OSPF e BGP: quando usare il routing interno e quando quello esterno

OSPF e BGP risolvono due problemi diversi, ma vengono spesso confusi perché entrambi "fanno routing". La distinzione non è la velocità o la complessità: è il perimetro amministrativo. OSPF governa il traffico dentro una rete che controlli tu, BGP governa il traffico fra reti controllate da soggetti diversi.

Il confine: IGP contro EGP

OSPF è un IGP (Interior Gateway Protocol). Presuppone che tutti i router che partecipano siano sotto la stessa autorità, si fidino l'uno dell'altro e condividano lo stesso obiettivo: trovare il percorso più breve verso ogni destinazione interna.

BGP è un EGP (Exterior Gateway Protocol). Presuppose l'opposto: i router che parlano fra loro appartengono a organizzazioni distinte, ognuna con i propri interessi commerciali. Per questo BGP non sceglie il percorso "migliore" in senso tecnico, ma quello migliore in base a una policy che scrivi tu.

Questa differenza spiega tutto il resto del comportamento dei due protocolli.

Come decidono il percorso

OSPF calcola le rotte con l'algoritmo Dijkstra su una mappa completa della topologia. Ogni router conosce l'intera rete e calcola in autonomia l'albero dei percorsi più brevi. La metrica è il costo, tipicamente derivato dalla banda dell'interfaccia. Se un link cade, tutti ricalcolano e la convergenza avviene in pochi secondi.

BGP non conosce nessuna topologia. Riceve annunci di prefissi con l'elenco degli AS attraversati e applica una sequenza di criteri in ordine rigido: weight, local preference, origine locale, lunghezza dell'AS path, origin code, MED, preferenza eBGP su iBGP, costo IGP verso il next hop. Il primo criterio che discrimina chiude la decisione.

La conseguenza pratica è che con BGP puoi far preferire un percorso lungo e lento a uno corto e veloce, semplicemente perché il primo costa meno. Con OSPF non puoi: l'unica leva è il costo dell'interfaccia.

Quando serve OSPF

OSPF è la scelta naturale in questi scenari:

• rete aziendale multi-sede con collegamenti privati o tunnel fra le sedi
• data center o campus con più router e necessità di failover rapido
• backbone di un piccolo operatore, per distribuire le rotte interne e i next hop
• sostituzione di rotte statiche diventate ingestibili

Il punto di forza è la convergenza automatica: aggiungi una subnet in una sede e compare ovunque senza toccare configurazioni. Il punto debole è la scalabilità. Oltre qualche centinaio di router in una singola area, il ricalcolo diventa pesante e la rete va segmentata in aree con una area 0 di dorsale.

Quando serve BGP

BGP è obbligatorio quando ti interfacci con reti terze:

• hai un tuo numero di AS e annunci prefissi IP pubblici verso più transit provider o verso un internet exchange
• vuoi multihoming reale, con failover automatico fra due operatori e continuità delle sessioni
• devi applicare traffic engineering, cioè decidere per quale link entra e per quale esce un certo traffico

BGP serve anche in versione interna (iBGP) quando devi trasportare centinaia di migliaia di prefissi fra i router di bordo della tua rete. In quel caso convivono i due protocolli, con una divisione dei compiti netta.

Il modello di coesistenza

Nelle reti di operatore lo schema consolidato è questo:

• OSPF (o IS-IS) trasporta solo le loopback e le subnet di transito dei router. Poche centinaia di rotte, convergenza velocissima.
• iBGP trasporta la full table e tutte le rotte dei clienti, usando le loopback come next hop.
• eBGP parla con transit, peer e clienti.

La regola operativa che ne deriva: mai ridistribuire la tabella BGP dentro OSPF. Sono decine di migliaia di prefissi che farebbero collassare il calcolo SPF. La ridistribuzione, se serve, va nella direzione opposta e con filtri stretti.

Criteri di scelta rapidi

Un errore ricorrente è tentare il multihoming senza BGP, usando due router e due linee con failover basato su rotte statiche e monitoraggio ICMP. Funziona per il traffico in uscita, ma il traffico in ingresso continua ad arrivare sull'IP del provider caduto, perché nessuno ha ritirato l'annuncio. Senza IP propri e senza AS, il multihoming è per definizione parziale.

Sicurezza e igiene di configurazione

Per OSPF: autenticazione sulle adiacenze, interfacce passive su tutto ciò che non deve formare adiacenze, sommarizzazione ai bordi delle aree.

Per BGP: filtri in ingresso e in uscita sempre, su ogni sessione, senza eccezioni. Un prefix-list che accetta solo ciò che il peer è autorizzato ad annunciare, un limite massimo di prefissi ricevuti, e validazione RPKI per scartare annunci con origine non autorizzata. La maggior parte degli incidenti di routing pubblici nasce da una sessione senza filtri, non da un attacco sofisticato.

In sintesi

Scegli OSPF se il problema è "come faccio arrivare i pacchetti da una mia sede all'altra". Scegli BGP se il problema è "con quale operatore voglio che passi questo traffico e a quali condizioni". Se hai entrambi i problemi, ti servono entrambi i protocolli, con ruoli separati e nessuna ridistribuzione incrociata.