BGP (Border Gateway Protocol): Internetin liikenteenohjaaja

Mitä se on

Ajattele internetiä valtavana moottoritieverkkona, joka yhdistää tuhansia kaupunkeja. BGP on navigointijärjestelmä, joka päättää, mitä reittejä pitkin liikenne kulkee näiden kaupunkien välillä. Tarkemmin sanottuna se on protokolla, jonka avulla suuret verkot — joita kutsutaan autonomisiksi järjestelmiksi (AS, Autonomous System) — voivat kommunikoida keskenään ja jakaa reititystietoja.

Jokainen merkittävä internetin toimija ylläpitää omaa autonomista järjestelmäänsä: internet-palveluntarjoajasi, Google, Amazon, Cloudflare ja myös VPN-palveluntarjoajat. BGP on se mekanismi, jonka avulla kaikki nämä verkot sopivat siitä, miten toisiinsa voidaan ottaa yhteyttä. Ilman sitä datapaketit eivät pystyisi löytämään luotettavasti määränpäätään avoimen internetin läpi.

BGP:tä kutsutaan usein "protokollaksi, joka pitää internetin koossa", eikä se ole liioittelua. Se on hoitanut tätä tehtävää vuodesta 1989 lähtien, ja iästään huolimatta se on edelleen globaalin internetreitityksen selkäranka.

Miten se toimii

BGP toimii siten, että reitittimet — joita kutsutaan BGP-puhujiksi — vaihtavat reititystaulukoita naapurireitittimien kanssa, joita kutsutaan vertaisiksi (peers). Nämä taulukot sisältävät tietoja siitä, mihin IP-osoitealueisiin (etuliitteisiin) kukin verkko voi ottaa yhteyttä ja mitä reittejä pitkin sinne pääsee.

BGP:stä on kaksi päätyyppiä:

  • eBGP (External BGP): Käytetään eri autonomisten järjestelmien välillä. Se reitittää liikennettä laajemman internetin läpi.
  • iBGP (Internal BGP): Käytetään yksittäisen autonomisen järjestelmän sisällä pitämään sisäiset reitittimet synkronoituina.

Kun lähetät pyynnön verkkosivustolle, datasi ei kulje suoraa reittiä. Matkan varrella olevat BGP-reitittimet tekevät kukin oman päätöksensä: "Kohde-IP-osoitteen perusteella, mille naapuriverkolle minun pitäisi siirtää tämä paketti?" Päätös tehdään BGP-reititystaulukoiden perusteella, joita päivitetään jatkuvasti verkkojen tullessa ja poistuessa käytöstä tai muuttaessa konfiguraatioitaan.

BGP valitsee reitit useiden attribuuttien perusteella, kuten AS-polun pituuden (kuinka monen verkon kautta paketti kulkee), alkuperätyypin sekä operaattoreiden asettamien verkkokäytäntöjen mukaan. Kyseessä on käytäntöpohjainen protokolla, mikä tarkoittaa, että verkon ylläpitäjät voivat vaikuttaa liikenteen kulkuun manuaalisen konfiguroinnin avulla.

Miksi tämä on tärkeää VPN-käyttäjille

BGP vaikuttaa VPN-käyttäjiin useilla tärkeillä tavoilla, vaikka useimmat eivät koskaan ajattele sitä.

Palvelimen suorituskyky ja reititys: Kun muodostat yhteyden VPN-palvelimeen, liikenteesi kulkee silti internetin läpi BGP:n määrittämiä reittejä pitkin. VPN-palveluntarjoaja, jonka verkkoinfrastruktuuri on heikko tai jonka BGP-vertaissuhteet ovat huonosti toteutettu, saattaa reitittää liikenteesi tehottomasti — mikä johtaa suurempaan viiveeseen ja hitaampiin nopeuksiin, vaikka VPN-palvelin itsessään olisi lähellä.

BGP-kaappaus — todellinen uhka: Yksi internetin infrastruktuurin vakavimmista haavoittuvuuksista on BGP-kaappaus. Koska BGP luottaa vahvasti vertaisten väliseen luottamukseen, haitallinen tai virheellisesti konfiguroitu verkko voi virheellisesti ilmoittaa hallitsevansa tiettyjä IP-osoitteita. Tämä voi ohjata internet-liikennettä — mukaan lukien VPN-liikennettä — tahattomien verkkojen kautta, joissa sitä voidaan siepata tai seurata. Useat merkittävät BGP-kaappaustapaukset ovat vaikuttaneet suuriin alustoihin ja jopa kryptovaluuttatransaktioihin.

IP-osoitteiden ilmoitukset: VPN-palveluntarjoajat omistavat tyypillisesti IP-osoitelohkoja, jotka he ilmoittavat BGP:n kautta. Kun muodostat yhteyden VPN:ään, liikenteesi näyttää tulevan yhdeltä näistä IP-alueista. Tästä syystä jotkut palvelut pystyvät tunnistamaan ja estämään VPN-liikenteen — ne seuraavat, mitkä IP-alueet on ilmoitettu tunnettujen VPN-palveluntarjoajien toimesta.

SD-WAN ja yritys-VPN:t: Toimipisteiden välisiä VPN-yhteyksiä tai SD-WAN-ratkaisuja käyttävissä yrityksissä BGP:tä käytetään usein dynaamisen reitityksen hallintaan toimipisteiden ja palvelinkeskusten välillä. BGP:n ymmärtäminen auttaa verkkoinsinöörejä optimoimaan nämä järjestelyt suorituskyvyn ja vikasietoisuuden kannalta.

Käytännön esimerkkejä

  • Netflixin geo-esto: Netflix pystyy osittain tunnistamaan VPN-käytön tarkistamalla, kuuluuko IP-osoitteesi kaupallisen VPN-palveluntarjoajan BGP:n kautta ilmoittamaan osoitealueeseen.
  • BGP-kaappaus käytännössä: Vuonna 2018 merkittävien palveluiden liikenne ohjautui hetkellisesti Venäjän kautta BGP-virhekonfiguraation vuoksi — mikä osoitti, kuinka haavoittuvainen luottamusmalli voi olla.
  • VPN-palveluntarjoajan verkkolaatuun: Premium-VPN-palveluntarjoajat peeroavat suoraan suurten internet-solmukohtien kanssa BGP:n avulla, mikä vähentää hyppyjen määrää ja parantaa nopeutta verrattuna edullisempiin palveluntarjoajiin.

BGP on näkymätön mutta kriittinen kerros internetin toiminnassa — ja sen ymmärtäminen auttaa selittämään sekä sen päälle rakennettujen VPN-palveluiden mahdollisuudet että rajoitukset.