При використанні статичних маршрутів з двома провайдерами час failover може досягати хвилин — ручне перемикання або очікування BFD (якщо він є). Це неприйнятно для сервісів, де кожна хвилина простою коштує грошей. BGP (Border Gateway Protocol) вирішує проблему: протокол динамічної маршрутизації, що дозволяє анонсувати власний IP-блок і вибирати найкращий шлях на основі політик. BGP забезпечує відмовостійкість і балансування трафіку при мультихомінгу. Ми налаштовуємо BGP-піринг під ключ для двох і більше провайдерів з гарантією стабільності. Використовуємо BFD, RPKI, prefix-list, route-map. Підтримуємо обладнання Cisco, Juniper, MikroTik, Linux FRR. Терміни: від 3 до 5 днів. Інвестиції в BGP-мультихомінг окупаються за рахунок зниження часу простою та балансування трафіку, економлячи до 5000 доларів на рік при використанні двох провайдерів. Отримайте консультацію інженера — оцінимо вашу мережу та запропонуємо рішення.
Проблеми мультихомінгу без BGP
Без BGP ви прив'язані до статичних маршрутів. При падінні лінку failover займає хвилини (поки спрацює BFD або ви вручну зміните маршрути). Балансування трафіку — тільки за equal-cost, без урахування завантаження каналів. Крім того, статичні маршрути не захищають від BGP hijack: зловмисник може анонсувати ваш IP-блок з іншого ASN, і трафік піде до нього.
BGP вирішує ці проблеми: протокол сам вибирає найкращий шлях на основі політик, підтримує аварійне перемикання за секунди (з BFD) і дозволяє контролювати вхідний трафік через AS_PATH prepend та community.
| Параметр | Статичні маршрути | BGP-мультихомінг |
|---|---|---|
| Час failover | Хвилини (ручне або BFD) | Секунди (автоматичне, BFD) |
| Балансування трафіку | Тільки equal-cost | За політиками (LOCAL_PREF, weight) |
| Захист від hijack | Ні | RPKI, prefix-list, фільтрація |
| Traffic engineering (вхідний) | Неможливий | AS_PATH prepend, community |
| Управління префіксами | Вручну | Автоматично через BGP |
Чому BGP необхідний для мультихомінгу?
BGP — єдиний протокол, який дозволяє керувати маршрутизацією між вашою AS та кількома провайдерами. Він дає можливість анонсувати власний IP-блок, фільтрувати префікси та застосовувати локальні вподобання. Без BGP ви не зможете реалізувати traffic engineering — наприклад, направити вихідний трафік через дешевшого провайдера, а вхідний — через надійнішого.
Як BFD прискорює виявлення збоїв?
BGP hold timer за замовчуванням — 90 секунд. Якщо фізичний лінк падає, BGP дізнається про це тільки через 90 секунд. BFD (Bidirectional Forwarding Detection) знижує цей час до сотень мілісекунд. З BFD при падінні каналу BGP сесія розривається за ~900 мс (3 × 300 мс). Це в 100 разів швидше, ніж стандартний hold timer (статичні маршрути з BFD — в 60 разів повільніше). Ми завжди вмикаємо BFD на всіх BGP-сусідах.
Базова конфігурація eBGP
Нижче — конфігурація для двох провайдерів (ISP1 AS 65000, ISP2 AS 65001) на Cisco IOS. Наш AS 65100, блок 198.51.100.0/24.
router bgp 65100
bgp router-id 198.51.100.1
bgp log-neighbor-changes
neighbor 203.0.113.1 remote-as 65000
neighbor 203.0.113.1 description "ISP1-Primary"
neighbor 203.0.113.1 password <BGP_MD5_PASSWORD>
neighbor 203.0.113.1 prefix-list OUR-PREFIX out
neighbor 203.0.113.1 prefix-list ISP1-ACCEPT in
neighbor 203.0.113.1 route-map ISP1-IN in
neighbor 203.0.113.1 route-map ISP1-OUT out
neighbor 203.0.114.1 remote-as 65001
neighbor 203.0.114.1 description "ISP2-Secondary"
neighbor 203.0.114.1 password <BGP_MD5_PASSWORD>
neighbor 203.0.114.1 prefix-list OUR-PREFIX out
neighbor 203.0.114.1 prefix-list ISP2-ACCEPT in
neighbor 203.0.114.1 route-map ISP2-IN in
neighbor 203.0.114.1 route-map ISP2-OUT out
network 198.51.100.0 mask 255.255.255.0
ip prefix-list OUR-PREFIX seq 10 permit 198.51.100.0/24
ip prefix-list OUR-PREFIX seq 20 deny 0.0.0.0/0 le 32
ip prefix-list ISP1-ACCEPT seq 10 permit 0.0.0.0/0
ip prefix-list ISP1-ACCEPT seq 100 deny 0.0.0.0/0 le 32
route-map ISP1-IN permit 10
set local-preference 200
route-map ISP2-IN permit 10
set local-preference 100
route-map ISP2-OUT permit 10
set as-path prepend 65100 65100 65100
route-map ISP1-OUT permit 10
MD5-аутентифікація обов'язкова для публічного BGP-пірингу — вона захищає від підміни BGP-пакетів. Для швидкого failover додаємо BFD на інтерфейсах:
interface GigabitEthernet0/0
bfd interval 300 min_rx 300 multiplier 3
router bgp 65100
neighbor 203.0.113.1 fall-over bfdTraffic engineering: управління вхідним і вихідним трафіком
Вихідний трафік контролюється LOCAL_PREF: у прикладі вище ISP1 отримує pref 200, ISP2 — 100. Весь вихідний трафік піде через ISP1, поки він живий. Вхідний трафік управляється AS_PATH prepend: ми додаємо свій AS тричі в анонс для ISP2, роблячи шлях через ISP2 довшим. Для тонкого налаштування використовуємо community: наприклад, blackhole community (65000:666) для RTBH (Remote Triggered Black Hole).
