Routing-Grundlagen: Statisches Routing, OSPF und BGP im Ueberblick

Warum Routing mehr ist als “Paket kommt irgendwie an”

Jeder IT-Allrounder kennt den Moment: Ein Standort kann den anderen nicht erreichen, der Client hat eine IP, der Ping auf das lokale Gateway funktioniert, aber alles dahinter ist tot. In 80 Prozent der Faelle liegt der Fehler in der Routing-Tabelle – entweder fehlt ein Eintrag, ein Eintrag ist falsch, oder zwei Routing-Quellen widersprechen sich und die falsche gewinnt.

Routing ist die Entscheidung, ueber welches Interface und welchen naechsten Hop ein Router (oder Layer-3-Switch, oder eine Firewall mit Routing-Funktion) ein Paket weiterleitet, das nicht fuer ein direkt angeschlossenes Netz bestimmt ist. Diese Entscheidung basiert ausschliesslich auf der Ziel-IP-Adresse und der lokalen Routing-Tabelle. Es gibt drei grundsaetzliche Wege, wie eine Route in diese Tabelle kommt:

1. Connected – das Netz haengt direkt an einem Interface
2. Static – ein Mensch hat die Route von Hand eingetragen
3. Dynamisch – ein Routing-Protokoll wie OSPF oder BGP hat die Route gelernt

Dieser Artikel geht auf alle drei ein, mit Fokus auf die Praxis im Schweizer KMU: kleine bis mittlere Standortzahl, meist ein bis drei Internet-Uplinks, oft Cisco-, Mikrotik- oder Fortinet-Infrastruktur.

Die Routing-Tabelle lesen

Jedes Geraet mit IP-Stack – vom Windows-Client bis zum Core-Router – hat eine Routing-Tabelle. Auf einem Windows-Rechner zeigt sie sich so:

route print -4

Auf einem Cisco-Router oder -Switch mit IP-Routing:

show ip route

Eine typische Ausgabe auf einem Cisco-Router sieht so aus:

Codes: L - local, C - connected, S - static, O - OSPF, B - BGP
       O IA - OSPF inter area, E1/E2 - OSPF external type 1/2

Gateway of last resort is 203.0.113.1 to network 0.0.0.0

S*   0.0.0.0/0 [1/0] via 203.0.113.1
C    10.10.10.0/24 is directly connected, GigabitEthernet0/0
L    10.10.10.1/32 is directly connected, GigabitEthernet0/0
O    10.20.20.0/24 [110/20] via 10.10.10.2, 00:14:22, GigabitEthernet0/0
O IA 172.16.0.0/16 [110/30] via 10.10.10.2, 00:14:22, GigabitEthernet0/0
B    198.51.100.0/24 [20/0] via 203.0.113.5, 3d02h

Jede Zeile liest sich so:

• Code (S, C, O, B) – woher stammt die Route
• Ziel-Netz – 10.20.20.0/24 – wohin geht das Paket
• [110/20] – Administrative Distance / Metrik in eckigen Klammern
• via 10.10.10.2 – der naechste Hop (Next Hop)
• Ausgangs-Interface – ueber welches Interface das Paket rausgeht
• Zeitstempel – wie lange die Route schon in der Tabelle steht (bei dynamischen Routen)

Der wichtigste Mechanismus dahinter ist Longest Prefix Match: Wenn mehrere Routen zum Ziel passen (z.B. 0.0.0.0/0 und 10.20.20.0/24 fuer ein Paket an 10.20.20.5), gewinnt immer die spezifischste Route – also die mit der laengsten Subnetzmaske. Erst wenn keine spezifischere Route existiert, greift die Default-Route.

Statische Routen konfigurieren

Eine statische Route ist ein von Hand eingetragener Pfad zu einem Zielnetz. Sinnvoll bei kleinen, stabilen Topologien, VPN-Tunneln zu einer Handvoll Standorten oder als Backup-Route.

