BGP

BGP (Border Gateway Protocol) est le protocole de routage utilisé entre systèmes autonomes (AS — Autonomous System, un réseau ou groupe de réseaux sous une administration unique, comme un fournisseur d’accès ou un grand hébergeur). C’est littéralement le protocole qui fait tenir Internet ensemble : sans BGP, les milliers de réseaux indépendants qui composent Internet n’auraient aucun moyen de savoir comment s’atteindre les uns les autres.

Fonctionnement

Deux routeurs BGP établissent une session TCP (port 179) et s’échangent des annonces de préfixes IP qu’ils savent atteindre, accompagnées d’attributs (chemin d’AS parcouru, préférences locales…). Chaque routeur choisit le meilleur chemin selon ces attributs et propage l’annonce à ses propres voisins BGP, avec son propre AS ajouté au chemin.

eBGP (external) : entre deux AS différents — typiquement, un fournisseur d’accès et son client, ou deux opérateurs qui s’interconnectent (peering).
iBGP (internal) : entre routeurs d’un même AS, pour propager en interne ce qui a été appris de l’extérieur.

Le chemin d’AS comme mécanisme anti-boucle

BGP n’utilise pas de métrique de distance classique (comme OSPF) mais compare la longueur du chemin d’AS traversés — et surtout, un routeur rejette automatiquement toute annonce où son propre AS apparaît déjà dans le chemin, ce qui empêche mécaniquement les boucles de routage à l’échelle d’Internet.

Pourquoi BGP est structurellement fragile

BGP repose fondamentalement sur la confiance : un AS qui annonce un préfixe est présumé légitime à le faire, sans vérification cryptographique par défaut. Deux conséquences classiques :

BGP hijacking : un AS annonce, par erreur ou malveillance, des préfixes IP qui ne lui appartiennent pas — le trafic destiné à ces adresses peut alors être détourné vers ce réseau, entièrement ou en partie.
Fuites de routes (route leaks) : un AS réannonce par erreur des routes reçues d’un fournisseur vers un autre, créant des chemins de trafic non prévus, parfois avec un impact mondial (plusieurs pannes majeures d’Internet ont eu cette origine).

RPKI, la réponse en cours de déploiement

Le RPKI (Resource Public Key Infrastructure) permet à un détenteur de préfixe IP de signer cryptographiquement une déclaration (“cet AS est autorisé à annoncer ce préfixe”), que les routeurs voisins peuvent vérifier avant d’accepter une annonce BGP — une réponse directe au problème de confiance de BGP, en déploiement progressif chez les grands opérateurs.