Aller au contenu
Vue aérienne nocturne d'un échangeur autoroutier où se croisent de nombreuses routes éclairées
Photo : Siyuan Zhao sur Pexels
Publié le 8 mars 20268 min de lecture

ASN et routage BGP : comment le trafic trouve son chemin

Ce qu'est un système autonome, comment BGP choisit un chemin entre 88 000 d'entre eux, avec de vrais chemins d'AS des collecteurs du RIPE et de nos tracés.

asnbgproutinginternet-infrastructure

Internet n'est pas un réseau unique mais des dizaines de milliers de réseaux, qui s'entendent pour transporter le trafic les uns des autres. Chacun est un système autonome (AS), identifié par un numéro (ASN), et BGP (Border Gateway Protocol) est le protocole par lequel ils se signalent mutuellement les adresses qu'ils peuvent atteindre. Ce guide explique les deux avec des données réelles : des chemins d'AS enregistrés par les collecteurs de routes du RIPE et des traceroutes lancés depuis nos propres serveurs, le 7 octobre 2026.

Qu'est-ce qu'un système autonome ?

Un AS est un réseau, ou un groupe de réseaux, exploité par une seule organisation avec une seule politique de routage : un fournisseur d'accès, un fournisseur cloud ou un hébergeur, une université, une grande entreprise. Son numéro est attribué par l'un des cinq registres internet régionaux (AFRINIC, APNIC, ARIN, LACNIC, RIPE NCC). Les ASN étaient des nombres sur 16 bits (de 1 à 65 535) ; ils sont désormais sur 32 bits, jusqu'à 4 294 967 295. Le 7 octobre 2026, les collecteurs de routes du RIPE voyaient 88 105 ASN distincts dans la table de routage mondiale.

Les réseaux qui apparaissent dans les mesures ci-dessous :

ASNOpérateurRôle dans nos exemples
AS24940Hetzner OnlineHéberge notre serveur de Falkenstein, en Allemagne
AS16276OVHcloudHéberge notre serveur de Gravelines, en France
AS20473Vultr (The Constant Company)Héberge la destination de test dans le New Jersey
AS201011Core-BackboneTransporte le trafic de Hetzner à travers l'Atlantique
AS1299Arelion (ex-Telia Carrier)Fournisseur de transit, de Hambourg à Singapour
AS174CogentFournisseur de transit
AS3257GTTFournisseur de transit
AS13335CloudflareExploite 1.1.1.1

Ce que fait BGP

Chaque AS annonce les blocs d'adresses qu'il détient, appelés préfixes, aux réseaux auxquels il est connecté. Chacun d'eux relaie l'annonce en ajoutant son propre ASN en tête. La liste des ASN qu'une route a traversés forme son chemin d'AS (AS path). Vultr, par exemple, annonce 108.61.128.0/19, le bloc qui contient notre hôte de test du New Jersey. Voici comment quelques réseaux connectés au collecteur du RIPE à Londres voyaient ce préfixe :

1828 20473
36924 1299 20473
15692 174 20473
286 3257 20473
917 60068 174 20473
5511 7922 7922 20473

Lisez chaque ligne de droite à gauche. 20473, c'est Vultr, d'où part la route. Sur la deuxième ligne, la route de Vultr a atteint Arelion (1299), qui l'a transmise au réseau qui l'a communiquée au collecteur. 174, c'est Cogent, et 3257, GTT : deux autres fournisseurs de transit. Sur la première ligne, 1828 (Unitas Global) est directement connecté à Vultr. La dernière ligne montre du prepending : Comcast (7922) répète son propre numéro pour que le chemin paraisse plus long, un moyen courant de rendre une route moins attractive pour les autres.

Sur les 325 chemins que les collecteurs détenaient pour ce préfixe ce jour-là, un venait directement de Vultr, 50 traversaient 2 ASN, 172 en traversaient 3, 90 en traversaient 4, 11 en traversaient 5, et un seul, prepending compris, en affichait 7. L'essentiel d'Internet n'est qu'à deux ou trois réseaux de l'essentiel du reste.

Comment BGP choisit entre plusieurs chemins

Un routeur apprend généralement plusieurs chemins vers un même préfixe. Il n'en garde qu'un, en appliquant des critères dans un ordre fixe (version simplifiée) :

  1. Préférence locale (local preference) : une valeur que l'opérateur fixe selon sa propre politique. Elle passe en premier, et c'est surtout une question d'argent.
  2. Chemin d'AS le plus court : moins de réseaux à traverser.
  3. Type d'origine, puis MED (une préférence exprimée par le réseau voisin).
  4. Les routes apprises d'un autre réseau (eBGP) plutôt que celles apprises en interne (iBGP).
  5. Sortie la plus proche : le coût interne le plus bas pour quitter le réseau, ce qu'on appelle aussi le routage de la patate chaude (hot-potato routing).
  6. Des critères de départage, comme la route la plus ancienne ou le router ID le plus bas.