Cisco IOS:

! Ziel-Netz, Maske, Next-Hop
ip route 172.16.0.0 255.255.0.0 10.10.10.2

! Alternative: Route auf ein Ausgangs-Interface statt Next-Hop
ip route 172.16.0.0 255.255.0.0 GigabitEthernet0/1

! Floating Static Route als Backup mit hoeherer Administrative Distance
ip route 172.16.0.0 255.255.0.0 10.10.10.99 200

Linux:

ip route add 172.16.0.0/16 via 10.10.10.2 dev eth0
# Persistent machen z.B. via netplan, NetworkManager oder /etc/network/interfaces

Windows Server:

New-NetRoute -DestinationPrefix "172.16.0.0/16" -NextHop "10.10.10.2" -InterfaceAlias "Ethernet" -RouteMetric 5

Mikrotik RouterOS:

/ip route add dst-address=172.16.0.0/16 gateway=10.10.10.2 distance=1 comment="Route zu Zweigstelle Bern"

IP SLA mit Tracking auf Cisco sieht so aus:

ip sla 1
 icmp-echo 8.8.8.8 source-interface GigabitEthernet0/0
 frequency 5
ip sla schedule 1 life forever start-time now

track 1 ip sla 1 reachability

ip route 0.0.0.0 0.0.0.0 203.0.113.1 track 1
ip route 0.0.0.0 0.0.0.0 203.0.113.9 250

Damit fliegt die primaere Default-Route automatisch raus, sobald 8.8.8.8 nicht mehr per ICMP erreichbar ist, und die Backup-Route mit AD 250 uebernimmt.

Die Default-Route (Gateway of Last Resort)

Die Default-Route 0.0.0.0/0 (IPv4) beziehungsweise ::/0 (IPv6) ist die Route fuer “alles, wofuer ich sonst keine spezifischere Route habe”. In der Cisco-Ausgabe heisst sie Gateway of Last Resort. In jedem KMU-Netz zeigt sie typischerweise vom Kern-Router oder der Firewall Richtung Internet-Provider.

ip route 0.0.0.0 0.0.0.0 203.0.113.1

Wichtig: Die Default-Route muss nur dort sitzen, wo tatsaechlich der Internet-Ausgang ist. Interne Router, die nur zwischen VLANs oder Standorten routen, brauchen meist gar keine eigene Default-Route – sie lernen ueber OSPF, wo die Default-Route im Netz existiert (default-information originate), oder sie schicken unbekannten Traffic einfach an ihren Upstream-Router weiter, der wiederum eine Default-Route hat.

Administrative Distance und Metriken – der Unterschied, der oft verwechselt wird

Das ist die haeufigste Verwirrung bei Routing-Einsteigern: Administrative Distance (AD) und Metrik sind zwei komplett unterschiedliche Werte mit unterschiedlichem Zweck.

• Administrative Distance: Entscheidet, welcher Quelle (Protokoll) der Router vertraut, wenn mehrere Protokolle eine Route zum selben Ziel liefern. Niedrigerer Wert gewinnt.
• Metrik: Entscheidet, welcher Pfad innerhalb desselben Protokolls der beste ist (z.B. welcher von zwei OSPF-Pfaden). Niedrigerer Wert gewinnt ebenfalls, aber die Berechnung ist protokollspezifisch.

Cisco-Standardwerte fuer Administrative Distance:

Praktische Konsequenz: Traegst du versehentlich eine statische Route zu einem Netz ein, das eigentlich per OSPF gelernt werden sollte, gewinnt immer die statische Route (AD 1 gegen AD 110) – auch wenn sie veraltet oder falsch ist. Das ist eine der haeufigsten Ursachen fuer “das Routing macht komische Sachen, obwohl die OSPF-Konfiguration korrekt aussieht”.

Metriken dagegen: OSPF berechnet die Kosten (Cost) aus der Bandbreite jedes Interfaces entlang des Pfads (Referenzbandbreite 100 Mbit/s geteilt durch die Interface-Bandbreite, Summe ueber alle Hops). BGP nutzt gar keine klassische Metrik, sondern eine Kette von Attributen zur Pfadauswahl (dazu gleich mehr).

