Das Border Gateway Protocol (BGP) ist das Protokoll, das alle Netzwerke über das Internet miteinander verbindet. Es ermöglicht Ihrem Computer, Daten an andere Computer überall auf der Welt zu senden und von ihnen zu empfangen. BGP legt fest, wie Informationen oder Datenverkehr durch das Internet geleitet werden sollen – wie ein GPS für das Web.
BGP funktioniert ähnlich wie ein internationaler Postdienst. Das weltweite Netz der Postdienste ermöglicht es uns, Briefe und Pakete von einem Ort zum anderen zu senden. BGP übernimmt eine ähnliche Aufgabe für Daten: Es hilft dabei, Daten wie ein Briefträger durch das Internet zu leiten.
Was ist BGP-Routing?
Das Border Gateway Protocol (BGP) ist ein externes Gateway-Protokoll, das den Austausch von Routing- und Erreichbarkeitsinformationen zwischen autonomen Systemen (AS) im Internet ermöglicht.
BGP, definiert in RFC 1163 und RFC 1267, spielt eine wichtige Rolle bei der Entstehung der Topologie des globalen Internets. Es verbindet unabhängig betriebene Netzwerke oder AS, indem es ihnen ermöglicht, Informationen über ihre Erreichbarkeit auszutauschen.
Durch den Austausch dieser Aktualisierungen mit ihren Nachbarn können BGP-Router ihr gespeichertes Wissen darüber aktualisieren, wie ein bestimmtes Netzwerk über die bestmögliche Route erreicht wird. Anschließend informieren sie ihre Nachbarn über diese Änderung, sodass diese ihrerseits genauso verfahren können. Auf diese Weise bleibt das komplexe Netz, aus dem das globale Internet besteht, kontinuierlich verbunden.
So funktioniert BGP-Routing
BGP-Routing funktioniert durch den Austausch von Nachrichten zwischen autonomen Systemen (AS). Ein AS ist eine Gruppe von Netzwerken, die von einer einzelnen Organisation oder Instanz verwaltet wird. Jedes AS hat eine eigene eindeutige Nummer, anhand derer es in BGP-Nachrichten identifiziert wird.
Kommunikation zwischen autonomen Systemen (AS)
Wenn zwei AS miteinander kommunizieren, tauschen sie Informationen über ihre jeweiligen Netzwerke aus. Dazu gehören beispielsweise IP-Adressbereiche, Subnetzmasken und andere netzwerkbezogene Daten. Diese Informationen werden anschließend zum Aufbau einer Routing-Tabelle verwendet, die alle möglichen Routen zwischen zwei AS enthält.
Routenaktualisierungen
Sobald eine Routing-Tabelle erstellt wurde, muss sie regelmäßig aktualisiert werden, damit alle Änderungen im Netzwerk in der Tabelle berücksichtigt werden. Dieser Vorgang wird als Routenaktualisierung bezeichnet. Dabei werden Nachrichten zwischen zwei AS hin- und hergesendet, um ihre jeweiligen Routing-Tabellen auf dem neuesten Stand zu halten.
BGP-Pfadattributen
Neben dem Austausch von Informationen über Netzwerke verwendet BGP auch Pfadattribute, um zu bestimmen, welche Route beim Senden von Paketen von einem AS zu einem anderen verwendet werden soll. Zu diesen Attributen gehören beispielsweise die Anzahl der Hops, die Latenz und die Übertragungskosten. Durch die Berücksichtigung dieser Faktoren stellt BGP sicher, dass Pakete über die effizientestmögliche Route gesendet werden.
Warum ist das Border Gateway Protocol wichtig?
BGP ist ein wesentlicher Bestandteil der heutigen Funktionsweise des Internets. Ohne BGP gäbe es keine Möglichkeit für verschiedene Netzwerke, miteinander zu kommunizieren oder Informationen über Routen auszutauschen. Dadurch könnten Daten nicht effizient und sicher von einem Ort zum anderen gesendet werden.
BGP ermöglicht den Austausch von Informationen zwischen verschiedenen Netzwerken und erlaubt es ihnen, den besten Pfad für die Übertragung von Daten zu bestimmen. Internetdienstanbieter, große Organisationen und Cloud-Anbieter verwenden BGP, um ihre Netzwerke miteinander und mit dem restlichen Internet zu verbinden. BGP sorgt außerdem dafür, dass der Datenverkehr über die effizientestmögliche Route geleitet wird, was die Latenz verringert und die Leistung verbessert.
