Van wie is het internet? Eén verzoek, hop voor hop gevolgd

Hoe het internet werkt: netwerken verbonden door contracten

Het internet is een verzameling afzonderlijk beheerde netwerken die hebben afgesproken verkeer voor elkaar te vervoeren. Elk daarvan is een autonoom systeem (AS): een netwerk met een eigen nummer en een eigen routingbeleid, dat zijn buren via het Border Gateway Protocol (BGP) laat weten bij welke adressen het kan afleveren. Geoff Hustons jaarlijkse analyse van de routingtabel telde er eind 2025 in IPv4 ongeveer 77.900.

Een AS kan een nationale telefoonmaatschappij zijn, een universiteit, een bank, Google of wij. Geen enkel AS heeft gezag over een ander.

Wat het systeem bij elkaar houdt, zijn contracten tussen telkens twee netwerken. Een klant betaalt een provider om alle anderen te bereiken: dat is transit. Twee netwerken wisselen het verkeer van hun eigen klanten uit zonder elkaar iets te rekenen: dat is peering. En bedrijven verhuren elkaar de fysieke onderdelen die een netwerk nodig heeft, van rackruimte in een gebouw tot een glasvezeldraad onder een straat. Een korte lijst registers deelt de nummers en namen uit, en de eigenaren van al het andere zijn degenen die hop voor hop in één verbinding opduiken.

Eén verzoek van Ottawa naar Amsterdam, hop voor hop

Op 19 oktober 2026 draaiden we een traceroute van ons hoofdkantoor in Ottawa naar de server waarop onze looking glass draait bij Digital Realty AMS3 in Amsterdam, lg.drt-ams3.serverside.com. Elke regel is een router die onderweg antwoordde. De naam en het AS-nummer zeggen wie de eigenaar is, en de tijd is de roundtrip in milliseconden van het kantoor naar die router en terug.

Hop  Host                                   Address          ASN        ms
  1  -                                      192.0.2.1        -          <1
  2  -                                      192.0.2.1        -          <1
  3  -                                      192.0.2.1        AS577       2
  4  *                                      *                            *
  5  *                                      *                            *
  6  -                                      192.0.2.1        -          13
  7  *                                      *                            *
  8  -                                      142.124.127.122  AS577      15
  9  *                                      *                            *
 10  -                                      64.230.79.89     AS577      12
 11  ae4-43-xcr2.nyk.cw.net                 195.2.17.49      AS1273     12
 12  ae3-xcr1.slo.cw.net                    195.2.28.170     AS1273     88
 13  be42-scr1.amq.cw.net                   195.2.3.117      AS1273     88
 14  be2-scr1.adr.cw.net                    195.2.23.214     AS1273     87
 15  -                                      217.161.90.225   AS1273    100
 16  1.edge.core.drt-ams3.serverside.com    198.73.56.1      AS55285    85
 17  1.spine.core.drt-ams3.serverside.com   198.73.56.47     AS55285    85
 18  access.r01b03.drt-ams3.serverside.com  198.73.56.241    AS55285    84
 19  hosted-by.serverside.com               198.73.56.243    AS55285    85

Onze kantoorrouter, het modem van Bell, de eerste router van Bell op de lijn en één privéadres binnen het netwerk van Bell zijn vervangen door een documentatieadres. Alle andere regels staan er zoals we ze vastlegden. Hop 15 antwoordt trager dan de hops erna, omdat routers met lage prioriteit op traceroute-probes reageren; het verkeer dat ze doorsturen wordt niet opgehouden.

Elke wisseling van AS-nummer in die meting is een contract tussen twee bedrijven. Een traceroute kan transit niet van peering onderscheiden, omdat de voorwaarden privé zijn, maar hij laat wel zien dat geen enkele hop toebehoort aan een organisatie die over de andere gaat.

BGP-data van dezelfde dag noemt een netwerk dat de trace miste. In de routecollectors van RIPE luidde de route van Bell naar ons 577 1273 24785 55285: Vodafone gaf het verkeer door aan Joint Transit (AS24785), een van onze upstreams, en geen enkele router in de trace antwoordde vanaf een adres van Joint Transit.

Het antwoord hoeft niet langs dezelfde weg terug te komen. Elk netwerk kiest de uitgang voor zijn uitgaande verkeer op basis van zijn eigen contracten, dus de route van Amsterdam terug naar Ottawa kiezen wij en de netwerken na ons, niet de ISP die de route heen koos. Onze looking glass draait traceroutes vanuit AMS3 en onze andere steden, zodat je het terugpad naar je eigen netwerk kunt volgen.

