При использовании статических маршрутов с двумя провайдерами время failover может достигать минут — ручное переключение или ожидание BFD (если он есть). Это неприемлемо для сервисов, где каждая минута простоя стоит денег. BGP (Border Gateway Protocol) решает проблему: протокол динамической маршрутизации, позволяющий анонсировать собственный IP-блок и выбирать лучший путь на основе политик. BGP обеспечивает отказоустойчивость и балансировку трафика при мультихоминге. Мы настраиваем BGP-пиринг под ключ для двух и более провайдеров с гарантией стабильности. Используем BFD, RPKI, prefix-list, route-map. Поддерживаем оборудование Cisco, Juniper, MikroTik, Linux FRR. Сроки: от 3 до 5 дней. Инвестиции в BGP-мультихоминг окупаются за счёт снижения времени простоя и балансировки трафика, экономя до 30% на линках. Получите консультацию инженера — оценим вашу сеть и предложим решение.
Проблемы мультихоминга без BGP
Без BGP вы привязаны к статическим маршрутам. При падении линка failover занимает минуты (пока сработает BFD или вы вручную поменяете маршруты). Балансировка трафика — только по equal-cost, без учёта загрузки каналов. Кроме того, статические маршруты не защищают от BGP hijack: злоумышленник может анонсировать ваш IP-блок с другого ASN, и трафик уйдёт к нему.
BGP решает эти проблемы: протокол сам выбирает лучший путь на основе политик, поддерживает аварийное переключение за секунды (с BFD), и позволяет контролировать входящий трафик через AS_PATH prepend и community.
| Параметр | Статические маршруты | BGP-мультихоминг |
|---|---|---|
| Время failover | Минуты (ручное или BFD) | Секунды (автоматическое, BFD) |
| Балансировка трафика | Только equal-cost | По политикам (LOCAL_PREF, weight) |
| Защита от hijack | Нет | RPKI, prefix-list, фильтрация |
| Traffic engineering (входящий) | Невозможен | AS_PATH prepend, community |
| Управление префиксами | Вручную | Автоматически через BGP |
Почему BGP необходим для мультихоминга?
BGP — единственный протокол, который позволяет управлять маршрутизацией между вашей AS и несколькими провайдерами. Он даёт возможность анонсировать собственный IP-блок, фильтровать префиксы и применять локальные предпочтения. Без BGP вы не сможете реализовать traffic engineering — например, направить исходящий трафик через более дешёвого провайдера, а входящий — через более надёжного.
Как BFD ускоряет обнаружение сбоев?
BGP hold timer по умолчанию — 90 секунд. Если физический линк падает, BGP узнает об этом только через 90 секунд. BFD (Bidirectional Forwarding Detection) снижает это время до сотен миллисекунд. С BFD при падении канала BGP сессия разрывается за ~900 мс (3 × 300 мс). Это в 100 раз быстрее, чем стандартный hold timer. Мы всегда включаем BFD на всех BGP-соседях.
Базовая конфигурация eBGP
Ниже — конфигурация для двух провайдеров (ISP1 AS 65000, ISP2 AS 65001) на Cisco IOS. Наш AS 65100, блок 198.51.100.0/24.
