
- Utiliser des routes plus spécifiques sans stratégie claire.
- Ne pas mettre en place RPKI/ROA et une hygiène de routage minimale.
FAQ
BGP est-il obligatoire pour une protection DDoS ?
Non. On peut utiliser des IPs protégées ou des tunnels, mais BGP devient très utile dès qu’il faut protéger ses propres préfixes.
BGP choisit-il toujours le chemin le plus court ?
Non. Il choisit selon des politiques et attributs, pas uniquement selon la distance géographique.
Une table complète est-elle nécessaire ?
Pas toujours. Certains clients utilisent une route par défaut ; d’autres veulent une full table pour contrôler précisément l’egress.
BGP suffit-il contre les DDoS ?
Non. BGP attire ou retire le trafic. Le filtrage doit être assuré par une couche Anti-DDoS.