OSPF – Link-State-Routing im Detail

OSPF (Open Shortest Path First) ist das im KMU- und Enterprise-Umfeld am weitesten verbreitete interne Routing-Protokoll (IGP – Interior Gateway Protocol). Es ist ein offener Standard (RFC 2328 fuer OSPFv2/IPv4), herstellerunabhaengig und laeuft auf Cisco, Juniper, Mikrotik, FRRouting und den meisten Firewalls mit Routing-Funktion (Fortinet, pfSense/OPNsense via FRR).

Link-State-Prinzip

Anders als bei Distance-Vector-Protokollen (wie RIP) kennt bei OSPF jeder Router die komplette Topologie seines Bereichs. Jeder Router verteilt Informationen ueber seine eigenen Links (“Ich bin Router X, ich habe ein Interface mit Kosten 10 zu Netz Y”) per LSA (Link State Advertisement) an alle anderen Router im selben Bereich. Aus der Summe aller LSAs baut jeder Router lokal eine Link-State-Datenbank (LSDB) auf und berechnet mit dem Dijkstra-Algorithmus (SPF – Shortest Path First) selbststaendig den kuerzesten Pfad zu jedem Ziel.

Konsequenz: Alle Router in einem OSPF-Bereich haben zwingend eine identische LSDB – nur die daraus berechneten Pfade koennen sich unterscheiden, je nachdem von wo aus gerechnet wird.

Areas – warum OSPF in Bereiche unterteilt wird

Bei grossen Netzen waechst die LSDB und die SPF-Berechnung wird teuer. Deshalb unterteilt OSPF das Netz in Areas. Jede Area hat eine 32-Bit-Nummer, meist als Dezimalzahl (0, 1, 2) oder in IP-Notation (0.0.0.0) geschrieben.

• Area 0 (Backbone): Muss immer existieren, sobald es mehr als eine Area gibt. Alle anderen Areas muessen direkt an Area 0 angebunden sein.
• Standard-Area: Kennt alle Routen im Detail (Intra-Area) plus zusammengefasste Routen aus anderen Areas (Inter-Area).
• Stub Area: Blockt externe Routen (z.B. aus BGP-Redistribution) und ersetzt sie durch eine Default-Route – reduziert die LSDB-Groesse an Randstandorten.
• Totally Stubby Area (Cisco-spezifisch): Blockt zusaetzlich auch Inter-Area-Routen, nur die Default-Route bleibt.
• NSSA (Not-So-Stubby-Area): Wie Stub Area, erlaubt aber begrenzte Einspeisung externer Routen ueber Typ-7-LSAs, die am Area Border Router in Typ-5 umgewandelt werden.

Fuer ein typisches KMU mit zwei bis vier Standorten reicht in der Praxis Single-Area OSPF (nur Area 0) vollkommen aus. Mehrere Areas lohnen sich erst ab einer zweistelligen Anzahl Router oder wenn Standorte bewusst voneinander isoliert werden sollen.

Die wichtigsten LSA-Typen

DR/BDR-Wahl auf Broadcast-Segmenten

Auf einem Ethernet-Segment mit mehreren OSPF-Routern wuerde ein voller Mesh aus Adjazenzen unnoetig viel Overhead erzeugen. Deshalb waehlt OSPF einen Designated Router (DR) und einen Backup Designated Router (BDR) pro Segment. Alle anderen Router bilden nur mit DR und BDR eine volle Adjazenz, nicht untereinander. Die Wahl basiert auf der OSPF Priority (Interface-Wert, hoeher gewinnt, 0 schliesst einen Router von der Wahl aus) und bei Gleichstand auf der hoechsten Router-ID.

