Im großen Internet-Keller stehen Wegweiser, die so tun, als wären sie festgeschraubt. Man hängt ein Ziel dran, schiebt ein Paket los, und irgendwo im Backbone sagt eine sehr seriöse Walze: ja, ja, hier entlang. Dann greift ein kleiner Pinsel aus dem Transit-Schacht und malt den Herkunftsstempel um.
Cloudflare hat sich das alte BGP-Attribut ORIGIN vorgenommen. Dieses Attribut beschreibt nicht, welches autonome System eine Route ankündigt, sondern wie die Route ursprünglich in BGP eingespeist wurde: IGP, EGP oder INCOMPLETE. Laut RFC 4271 wird ORIGIN vom ursprünglichen Sprecher erzeugt und sollte unterwegs nicht verändert werden. Das ist die Theorie. Die Praxis trägt einen öligen Overall.
Der Stempel ist klein, der Hebel nicht
Cloudflare berichtet aus eigenen Experimenten, dass rund 70 Prozent der beobachteten Pfade an zahlreichen Messpunkten einen anderen ORIGIN-Wert trugen als den, den Cloudflare ursprünglich gesetzt hatte. Das ist keine hübsche Kosmetik am Paketumschlag. ORIGIN wird im BGP-Auswahlverfahren als Tie-Breaker betrachtet, wenn andere Werte wie Local Preference und AS-Pfad-Länge gleich stehen. Ein frisch umlackierter Stempel kann also mitentscheiden, welcher Weg gewinnt.
Die Grundmechanik klingt nach Verwaltungsakt mit Schraubenschlüssel: Ein Netz annonciert eine Route mit einem bestimmten ORIGIN-Wert. Unterwegs setzt ein Transitnetz den Wert auf eine attraktivere Variante, häufig IGP. Für nachgelagerte Router sieht dieser Pfad dann günstiger aus, obwohl der Zielort derselbe bleibt. Das Paket fährt nicht, weil es die Wahrheit kennt. Es fährt, weil die Weiche gut angezogen wurde.
Cloudflare hat Testpräfixe auf die Walze gelegt
Für die Analyse kündigte Cloudflare mehrere IPv4- und IPv6-Präfixe mit unterschiedlichen ORIGIN-Werten von allen Peering-Standorten an und wertete Updates aus öffentlichen BGP-Sammlern wie RIPE RIS und RouteViews sowie eigene Routerdaten aus. Bei direkten Peers fand Cloudflare nach eigenen Angaben, dass knapp zehn Prozent der direkten Peers den ORIGIN-Wert zu IGP änderten. Bei längeren Pfaden rechnete das Team die mutmaßlichen Umschreiber weiter heraus und kam auf 64 von 606 zugeordneten ASes, also 10,6 Prozent, die zu IGP wechselten.
Besonders hübsch, wenn man auf rostige Weise hübsch sagt: Die Umschreiber sitzen nicht nur irgendwo im Kabelknäuel. Cloudflare schreibt, dass unter den Top-50-ASes nach CAIDA-AS-Rank 26 Prozent und unter den Top 100 rund 20 Prozent ORIGIN manipulieren. Das ist nicht der vergessene Switch im Besenschrank. Das ist die Mautstation mit eigener Lackierkabine.
Warum das nicht nur BGP-Nerdstaub ist
Wer Websites betreibt, merkt BGP meistens erst, wenn etwas ausfällt und alle plötzlich sehr konzentriert auf Weltkarten mit roten Punkten starren. Aber dieses Detail zeigt, wie viel Internet aus Konventionen besteht. BGP ist nicht nur Technik, sondern Politik aus Pfadattributen: Wer Verkehr anzieht, wer ihn loswird, wer Kosten spart, wer Kundentraffic bevorzugt, wer die alte Regel so lange biegt, bis sie wie ein Kabelbinder aussieht.
Der abgelaufene Internet-Draft zum „Scrubbing“ des BGP-ORIGIN-Attributs passt deshalb in die Geschichte: Wenn ein Attribut seit Jahren inkonsistent genutzt wird und trotzdem früh in der Entscheidungskette steht, muss die Werkstatt irgendwann entscheiden, ob sie den Stempel repariert, abschafft oder offiziell zur Sprühdose erklärt. Bis dahin gilt: Manche Wegweiser im Netz zeigen nicht einfach Richtung Ziel. Sie zeigen Richtung Geschäftsmodell.
Für die Blechpresse bleibt der Befund schlicht: Das Internet ist stabiler, als es aussieht, und schiefer, als es zugibt. Und irgendwo im Backbone wischt gerade jemand grün über einen alten Herkunftsstempel, während die Pakete höflich so tun, als sei das alles ganz normal.