BGP : Border Gateway Protocol
Réseau
BGP : Border Gateway Protocol. « Protocole de passerelle de frontière », par analogie avec des douaniers qui s'échangent la liste des villes joignables par leur poste, et se croient sur parole.
Entre systèmes autonomes : BGP relie les AS (Autonomous System, système autonome), ces réseaux gérés chacun par une seule organisation, et leur permet d'annoncer les blocs d'adresses qu'ils savent joindre. Chaque annonce transporte la liste des AS traversés, ce qui sert à la fois au choix de route et à la détection des boucles.
Politique avant distance : Le chemin retenu n'est pas forcément le plus court : il dépend d'abord des accords commerciaux et des préférences de chaque opérateur. Le routage mondial obéit donc moins à la géométrie qu'aux contrats, ce qui ne surprendra que les derniers croyants en la géométrie.
Confiance par défaut : Historiquement, rien n'empêche un AS d'annoncer des adresses qui ne lui appartiennent pas. Détournements et fuites de routes en découlent ; RPKI, ROA et ROV permettent de vérifier qui a le droit d'annoncer quoi.
Sessions : Les sessions BGP s'établissent entre voisins configurés explicitement, au-dessus de TCP. Aucune découverte automatique : chaque voisinage est un choix.
Ce qui arrive si on s'en passe
Un opérateur qui ne vérifie pas les annonces BGP de ses voisins accepte que n'importe quel AS se déclare joignable pour des adresses qui ne lui appartiennent pas. Le trafic destiné à ces blocs part alors chez l'usurpateur, qui peut l'observer, le jeter ou le relayer, et une simple erreur de configuration produit le même effet sans la moindre intention maligne : c'est la fuite de routes. Sans RPKI ni validation d'origine, rien ne distingue l'annonce légitime de l'autre. Le routage mondial repose ainsi sur la parole donnée entre douaniers, institution respectable dont l'histoire n'a pas toujours confirmé la solidité.
Explication de la marmotte
Internet est un assemblage de milliers de grands réseaux appartenant à des entreprises, des universités ou des fournisseurs d'accès. Pour qu'un message passe de l'un à l'autre, ces réseaux doivent s'indiquer mutuellement quelles adresses ils savent atteindre. Ils le font en permanence, un peu comme des gares qui afficheraient les destinations desservies depuis leurs quais. Chaque réseau choisit ensuite par où faire passer le trafic, selon ses accords avec ses voisins. Le point faible : pendant longtemps, chacun croyait les autres sur parole, et une annonce fausse pouvait détourner une partie du trafic mondial.
Où ce terme est utilisé
- BGP, la confiance par défaut (11 occurrences)
- BGP, Internet, anycast et sécurité des annonces (10 occurrences)
- GRE, IPsec ou GRE dans IPsec pour un tunnel site à site (9 occurrences)
- Géographie d'internet, câbles sous-marins et points d'atterrissement (6 occurrences)
- Routage interne, redistribution et stabilité (6 occurrences)
- Menaces réseau, détection et réponse opérationnelle (5 occurrences)
- Continuité, sauvegardes, PRA/PCA et haute disponibilité (3 occurrences)
- Décision de chemin, routes statiques et routage système (3 occurrences)
- Empoisonnement de cache DNS de Kaminsky à SAD DNS et parades (3 occurrences)
- Conteneurs, Kubernetes, CNI et service mesh (2 occurrences)