Zusammenfassung

  • Die Route Server von DE-CIX senken den Aufwand für Beziehungen zu vielen Netzen, machen ihre gemeinsamen Verteilungs- und Validierungsregeln aber auch zum Bestandteil der Mitgliederpolitik.
  • Steuerbar wird diese Delegation durch ein Register für Standardumfang, Ausnahmen, Filterquellen, sichtbare Ablehnungsgründe, Änderungstests und einen bilateralen Ausweg für kritische Peers.

Die Kosten einer Peering-Beziehung beginnen lange vor dem ersten Nutzdatenpaket. Jemand muss den Gegenüber finden, Richtlinien vergleichen, beide Seiten konfigurieren, die Sitzung überwachen und spätere Wartungen koordinieren. Bei hundert Gegenparteien wird die Wiederholung selbst zum wirtschaftlichen Hindernis.

Ein Route Server macht aus einem Teil dieser Wiederholung eine gemeinsame Leistung. Wenige Sitzungen reichen, um Routen vieler Teilnehmer zu erhalten. Die Richtlinie verschwindet dadurch nicht. Ein Teil ihrer Ausführung wandert lediglich in die geteilte Infrastruktur.

Gespart wird zuerst an Transaktionskosten

DE-CIX beschreibt Route-Server-Peering und direkte bilaterale Sitzungen als Optionen, die sich einzeln oder gemeinsam einsetzen lassen. Die Implementierungshilfe nennt den Zugang zu Dutzenden oder Hunderten Netzen bei geringerem Konfigurationsaufwand. Zugleich nutzen nicht alle Teilnehmer den Route Server, etwa weil ihre Peering-Politik selektiv oder restriktiv ist.

Eine über den Server gelernte Route schafft keinen bilateralen Handelsvertrag. Sie senkt jedoch die Grenzkosten des Reichweitenaustauschs. Der Standardfall kann unter einer gemeinsamen Regel entstehen; die Ausnahme benötigt eine Community, eine lokale Importregel oder eine gesonderte Verhandlung.

Damit wird die Voreinstellung zur Marktregel. Sie erzwingt keinen Verkehrsweg, verändert aber den organisatorischen Preis von Zustimmung, Ablehnung und Einzelvereinbarung.

Keine Community zu setzen ist ebenfalls eine Entscheidung

Die veröffentlichte technische GlobePEER-Beschreibung nennt die Ankündigung an alle Peers als Standard, wenn keine Steuerungs-Community gesetzt ist. DE-CIX dokumentiert Communities, mit denen die Verteilung an eine bestimmte ASN oder an alle Peers erlaubt oder unterdrückt werden kann. Wo verfügbar, ist dies auch nach Switch, Metropolregion, Land oder Kontinent möglich. Für widersprüchliche Anweisungen gibt es eine festgelegte Reihenfolge.

Der Route Server wiederholt also nicht einfach ein Gespräch. Er erzeugt aus einer eingehenden Ankündigung unterschiedliche, durch Richtlinien geprägte Ausgaben für viele Kunden. Das Weglassen einer Community lässt die Entscheidung nicht offen, sondern wählt die gemeinsame Voreinstellung.

Ein Mitglied muss beantworten können, welche Präfixe es übergibt, wer sie empfangen darf, was es selbst importiert und wo Ausnahmen dokumentiert sind. Eine Liste aktiver BGP-Nachbarn genügt nicht. Liegt die Antwort nur in der laufenden Routerkonfiguration, ist die tatsächliche Delegation größer als die sichtbare.

Filter machen aus öffentlichen Nachweisen Betriebsberechtigungen

DE-CIX erklärt, auf seinen Route Servern IRR-Daten und RPKI-Validierung zu nutzen. Mitglieder sollen im Looking Glass angekündigte und akzeptierte Präfixe vergleichen und Ablehnungsgründe prüfen. Für die GlobePEER-Mindestkonfiguration ist außerdem ein AS-SET erforderlich, damit Filterregeln erstellt werden können.

Damit werden externe Datensätze in eine operative Entscheidung übersetzt. Ein fehlendes Route Object, ein veraltetes AS-SET oder eine widersprüchliche Ursprungsautorisierung kann die Verteilung verhindern, obwohl die BGP-Sitzung stabil bleibt. Protokollverfügbarkeit und ausgeführte Absicht sind verschiedene Belege.

RFC 7948 empfiehlt Maßnahmen gegen Präfixlecks, weil eine einzige Sitzung mit dem Route Server die Wirkung einer falschen Ankündigung auf viele Netze vergrößern kann. Die RFC weist zugleich auf den Verwaltungsaufwand zuverlässiger Filter hin und lässt dem Kunden die Verantwortung, veröffentlichte Politik und tatsächliche Ankündigungen in Einklang zu halten. Gemeinsame Sicherheit spart Risiko, erzeugt aber Abhängigkeit von Datenqualität und Aktualisierungszeit.

Zwei Server liefern nicht zwei unabhängige Urteile

DE-CIX gibt an, pro Metropolregion zwei Route Server zu betreiben, und empfiehlt zwei Sitzungen für IPv4 sowie zwei für IPv6. RFC 7948 empfiehlt ebenfalls mehrere Server mit gleichwertiger Erreichbarkeitsinformation. Diese Redundanz schützt vor dem Ausfall einer Instanz.

Sie beweist keine politische Unabhängigkeit. Gleichwertige Systeme können denselben veralteten Filter, dasselbe Missverständnis einer Community oder dieselbe fehlerhafte Importregel des Mitglieds anwenden. Die Zahl der Sitzungen misst eine Verfügbarkeitsdimension, nicht die Vielfalt der Entscheidungen.

GRACEFUL_SHUTDOWN liefert aussagekräftigere Evidenz. Eine bekannte Community senkt die lokale Präferenz, alternative Pfade können vor dem Abbruch der Layer-2-Verbindung konvergieren. Eine beobachtete Umschaltung ist belastbarer als eine statische Redundanzzeichnung.

Die letzte Verantwortung bleibt beim Mitglied

Aus den öffentlichen Quellen geht nicht hervor, welche Routen ein bestimmtes Mitglied annimmt, wie es Verkehr verteilt, welche kommerziellen Bedingungen gelten oder welche Vorfälle auftraten. Sie belegen auch keinen von DE-CIX verursachten Ausfall. Diese Grenze muss im Urteil erhalten bleiben.

Die Dokumente zeigen dennoch die Verantwortungsaufteilung. DE-CIX stellt gemeinsame Sitzungen, Validierung, Verteilungssteuerung und Sichtbarkeit bereit. Das Mitglied entscheidet, was es ankündigt und importiert, welche Register es pflegt, wann es Änderungen vornimmt und welche kritischen Beziehungen zusätzlich eine direkte Sitzung benötigen.

Die richtige Antwort ist nicht, gemeinsame Infrastruktur wegen ihrer Konzentration abzulehnen. Die Konzentration muss lesbar, messbar und umkehrbar werden.

Quellen