OSPF-Konfigurationsbeispiel (Cisco IOS)

router ospf 1
 router-id 10.10.10.1
 network 10.10.10.0 0.0.0.255 area 0
 network 10.20.20.0 0.0.0.255 area 0
 passive-interface default
 no passive-interface GigabitEthernet0/1
 default-information originate

! Authentifizierung pro Interface (MD5, empfohlen)
interface GigabitEthernet0/1
 ip ospf message-digest-key 1 md5 GeheimesOspfPasswort2026
 ip ospf authentication message-digest

! Kosten manuell setzen statt Bandbreite zu vertrauen
interface GigabitEthernet0/2
 ip ospf cost 20

Nuetzliche Show-Befehle zum Troubleshooting:

show ip ospf neighbor
show ip ospf database
show ip ospf interface GigabitEthernet0/1
show ip protocols

BGP – das Routing-Protokoll des Internets

BGP (Border Gateway Protocol), aktuell BGP-4 nach RFC 4271, ist das einzige Protokoll, das das globale Internet zusammenhaelt. Es ist ein Path-Vector-Protokoll: Statt Kosten oder Bandbreite zu berechnen, tauscht BGP komplette AS-Pfade (Autonomous System Paths) aus und trifft Entscheidungen ueber eine Kette von Attributen statt einer einzelnen Metrik.

Ein Autonomous System (AS) ist ein Netzwerk (oder Verbund von Netzwerken) unter einer administrativen Kontrolle mit einer eindeutigen AS-Nummer (ASN) – vergeben von einer Regional Internet Registry wie RIPE NCC fuer Europa. Schweizer Provider wie Init7, Swisscom oder Green haben jeweils eigene ASNs.

eBGP vs. iBGP

Ein typisches KMU betreibt in der Regel kein eigenes BGP – das lohnt sich erst mit eigenem Adressraum (Provider Independent, PI) und der Anforderung, redundant an zwei Providern gleichzeitig zu haengen (Multihoming). Trotzdem ist BGP-Verstaendnis wichtig, weil:

• Der eigene Internet-Uplink beim Provider technisch per BGP terminiert wird
• Cloud-Anbindungen (Azure ExpressRoute, AWS Direct Connect) haeufig BGP fuer den Routenaustausch nutzen
• SD-WAN- und MPLS-Anbindungen von Carriern im Hintergrund BGP sprechen

Wie BGP den besten Pfad auswaehlt

BGP hat keine einzelne Metrik, sondern eine feste Reihenfolge von Attributen, die nacheinander geprueft werden, bis eine Entscheidung feststeht (vereinfachte Cisco-Reihenfolge):

1. Weight (Cisco-proprietaer, nur lokal) – hoechster Wert gewinnt
2. Local Preference – hoechster Wert gewinnt, wird innerhalb des AS verteilt
3. Lokal generierte Route vor gelernter Route
4. Kuerzester AS-Path – weniger durchlaufene AS gewinnt
5. Niedrigster Origin-Code (IGP < EGP < Incomplete)
6. Niedrigster MED (Multi-Exit Discriminator) – Hinweis des Nachbar-AS, welcher Einstiegspunkt bevorzugt wird
7. eBGP vor iBGP
8. Niedrigste IGP-Metrik zum Next-Hop
9. Aeltester Pfad (Stabilitaet)
10. Niedrigste Router-ID als letztes Tie-Break-Kriterium

router bgp 65001
 bgp router-id 203.0.113.10
 neighbor 203.0.113.1 remote-as 65000
 neighbor 203.0.113.1 description Uplink-Provider-A
 network 198.51.100.0 mask 255.255.255.0

Entscheidungshilfe: Statisch, OSPF oder BGP?

