Zum Inhalt springen
Luftaufnahme eines Autobahnkreuzes bei Nacht, an dem sich viele beleuchtete Straßen kreuzen
Foto: Siyuan Zhao auf Pexels
Veröffentlicht am 8. März 20267 Min. Lesezeit

ASN und BGP-Routing: Wie Internetverkehr seinen Weg findet

Was ein autonomes System ist, wie BGP zwischen 88.000 davon einen Pfad wählt, mit echten AS-Pfaden aus den RIPE-Collectors und unseren eigenen Traces.

asnbgproutinginternet-infrastructure

Das Internet ist nicht ein einziges Netz, sondern Zehntausende, die vereinbaren, gegenseitig ihren Verkehr zu transportieren. Jedes davon ist ein autonomes System (AS), gekennzeichnet durch eine Nummer (ASN), und über BGP (Border Gateway Protocol) teilen sie einander mit, welche Adressen sie erreichen können. Dieser Leitfaden erklärt beides mit echten Daten vom 7. Oktober 2026: AS-Pfaden, die die Route Collectors von RIPE aufgezeichnet haben, und Traceroutes von unseren eigenen Servern.

Was ein autonomes System ist

Ein AS ist ein Netz oder eine Gruppe von Netzen, betrieben von einer einzigen Organisation mit einer einheitlichen Routing-Policy: ein Internetanbieter, ein Cloud- oder Hosting-Unternehmen, eine Universität, ein Großunternehmen. Seine Nummer vergibt eine der fünf regionalen Internet-Registries (AFRINIC, APNIC, ARIN, LACNIC, RIPE NCC). ASNs waren früher 16-Bit-Zahlen (1 bis 65.535) und sind heute 32 Bit lang, bis 4.294.967.295. Am 7. Oktober 2026 sahen die Route Collectors von RIPE 88.105 verschiedene ASNs in der globalen Routing-Tabelle.

Die Netze, die in den Messungen unten vorkommen:

ASNBetreiberRolle in unseren Beispielen
AS24940Hetzner OnlineHostet unseren Server in Falkenstein, Deutschland
AS16276OVHcloudHostet unseren Server in Gravelines, Frankreich
AS20473Vultr (The Constant Company)Hostet das Testziel in New Jersey
AS201011Core-BackboneTransportiert den Verkehr von Hetzner über den Atlantik
AS1299Arelion (früher Telia Carrier)Transit-Provider, von Hamburg bis Singapur
AS174CogentTransit-Provider
AS3257GTTTransit-Provider
AS13335CloudflareBetreibt 1.1.1.1

Was BGP tut

Jedes AS kündigt die Adressblöcke, die ihm gehören, sogenannte Präfixe, den Netzen an, mit denen es verbunden ist. Jedes dieser Netze gibt die Ankündigung weiter und setzt dabei seine eigene ASN davor. Die Liste der ASNs, die eine Route durchlaufen hat, ist ihr AS-Pfad. Vultr zum Beispiel kündigt 108.61.128.0/19 an, den Block, der unseren Testhost in New Jersey enthält. So sahen einige Netze, die mit dem Collector von RIPE in London verbunden sind, dieses Präfix:

1828 20473
36924 1299 20473
15692 174 20473
286 3257 20473
917 60068 174 20473
5511 7922 7922 20473

Lesen Sie jede Zeile von rechts nach links. 20473 ist Vultr, wo die Route beginnt. In der zweiten Zeile erreichte die Route von Vultr Arelion (1299), das sie an das Netz weitergab, welches sie dem Collector übermittelte. 174 ist Cogent und 3257 ist GTT, zwei weitere Transit-Provider. In der ersten Zeile ist 1828 (Unitas Global) direkt mit Vultr verbunden. Die letzte Zeile zeigt Prepending: Comcast (7922) wiederholt seine eigene Nummer, damit der Pfad länger wirkt, ein gängiges Mittel, um eine Route für andere weniger attraktiv zu machen.

Von den 325 Pfaden, die die Collectors an diesem Tag für dieses Präfix gespeichert hatten, kam einer direkt von Vultr, 50 durchliefen jeweils 2 ASNs, 172 jeweils 3, 90 jeweils 4, 11 jeweils 5, und einer zeigte, Prepending eingerechnet, 7. Der größte Teil des Internets ist vom größten Teil des Rests zwei oder drei Netze entfernt.

Wie BGP zwischen Pfaden wählt

Ein Router lernt meist mehrere Pfade zum selben Präfix. Er behält einen davon, indem er eine feste Reihenfolge von Kriterien anwendet (vereinfacht):

  1. Local Preference: ein Wert, den der Betreiber nach seiner eigenen Policy setzt. Er kommt zuerst, und meist geht es dabei um Geld.
  2. Kürzester AS-Pfad: weniger Netze zu durchqueren.
  3. Origin-Typ, dann MED (eine Präferenz, die das Nachbarnetz angibt).
  4. Von einem anderen Netz gelernte Routen (eBGP) vor intern gelernten Routen (iBGP).
  5. Nächstgelegener Ausgang: die niedrigsten internen Kosten, um das Netz zu verlassen, auch Hot-Potato-Routing genannt.
  6. Letzte Entscheidungskriterien bei Gleichstand, etwa die älteste Route oder die niedrigste Router-ID.