8 zentrale Funktionen von BGP
BGP übernimmt entscheidende Aufgaben für den Betrieb des Internets. Dazu gehören die Pflege von Routeninformationen, die Auswahl der kürzesten Route und die Bereitstellung von Redundanz bei Routing-Fehlern ebenso wie die Absicherung durch Authentifizierung und die Ermöglichung der Kommunikation zwischen verschiedenen Netzwerktypen.
1. Pflege von Routeninformationen
BGP verwaltet eine aktuelle Routing-Tabelle und aktualisiert sie regelmäßig mit Informationen über alle im Internet verfügbaren Routen. BGP-Router verwenden diese Tabelle, um die besten Pfade für das Senden von Paketen von einem Netzwerk zu einem anderen zu bestimmen.
2. Auswahl der besten Route zum Senden von Paketen
BGP verwendet verschiedene Parameter wie Entfernung und Latenz, um die beste Route für das Senden von Paketen zu berechnen. BGP-Router können in der Regel aus mehreren Pfaden wählen und entscheiden sich für denjenigen mit der besten Leistung.
3. Redundanz bei einem Routenausfall
BGP leitet den Datenverkehr automatisch über einen alternativen Pfad um, wenn es erkennt, dass ein primärer Pfad nicht funktioniert.
4. Erkennung von Schleifen in Routing-Pfaden
BGP kann Schleifen in Routing-Pfaden mithilfe einer Reihe von Algorithmen erkennen und beseitigen, die als BGP-Entscheidungsprozess bezeichnet werden. Dadurch werden Pakete über die effizientestmögliche Route gesendet, ohne Bandbreite zu verschwenden oder unnötige Umwege zu nehmen.
5. Abwehr bösartiger Angriffe
BGP kann bösartigen Datenverkehr herausfiltern, indem es überprüft, ob BGP-Nachrichten von legitimen autonomen Systemen stammen.
6. Bereitstellung von Sicherheit
BGP authentifiziert Nachrichten zwischen Routern mithilfe eines vorkonfigurierten Passworts oder Schlüssels. So wird sichergestellt, dass nur autorisierte Instanzen Informationen austauschen können, und verhindert, dass Angreifer den Datenverkehr stören.
7. Steuerung des Datenverkehrs
BGP ermöglicht es Internetdienstanbietern, den Datenverkehr durch ihre Netzwerke zu steuern, indem sie die Route festlegen, über die Pakete von einem Netzwerk zu einem anderen gesendet werden.
8. Ermöglichung der Netzwerkkommunikation
BGP ermöglicht die Kommunikation zwischen Netzwerken wie IPv4 und IPv6. Dadurch können alle Geräte miteinander kommunizieren, unabhängig davon, mit welchem Netzwerktyp sie verbunden sind.
Welche häufigen Probleme gibt es beim BGP-Routing?
Trotz seiner vielen Vorteile gibt es einige Probleme beim Einsatz von BGP zur Weiterleitung von Datenverkehr durch das Internet – sowohl im Hinblick auf die allgemeine Eignung (z. B. Stabilität und Konfiguration) als auch auf die Sicherheit (z. B. Routenmanipulation und -übernahme).
Allgemeine Probleme bei der Eignung von BGP
Beim BGP-Routing gibt es einige wichtige Probleme, die beachtet werden müssen. Dazu gehören Verzögerungen bei der Weiterleitung sowie mögliche Instabilitäten durch die manuelle Konfiguration.
Verzögerung bei der Weiterleitung
Eines der Hauptprobleme beim Einsatz von BGP besteht darin, dass Änderungen in einem Netzwerk lange brauchen können, bis sie an alle anderen verbundenen Netzwerke weitergeleitet wurden. Das kann problematisch sein, wenn Änderungen schnell vorgenommen werden müssen oder das Netzwerk auf aktuelle Informationen angewiesen ist.
Instabilität
Ein weiteres Problem besteht darin, dass BGP bei einer fehlerhaften Konfiguration Instabilität verursachen kann. Sind Routen nicht korrekt eingerichtet, werden Pakete möglicherweise ineffizient weitergeleitet, was zu einer langsamen Leistung und potenziellen Ausfällen führt.
Manuelle Konfiguration
BGP erfordert eine manuelle Konfiguration, die zeitaufwendig und fehleranfällig sein kann. Fehler beim Einrichten der Routen können daher später zu Problemen führen. Außerdem lässt sich BGP bei einer großen Anzahl von Routern oder großen Datenmengen, die gleichzeitig weitergeleitet werden, nur schlecht skalieren.