Wie viele Router/Standorte muessen Routen austauschen?
│
├─ 1-2 Router, Topologie aendert sich selten
│  └─ Statisches Routing (ggf. mit Floating Static + IP SLA)
│
├─ 3+ Router/Standorte, interne Topologie, ein Verwaltungsbereich
│  └─ OSPF (Single-Area reicht meist, Multi-Area ab ~15-20 Routern)
│
└─ Routenaustausch mit externen Netzen/Providern,
   redundantes Multihoming mit eigenem Adressraum,
   Cloud-Interconnect (ExpressRoute/Direct Connect)
   └─ BGP

Sicherheit und haeufige Fallstricke

• Routing-Protokoll-Authentifizierung aktivieren: OSPF unterstuetzt MD5- und (moderner) SHA-Authentifizierung pro Interface. Ohne Authentifizierung kann ein Geraet im selben Segment eine Adjazenz aufbauen und Routen einschleusen.
• Redistribution mit Vorsicht: Wer Routen zwischen OSPF und BGP oder zwischen zwei OSPF-Prozessen redistribuiert, riskiert Routing-Loops, wenn keine Filter (Route-Maps, Distribute-Lists) gesetzt werden.
• Asymmetrisches Routing bei stateful Firewalls: Wie oben erwaehnt, ein Klassiker bei Dual-Homed-Standorten ohne sauberes Policy-Based-Routing.
• MTU-Mismatch bei OSPF: Wenn zwei Nachbarn unterschiedliche Interface-MTU haben, bleibt die Adjazenz im Zustand EXSTART/EXCHANGE haengen – ein klassisches, schwer zu findendes Problem.
• Zu kleine Hello/Dead-Timer-Werte erzeugen unnoetigen Overhead; zu grosse verlangsamen die Ausfallerkennung. Cisco-Standard bei OSPF: Hello 10s, Dead 40s auf Broadcast-Netzen.

Best Practices fuer das Schweizer KMU

• Dokumentiere jede statische Route mit Grund und Datum (Kommentarfeld nutzen, wo vorhanden) – nichts ist schlimmer als eine 3 Jahre alte Route ohne Kontext.
• Setze auf Single-Area OSPF, solange die Anzahl Router ueberschaubar bleibt – Multi-Area bringt erst ab echter Groesse einen Nutzen und erhoeht die Komplexitaet erheblich.
• Plane Adressraum von Anfang an so, dass er sich sauber summarisieren laesst (z.B. alle Standort-VLANs eines Standorts aus einem /20 schneiden) – das macht spaetere Route-Summarization trivial.
• BGP selbst betreiben lohnt sich fast nie fuer ein klassisches KMU – Multihoming laesst sich oft einfacher über SD-WAN-Loesungen mit Provider-NAT loesen. Wer trotzdem eigenen Adressraum und BGP braucht (z.B. fuer eigene Cloud-Interconnects), sollte das mit dem Provider gemeinsam planen und Filter von Tag eins an sauber setzen.
• Teste Ausfallszenarien aktiv (Kabel ziehen, Interface shutdown) im Wartungsfenster, statt erst beim echten Ausfall zu merken, dass die Backup-Route nie funktioniert hat.

Weiterlernen

• Cisco: Administrative Distance uebersicht – offizielle AD-Werte aller Protokolle
• Cisco: OSPF Areas und Virtual Links verstehen – vertiefende Area-Konzepte
• RFC 2328 – OSPF Version 2 – der offizielle OSPF-Standard
• RFC 4271 – BGP-4 – der offizielle BGP-Standard
• Cisco: BGP Best Path Selection Algorithm – detaillierte Pfadauswahl-Reihenfolge
• Juniper: Einfuehrung in OSPF – herstellerunabhaengige Konzepterklaerung

Verwandte Seiten in diesem Wiki:

• TCP/IP Grundlagen – Voraussetzung fuer IP-Adressierung und Subnetting
• VLAN – Grundlagen & Trunking – Layer-3-Switching und Inter-VLAN-Routing als Basis
• Firewall-Grundlagen – Routing und Paketfilterung greifen im Netzwerk-Stack ineinander
• SD-WAN Grundlagen – moderne Alternative zu klassischem Multihoming
• Troubleshooting-Methodik – systematisches Vorgehen bei Netzwerkstoerungen
• Wireshark Grundlagen – Routing-Probleme auf Paketebene analysieren

Videos

YouTube

YouTube