Nichts in dieser Liste misst Latenz, Bandbreite oder Verlust. Der finanzielle Teil folgt den Geschäftsbeziehungen:

  • Transit: Ein Netz bezahlt einen Provider, um das gesamte Internet zu erreichen. Arelion ist einer der Transit-Provider von Hetzner: In unserem Trace nach Singapur gehört jeder Hop von Hamburg bis Singapur zu AS1299.
  • Peering: Zwei Netze tauschen Verkehr zwischen ihren eigenen Kunden aus, meist ohne einander zu bezahlen, entweder über eine direkte Verbindung oder an einem Internet-Knoten (IXP).
  • Ein Netz bevorzugt Routen von seinen Kunden (sie zahlen), dann von seinen Peers (kostenlos), dann von seinen Providern (es zahlt). Und Routen, die es von Peers und Providern gelernt hat, gibt es nur an seine Kunden weiter.

Das Ergebnis ist für jedes Netz unterwegs der günstigste akzeptable Pfad, nicht der schnellste für Sie. Unser Trace von Deutschland nach Sydney braucht 341 ms, obwohl die Entfernung allein etwa 162 ms zuließe; in unserer Studie zur Cloud-Latenz aus 33 Städten erreichte Johannesburg São Paulo über Europa. Hot-Potato-Routing macht außerdem die meisten Pfade asymmetrisch: Jedes Netz gibt den Verkehr am nächstgelegenen Ausgang ab, daher ist der Rückweg oft nicht der Hinweg.

AS-Grenzen in einem Traceroute erkennen

Mit mtr -z zeigt jeder Hop das AS, das seine Adresse ankündigt. Zum selben Host in New Jersey, in derselben Minute, von unseren beiden Servern aus:

Von Falkenstein aus (Hetzner)
  4. AS24940  juniper5.dc2.nbg1.hetzner.com         0.0%   100    3.0   5.2   2.8  65.6   9.2
  5. AS201011 ae12-499.nbg40.core-backbone.com      0.0%   100    3.2   3.0   2.7   3.3   0.1
  6. AS201011 ae7-2093.nyk10.core-backbone.com      0.0%   100   86.6  86.7  86.5  87.0   0.1
  7. AS???    ???                                  100.0   100    0.0   0.0   0.0   0.0   0.0
 10. AS20473  66.55.138.149.vultrusercontent.com    2.0%   100   85.7  85.9  85.6  87.3   0.2
 11. AS20473  108.61.149.182.vultrusercontent.com   0.0%   100   86.2  86.4  85.9 107.1   2.1

Von Gravelines aus (OVHcloud)
 10. AS16276  be102.lon-drch-sbb1-nc5.uk.eu         1.0%   100    3.8   3.7   3.5   4.1   0.1
 11. AS16276  nyc-ny1-sbb2-8k.nj.us                 0.0%   100   73.0  73.4  71.6  76.0   0.8
 13. AS???    nyiix.gi3-6.cr1.nyc1.choopa.net       0.0%   100   72.7  72.5  72.3  73.0   0.1
 17. AS20473  108.61.149.182.vultrusercontent.com   0.0%   100   71.7  71.7  71.5  73.0   0.2
  • Von Falkenstein aus übergibt Hetzner den Verkehr in Nürnberg an Core-Backbone (Hop 5), das den Atlantik überquert (Hop 6, New York), dann übernimmt Vultr (Hop 10).
  • Von Gravelines aus transportiert OVHcloud den Verkehr im eigenen Netz über London nach New York und übergibt ihn dann am NYIIX, einem Internet-Knoten in New York, an Vultr (Hop 13). Die Adressen des Internet-Knotens werden nicht per BGP angekündigt, daher AS???.
  • Zwei Routen, zwei AS-Pfade und 15 ms Unterschied zum selben Server.

Drei Vorbehalte beim Lesen von AS-Nummern in einem Trace: An einer Übergabe ist die Verbindung zwischen zwei Netzen oft aus dem Adressraum eines der beiden nummeriert, sodass die Grenze einen Hop zu früh oder zu spät erscheinen kann; private Adressen (10.x, 172.16 bis 31.x, 192.168.x) haben überhaupt kein AS; und der Trace zeigt nur den Hinweg.

Wie stark diese Netze vernetzt sind

RIPEstat zählt die Netze, die in BGP-Pfaden direkt neben einem AS auftauchen. Am 7. Oktober 2026: Arelion (AS1299) 2.646, Vultr (AS20473) 1.728, OVHcloud (AS16276) 537, Hetzner (AS24940) 267. Ein großer Transit-Provider wie Arelion hat Tausende Netze als direkte Nachbarn, Vultr, das mit sehr vielen Netzen peert, mehr als tausend, Hetzner einige Hundert, darunter mehrere Transit-Provider.

Wenn BGP schiefgeht

  • Hijacks: Ein AS kündigt ein Präfix an, das ihm nicht gehört. Im Februar 2008 kündigte Pakistan Telecom einen Teil des Adressraums von YouTube an; die Route verbreitete sich weltweit und leitete den Verkehr von YouTube etwa zwei Stunden lang um.
  • Route Leaks: Ein Netz gibt Routen dorthin weiter, wo es das nicht sollte, etwa von einem Provider an einen anderen, und der Verkehr macht einen Umweg durch dieses Netz.
  • Zurückgezogene Routen: Am 4. Oktober 2021 zog Facebook bei Wartungsarbeiten die Routen zu seinen eigenen DNS-Servern zurück, und seine Dienste waren etwa sechs Stunden lang nicht erreichbar.

Die RPKI Route Origin Validation, die inzwischen die meisten großen Netze anwenden, verwirft Ankündigungen, deren Ursprungs-AS nicht zu dem passt, was der Inhaber der Adressen veröffentlicht hat. Sie stoppt die einfachsten Hijacks, aber keine Route Leaks.

Selbst nachschlagen