Op deze pagina
Kernpunten
- BGP kondigt prefixes aanEen AS zegt welke IP-blokken bereikbaar zijn.
- Beste route is beleidAS path, local-pref, MED en communities tellen.
- DDoS hangt af van routingRoutes wijzigen blootstelling.
Het probleem definiëren
BGP is een systeem van aankondigingen tussen autonome systemen.
Verschillende providers kunnen andere paden kiezen; communities, specifiekere routes en policy veranderen het resultaat.
BGP-attributen zijn geen universele commando’s. Local-pref is meestal intern, AS-path prepend werkt niet overal en MED wordt vaak genegeerd. Testen met echte upstreams is nodig.
Om BGP als control-plane van Internet te beoordelen moet je drie lagen scheiden: het BGP-signaal, het echte verkeer en de gebruikerservaring.
Waarom dit belangrijk is
BGP bepaalt waar verkeer binnenkomt voordat filtering begint.
Clean delivery na mitigatie moet gedefinieerd zijn, anders ontstaan asymmetrie en routeconflicten.
Bij DDoS-mitigatie wint vaak de meest specifieke geaccepteerde route. Een IPv4-/24 kan verkeer uit een groter aggregate trekken. Nuttig, maar gevaarlijk zonder RPKI, IRR en filters.
Mogelijke oplossingen
Klant-eBGP geeft veel controle.
Provider-operated aankondiging is eenvoudiger maar moet transparant blijven.
Protected transit trekt verkeer naar mitigatie en levert schoon terug via tunnel of cross-connect.
Default route is genoeg voor veel beschermde klanten omdat inbound verkeer het grootste risico is. Full table is nuttig bij gedetailleerde egress-control of meerdere transits.
- eBGP
- Controle / control / Kontrolle
- Operated
- Eenvoudig / simple / einfach
- Protected transit
- Filtering + clean delivery
| BGP-element | Rol | DDoS-impact |
|---|---|---|
| Prefix | Aangekondigd IP-blok | Bepaalt wat beschermd is |
| AS path | AS-reeks | Beïnvloedt verkeersaantrekking |
| Community | Operator-instructie | Kan voorkeur of blackhole wijzigen |
Concreet voorbeeld
Voor productie moet de route extern getest worden. Een BGP-session up bewijst niet dat Internet de juiste origin en het juiste pad ziet.
Veelgemaakte fouten
BGP-fouten verschijnen vaak onder belasting.
BGP-wijzigingen zijn geen onschuldige edits. Propagatie, filters en caches kunnen rollback trager maken dan verwacht.
- BGP zien als firewall.
- Geen clean return path definiëren.
- Prefixlimieten negeren.
- RPKI/ROA overslaan.
FAQ
Is BGP verplicht?
No, maar het helpt bij eigen prefixes.
Kiest het kortste pad?
Nee, beleid en attributen tellen.
Stopt BGP DDoS?
Nee, het stuurt verkeer; Anti-DDoS filtert.