RPKI та IRR: захист від route hijack
Реєстрація ROA (Route Origin Authorization) в RPKI гарантує, що тільки ваша AS може анонсувати ваш IP-блок. Провайдери з ROV (Route Origin Validation) не приймуть маршрут без валідного ROA. Ми також реєструємо AS-SET в IRR RIPE та налаштовуємо фільтрацію вхідних префіксів.
Процес налаштування BGP-мультихомінгу
- Аудит поточної мережі: аналіз лінків, пропускної здатності, вимог до відмовостійкості.
- Отримання ASN та IP-блоку (якщо немає): оформлення членства в RIPE, отримання public ASN та /24 префікса.
- Конфігурація BGP-сесій: налаштування сусідів, фільтрація префіксів, політик маршрутизації (LOCAL_PREF, AS_PATH prepend, community).
- Впровадження BFD та моніторингу: налаштування BFD на всіх лінках, інтеграція з Prometheus/Grafana.
- Реєстрація RPKI та IRR: створення ROA, реєстрація AS-SET, перевірка валідації.
- Тестування failover: симуляція падіння одного провайдера, перевірка часу перемикання.
- Документація та навчання: передача схеми мережі, інструкцій з експлуатації.
Терміни та вартість
| Етап | Термін |
|---|---|
| BGP з одним ISP + фільтрація | 1–2 дні |
| Мультихомінг (2 ISP) + traffic engineering | 3–5 днів |
| RPKI + IRR реєстрація + RTBH | 2–3 дні |
| iBGP всередині AS + Route Reflector | 3–5 днів |
| Повна AS з BGP політиками + документація | 1–2 тижні |
Вартість розраховується індивідуально після аудиту, орієнтовно від 5000 гривень за простий мультихомінг. Зв'яжіться з нами для оцінки вашого проєкту. Фінансова вигода від BGP-мультихомінгу очевидна: відмовостійкість запобігає втратам виручки.
Що входить у роботу
- Конфігурація BGP-сесій на вашому обладнанні (Cisco, Juniper, MikroTik, Linux-стек).
- Налаштування фільтрації prefix-list та route-map.
- Впровадження BFD на всіх лінках.
- Реєстрація RPKI та IRR (якщо потрібно).
- Інтеграція моніторингу BGP-сесій у Prometheus/Grafana.
- Документація: схема мережі, опис політик, runbook для оператора.
- Навчання вашого персоналу базовим операціям (show bgp summary, перевірка сесій).
Типові помилки
- Використання private ASN для зовнішнього пірингу (public ASN обов'язковий).
- Відсутність MD5-аутентифікації — вразливість для BGP hijack.
- Неправильне налаштування prefix-list: анонс занадто малого префікса (менше /24) буде відхилено провайдерами.
- Ігнорування BFD: час failover зростає до хвилин.
- Невикористання RPKI: вашу мережу можуть викрасти (route hijack).
Приклад економії
Перехід на BGP-мультихомінг зі статичних маршрутів скорочує час простою на 97%, що при вартості простою 1000 доларів на годину дає економію до 5000 доларів на рік.Згідно з BGP Best Practices від RIPE, використання RPKI та BFD є обов'язковими для сучасних мереж. Ми гарантуємо, що ваша BGP-інфраструктура працюватиме стабільно та безпечно. Наші інженери мають 10+ років досвіду в налаштуванні BGP для великих проєктів. Замовте консультацію — оцінимо вашу мережу.