Rien dans cette liste ne mesure la latence, la bande passante ou la perte. La partie financière suit les relations commerciales :

  • Transit : un réseau paie un fournisseur pour atteindre l'ensemble d'Internet. Arelion est l'un des fournisseurs de transit de Hetzner : dans notre tracé vers Singapour, tous les sauts de Hambourg à Singapour appartiennent à AS1299.
  • Peering : deux réseaux échangent le trafic entre leurs propres clients, en général sans se payer l'un l'autre, soit par un lien direct, soit sur un point d'échange internet (IXP).
  • Un réseau préfère les routes de ses clients (ils paient), puis celles de ses pairs (gratuites), puis celles de ses fournisseurs (c'est lui qui paie). Et il ne transmet les routes apprises de ses pairs et de ses fournisseurs qu'à ses clients.

Résultat : chaque réseau du parcours retient le chemin acceptable le moins cher pour lui, pas le plus rapide pour vous. Notre tracé de l'Allemagne vers Sydney prend 341 ms, alors que la distance seule permettrait environ 162 ms ; dans notre étude de la latence cloud depuis 33 villes, Johannesburg atteignait São Paulo en passant par l'Europe. Le routage de la patate chaude rend aussi la plupart des chemins asymétriques : chaque réseau se débarrasse du trafic à sa sortie la plus proche, si bien que le retour emprunte souvent un autre chemin que l'aller.

Voir les frontières entre AS dans un traceroute

Avec mtr -z, chaque saut affiche l'AS qui annonce son adresse. Vers le même hôte du New Jersey, à la même minute, depuis nos deux serveurs :

Depuis Falkenstein (Hetzner)
  4. AS24940  juniper5.dc2.nbg1.hetzner.com         0.0%   100    3.0   5.2   2.8  65.6   9.2
  5. AS201011 ae12-499.nbg40.core-backbone.com      0.0%   100    3.2   3.0   2.7   3.3   0.1
  6. AS201011 ae7-2093.nyk10.core-backbone.com      0.0%   100   86.6  86.7  86.5  87.0   0.1
  7. AS???    ???                                  100.0   100    0.0   0.0   0.0   0.0   0.0
 10. AS20473  66.55.138.149.vultrusercontent.com    2.0%   100   85.7  85.9  85.6  87.3   0.2
 11. AS20473  108.61.149.182.vultrusercontent.com   0.0%   100   86.2  86.4  85.9 107.1   2.1

Depuis Gravelines (OVHcloud)
 10. AS16276  be102.lon-drch-sbb1-nc5.uk.eu         1.0%   100    3.8   3.7   3.5   4.1   0.1
 11. AS16276  nyc-ny1-sbb2-8k.nj.us                 0.0%   100   73.0  73.4  71.6  76.0   0.8
 13. AS???    nyiix.gi3-6.cr1.nyc1.choopa.net       0.0%   100   72.7  72.5  72.3  73.0   0.1
 17. AS20473  108.61.149.182.vultrusercontent.com   0.0%   100   71.7  71.7  71.5  73.0   0.2
  • Depuis Falkenstein, Hetzner remet le trafic à Core-Backbone à Nuremberg (saut 5), qui traverse l'Atlantique (saut 6, New York), puis Vultr prend le relais (saut 10).
  • Depuis Gravelines, OVHcloud achemine le trafic sur son propre réseau via Londres jusqu'à New York, puis le remet à Vultr sur NYIIX, un point d'échange internet new-yorkais (saut 13). Les adresses du point d'échange ne sont pas annoncées dans BGP, d'où AS???.
  • Deux routes, deux chemins d'AS, et 15 ms d'écart vers le même serveur.

Trois mises en garde pour lire les numéros d'AS dans un tracé : à une interconnexion, le lien entre deux réseaux est souvent adressé dans la plage de l'un d'eux, si bien que la frontière peut apparaître un saut trop tôt ou trop tard ; les adresses privées (10.x, 172.16 à 31.x, 192.168.x) n'ont aucun AS ; et le tracé ne montre que l'aller.

À quel point ces réseaux sont interconnectés

RIPEstat compte, pour chaque AS, les réseaux vus directement à côté de lui dans les chemins BGP. Le 7 octobre 2026 : Arelion (AS1299) 2 646, Vultr (AS20473) 1 728, OVHcloud (AS16276) 537, Hetzner (AS24940) 267. Un grand fournisseur de transit comme Arelion côtoie des milliers de réseaux ; Vultr, qui pratique largement le peering, plus d'un millier ; Hetzner, quelques centaines, dont plusieurs fournisseurs de transit.

Quand BGP déraille

  • Détournements : un AS annonce un préfixe qui ne lui appartient pas. En février 2008, Pakistan Telecom a annoncé une partie de l'espace d'adresses de YouTube ; la route s'est propagée dans le monde entier et a détourné le trafic de YouTube pendant environ deux heures.
  • Fuites : un réseau relaie des routes là où il ne devrait pas, par exemple d'un fournisseur vers un autre, et le trafic fait un détour par lui.
  • Retraits : le 4 octobre 2021, Facebook a retiré les routes vers ses propres serveurs DNS lors d'une maintenance, et ses services sont restés inaccessibles pendant environ six heures.

La validation de l'origine des routes par RPKI, désormais appliquée par la plupart des grands réseaux, rejette les annonces dont l'AS d'origine ne correspond pas à ce qu'a publié le titulaire des adresses. Elle arrête les détournements les plus simples, pas les fuites.

Vérifiez par vous-même