Sicherheitsprobleme von BGP
Einige Sicherheitsrisiken beim BGP-Routing ergeben sich aus den oben genannten allgemeinen Problemen und daraus, dass Kriminelle aktiv versuchen, BGP auszunutzen, indem sie Routen für bösartige Zwecke manipulieren oder übernehmen.
BGP-Routenmanipulation
Die BGP-Routenmanipulation stellt eine ernsthafte Bedrohung für die Integrität eines Netzwerks dar, da Angreifer BGP-Tabellen absichtlich verändern, um zu verhindern, dass Datenverkehr sein vorgesehenes Ziel erreicht. Dies kann nicht nur zu Datenverlust führen, sondern auch den kontinuierlichen Betrieb von Diensten erheblich stören und in verschiedenen Szenarien für Cyberangriffe eingesetzt werden.
Darüber hinaus kann die BGP-Routenmanipulation die Glaubwürdigkeit von Routen beeinträchtigen und dazu führen, dass Nutzer zusätzliche Sicherheitsprodukte manuell prüfen oder einsetzen müssen, um Manipulationsversuche zu erkennen.
BGP-Routenübernahme
Bei dieser Angriffsmethode kündigen Angreifer die IP-Adresspräfixe eines Opfers an, um den Datenverkehr über ihre eigenen Systeme umzuleiten. Dies führt zu Instabilität und einer höheren Auslastung durch den plötzlichen Zustrom von Datenverkehr. In einigen Fällen ermöglicht eine BGP-Routenübernahme den Zugriff auf unverschlüsselte Datenströme oder die Umgehung von Maßnahmen gegen IP-Sperrlisten, um unerwünschte Kampagnen wie Spam zu starten.
BGP-Denial-of-Service (DoS)
Dieser bösartige Angriff zielt in erster Linie auf BGP-Routing-Protokolle. Dabei sendet ein Cyberkrimineller unerwarteten oder unerwünschten BGP-Datenverkehr an das Opfersystem, wodurch alle verfügbaren Ressourcen aufgebraucht werden und kein gültiger BGP-Datenverkehr mehr verarbeitet werden kann.
Die Bedrohungslage für BGP
BGP war im Laufe der Jahre von zahlreichen Sicherheitsvorfällen betroffen. Der bekannteste Vorfall ereignete sich im Februar 2008, als eine BGP-Routenübernahme einen weltweiten YouTube-Ausfall.
In jüngerer Zeit machten mehrere Ereignisse im Jahr 2017 bestehende Schwachstellen deutlich: Im August 2017 kam es in Japan zu einem landesweiten Ausfall aufgrund eines Fehlers bei Google, durch den BGP-Ankündigungen nach außen gelangten und der japanische Internetverkehr in einem schwarzen Loch verschwand.
Im Oktober desselben Jahres waren Dienste wie Twitter und Google in Brasilien aufgrund eines weiteren BGP-Leak-Vorfalls gestört. Und im November 2017 führte eine Fehlkonfiguration eines Routers beim Internet-Backbone-Anbieter Level 3 zu einem erheblichen Routenleck, das schließlich Comcast direkt beeinträchtigte und dabei in weiten Teilen der USA das Internet lahmlegte.
Springen wir zum 4. Oktober 2021: Facebook und seine Tochterunternehmen waren von einem schwerwiegenden Ausfall betroffen, der Nutzer weltweit beeinträchtigte. Als Ursache wurde ein fehlerhaftes BGP identifiziert, das die Weiterleitung des Datenverkehrs unterbrach. Dadurch konnten viele Nutzer nicht auf ihre Konten zugreifen oder die von Facebook und seinen Tochterunternehmen angebotenen Dienste nutzen. Der Ausfall dauerte mehrere Stunden, bevor er behoben wurde, und kostete das Unternehmen 60 Millionen US-Dollar an entgangenen Einnahmen.
Schutz vor BGP-Bedrohungen
Um sich angemessen vor BGP-Bedrohungen zu schützen, müssen geeignete Gegenmaßnahmen und Schutzvorkehrungen getroffen werden. Eine solche Sicherheitsmaßnahme ist die Resource Public Key Infrastructure (RPKI), ein speziell für die Authentifizierung des Routenursprungs entwickeltes kryptografisches System, das Routenübernahmen und Leaks verhindert.
Obwohl sich RPKI beim Schutz von BGP-Netzwerken als äußerst wirksam erwiesen hat, ist die Verbreitung weiterhin gering. Eine weitere Möglichkeit besteht darin, Tools für maschinelles Lernen einzusetzen, um BGP-Anomalien zu erkennen, zu klassifizieren und zu analysieren. Erste Erfolge gibt es dabei bereits, wie Studien des MIT zeigen.