router bgp 65100
bgp router-id 198.51.100.1
bgp log-neighbor-changes
neighbor 203.0.113.1 remote-as 65000
neighbor 203.0.113.1 description "ISP1-Primary"
neighbor 203.0.113.1 password <BGP_MD5_PASSWORD>
neighbor 203.0.113.1 prefix-list OUR-PREFIX out
neighbor 203.0.113.1 prefix-list ISP1-ACCEPT in
neighbor 203.0.113.1 route-map ISP1-IN in
neighbor 203.0.113.1 route-map ISP1-OUT out
neighbor 203.0.114.1 remote-as 65001
neighbor 203.0.114.1 description "ISP2-Secondary"
neighbor 203.0.114.1 password <BGP_MD5_PASSWORD>
neighbor 203.0.114.1 prefix-list OUR-PREFIX out
neighbor 203.0.114.1 prefix-list ISP2-ACCEPT in
neighbor 203.0.114.1 route-map ISP2-IN in
neighbor 203.0.114.1 route-map ISP2-OUT out
network 198.51.100.0 mask 255.255.255.0
ip prefix-list OUR-PREFIX seq 10 permit 198.51.100.0/24
ip prefix-list OUR-PREFIX seq 20 deny 0.0.0.0/0 le 32
ip prefix-list ISP1-ACCEPT seq 10 permit 0.0.0.0/0
ip prefix-list ISP1-ACCEPT seq 100 deny 0.0.0.0/0 le 32
route-map ISP1-IN permit 10
set local-preference 200
route-map ISP2-IN permit 10
set local-preference 100
route-map ISP2-OUT permit 10
set as-path prepend 65100 65100 65100
route-map ISP1-OUT permit 10
MD5-аутентификация обязательна для публичного BGP-пиринга — она защищает от подмены BGP-пакетов. Для быстрого failover добавляем BFD на интерфейсах:
interface GigabitEthernet0/0
bfd interval 300 min_rx 300 multiplier 3
router bgp 65100
neighbor 203.0.113.1 fall-over bfdTraffic engineering: управление входящим и исходящим трафиком
Исходящий трафик контролируется LOCAL_PREF: в примере выше ISP1 получает pref 200, ISP2 — 100. Весь исходящий трафик пойдёт через ISP1, пока он жив. Входящий трафик управляется AS_PATH prepend: мы добавляем свой AS трижды в анонс для ISP2, делая путь через ISP2 длиннее. Для тонкой настройки используем community: например, blackhole community (65000:666) для RTBH (Remote Triggered Black Hole).
RPKI и IRR: защита от route hijack
Регистрация ROA (Route Origin Authorization) в RPKI гарантирует, что только ваша AS может анонсировать ваш IP-блок. Провайдеры с ROV (Route Origin Validation) не примут маршрут без валидного ROA. Мы также регистрируем AS-SET в IRR RIPE и настраиваем фильтрацию входящих префиксов.
Процесс настройки BGP-мультихоминга
- Аудит текущей сети: анализ линков, пропускной способности, требований к отказоустойчивости.
- Получение ASN и IP-блока (если нет): оформление членства в RIPE, получение public ASN и /24 префикса.
- Конфигурация BGP-сессий: настройка соседей, фильтрация префиксов, политик маршрутизации (LOCAL_PREF, AS_PATH prepend, community).
- Внедрение BFD и мониторинга: настройка BFD на всех линках, интеграция с Prometheus/Grafana.
- Регистрация RPKI и IRR: создание ROA, регистрация AS-SET, проверка валидации.
- Тестирование failover: симуляция падения одного провайдера, проверка времени переключения.
- Документация и обучение: передача схемы сети, инструкций по эксплуатации.
Сроки и стоимость
| Этап | Срок |
|---|---|
| BGP с одним ISP + фильтрация | 1–2 дня |
| Мультихоминг (2 ISP) + traffic engineering | 3–5 дней |
| RPKI + IRR регистрация + RTBH | 2–3 дня |
| iBGP внутри AS + Route Reflector | 3–5 дней |
| Полная AS с BGP политиками + документация | 1–2 недели |
Стоимость рассчитывается индивидуально после аудита. Свяжитесь с нами для оценки вашего проекта. Финансовая выгода от BGP-мультихоминга очевидна: отказоустойчивость предотвращает потери выручки.
Что входит в работу
- Конфигурация BGP-сессий на вашем оборудовании (Cisco, Juniper, MikroTik, Linux-стек).
- Настройка фильтрации prefix-list и route-map.
- Внедрение BFD на всех линках.
- Регистрация RPKI и IRR (если требуется).
- Интеграция мониторинга BGP-сессий в Prometheus/Grafana.
- Документация: схема сети, описание политик, runbook для оператора.
- Обучение вашего персонала базовым операциям (show bgp summary, проверка сессий).
Типичные ошибки
- Использование private ASN для внешнего пиринга (public ASN обязателен).
- Отсутствие MD5-аутентификации — уязвимость для BGP hijack.
- Неправильная настройка prefix-list: анонс слишком маленького префикса (меньше /24) будет отвергнут провайдерами.
- Игнорирование BFD: время failover вырастает до минут.
- Неиспользование RPKI: вашу сеть могут угнать (route hijack).
Мы гарантируем, что ваша BGP-инфраструктура будет работать стабильно и безопасно. Наши инженеры имеют 10+ лет опыта в настройке BGP для крупных проектов. Закажите консультацию — оценим вашу сеть.