Gibt es Alternativen zu BGP?
Für alle, die nicht alle von BGP angebotenen Funktionen benötigen oder nutzen möchten, stehen mehrere Alternativen zur Verfügung. Die bekanntesten sind Open Shortest Path First (OSPF) und Enhanced Interior Gateway Routing Protocol (EIGRP).
Open Shortest Path First (OSPF)
OSPF ist ein Link-State-Routing-Protokoll, das den besten Pfad zwischen Quelle und Ziel in einem IP-Netzwerk ermittelt. Es basiert auf dem Dijkstra-Algorithmus, der den kürzesten Pfad zwischen zwei Knoten berechnet. OSPF ist ein Intra-Domain-Protokoll, das innerhalb eines einzelnen autonomen Systems eingesetzt wird.
Einer der Hauptvorteile von OSPF gegenüber anderen Routing-Protokollen, einschließlich BGP, ist die effiziente Pfadauswahl. Außerdem weist OSPF kürzere Konvergenzzeiten als BGP auf. Das bedeutet, dass Änderungen im Netzwerk schnell erkannt und die Routing-Tabellen entsprechend aktualisiert werden können.
Ein Nachteil von OSPF besteht jedoch darin, dass es mehr Speicher und Rechenleistung als BGP benötigt, da es alle Informationen über die Verbindungen in seiner Routing-Tabelle speichern muss.
Enhanced Interior Gateway Routing Protocol (EIGRP)
EIGRP ist ein fortschrittliches Distanzvektor-Routing-Protokoll, das von Cisco Systems entwickelt wurde. Es handelt sich um ein hybrides Protokoll, das Funktionen von Distanzvektor- und Link-State-Routing-Protokollen kombiniert und dadurch effizienter als jedes der beiden Protokolle allein ist. EIGRP verwendet den Diffused Update Algorithm (DUAL), um den kürzesten Pfad zu einem Ziel innerhalb eines Netzwerks zu berechnen. Dieser Algorithmus ermöglicht kurze Konvergenzzeiten. Das bedeutet, dass EIGRP bei Änderungen im Netzwerk schnell reagieren und neue Pfade für die Datenübertragung finden kann.
Im Vergleich zu BGP bietet EIGRP mehrere Vorteile. Es lässt sich einfacher konfigurieren und warten als BGP, da weniger Parameter und weniger manuelle Eingriffe erforderlich sind. Außerdem nutzt es Ressourcen wie Bandbreite und Speicher effizienter und eignet sich dadurch besser für Netzwerke mit begrenzten Ressourcen. Darüber hinaus bietet es kürzere Konvergenzzeiten als BGP.
Andererseits gibt es im Vergleich zu BGP auch einige Nachteile von EIGRP. EIGRP unterstützt zwar sowohl IPv4- als auch IPv6-Adressen, BGP unterstützt jedoch zusätzlich mehrere autonome Systeme und eignet sich dadurch besser für größere Netzwerke mit komplexen Topologien. Da EIGRP außerdem ein proprietäres Protokoll ist, kann seine Implementierung auf Geräten anderer Anbieter eine Herausforderung darstellen.
Fazit: BGP-Routing im Unternehmen verstehen und einsetzen
BGP ist ein leistungsstarkes und vielseitiges Protokoll, mit dem Unternehmen zuverlässige Computernetzwerke aufbauen können, indem sie Routing-Informationen zwischen autonomen Systemen austauschen. BGP bietet Funktionen wie die Pfadauswahl und Routenfilterung, die für eine bestmögliche Netzwerkkonnektivität unerlässlich sind.
Allerdings weist BGP Schwachstellen auf, die behoben werden müssen, um einen sicheren Routing-Betrieb aufrechtzuerhalten. Außerdem ist BGP nicht das einzige verfügbare Routing-Protokoll. Unternehmen sollten daher möglicherweise auch den Einsatz anderer Protokolle wie OSPF oder EIGRP in Betracht ziehen.
Bitte beachten Sie, dass diese Übersicht über BGP zwar eine gute Einführung bietet, aber bei Weitem nicht vollständig ist. Wenn Sie mit der Verwaltung eines BGP-Routers beauftragt werden, nehmen Sie sich etwas Zeit, um die zugehörigen RFCs durchzulesen.
Wenn Sie über BGP hinausgehen möchten, können Sie mehr über OSPF und EIGRP erfahren und herausfinden, welche davon Ihrem Unternehmen am meisten nutzen könnte.