Het toegangsnetwerk waarvoor je betaalt

Met een maandelijkse internetrekening koop je één ding: een aansluiting op het netwerk van de ISP. In onze meting is dat Bell Canada (AS577), dat de apparatuur in hops 2 tot 10 bezit en meestal ook de kabel of glasvezel in de straat. Voorbij zijn eigen rand betaalt de ISP een ander netwerk om het verkeer te vervoeren, of wisselt hij verkeer met dat netwerk uit. De Bell-lijn van ons kantoor heeft geen contract met wie dan ook verderop in het pad, ons eigen netwerk inbegrepen: het verzoek bereikte AS55285 alleen omdat Vodafone en Joint Transit hadden afgesproken het te vervoeren.

Transit en de Tier 1-netwerken

Transit is de dienst waarmee je het hele internet bereikt via het netwerk van een ander. De klant kondigt zijn adressen via BGP aan bij de provider, en de provider kondigt op zijn beurt routes aan naar elk ander netwerk dat hij kan bereiken, en dat zijn ze allemaal. We betalen onze Tier 1-providers op basis van het 95e percentiel: het verkeer van de maand wordt gemeten in korte samples, meestal van vijf minuten elk, de drukste 5% van de samples valt weg, en de hoogste die overblijft bepaalt de rekening. We verkopen zelf transit via onze netwerkdiensten, en we kopen het.

AS55285 koopt transit rechtstreeks bij Tier 1-netwerken zoals Arelion (AS1299) en Cogent (AS174), en via de transitdienst van NL-ix, die draait op twee netwerken die op naam staan van het Nederlandse bedrijf Broadband Hosting: Joint Transit (AS24785) voor volledige transit en Open Peering (AS20562) voor peeringroutes. Joint Transit is op zijn beurt zelf transitklant. De pagina over BGP-communities van NL-ix noemt als upstreams Orange (AS5511), Liberty Global (AS6830), Vodafone (AS1273), Arelion en Telxius (AS12956), dus ons verkeer bereikt die netwerken via een provider die hen betaalt, zonder dat wij er zelf een contract mee hebben. Wie bij meer dan één provider koopt, houdt een ander pad open als er bij een van hen een storing of een geschil is.

Bovenaan de keten staan netwerken die bij niemand transit kopen. Een Tier 1-netwerk bereikt elk ander netwerk via zijn eigen klanten en via settlement-free peering met de andere Tier 1's. Lumen (AS3356), NTT (AS2914), Arelion en Cogent zijn vier van de netwerken die meestal worden genoemd. Geen toezichthouder certificeert die titel: het is een bewering over contracten die de netwerken voor zich houden, en daarom verschillen gepubliceerde lijsten van Tier 1's aan de randen.

Als twee grote netwerken het niet eens worden, is het resultaat openbaar. Hurricane Electric (AS6939) en Cogent hebben geen IPv6-routes rechtstreeks uitgewisseld, en beheerders bespreken dat gat sinds minstens oktober 2009 op de mailinglijst van NANOG. In 2012 beschreef Andrew Ayer verbindingen met dual-homed hosts op het netwerk van Cogent waarvan de opbouw zo lang duurde dat hij de betreffende IPv6-routes op zijn eigen machine blokkeerde. Op 19 oktober 2026 bestond het gat nog: de looking glass van Hurricane Electric had vanaf zijn routers in Fremont, New York en Amsterdam geen route naar het IPv6-blok van Cogent, 2001:550::/32. Wie op maar één van de twee is aangesloten, mist een deel van het IPv6-internet. Niemand kan ze dwingen om te koppelen, en dat is in de praktijk wat het betekent dat niemand het internet bezit.

Peering en internet exchanges

Peering is het andere contract. Twee netwerken wisselen verkeer tussen hun eigen klanten uit en rekenen elkaar daar niets voor, omdat elk van beide zo de transit uitspaart die het anders zou betalen. Een peer levert alleen af bij zijn eigen gebruikers; hij verkoopt zijn transit niet door aan het netwerk waarmee hij peert.

Twee netwerken kunnen peeren over een privékabel tussen hun routers, maar veel peering gebeurt op een internet exchange point (IXP), een switchplatform in een datacenter. Elk lid sluit een poort aan en kan via die ene poort met elk ander lid peeren. De meeste exchanges draaien ook route servers, zodat een lid via één BGP-sessie kan peeren met iedereen die ze gebruikt, in plaats van via honderden sessies. Een eventuele vergoeding geldt voor de poort, niet voor het verkeer dat erover gaat.

We zijn aangesloten op zes exchanges, allemaal in Amsterdam: NL-ix, Frys-IX, 1-NL, LSIX, Speed-IX en INTERIX. Ons beleid op PeeringDB is open, wat betekent dat we peeren met elk netwerk dat erom vraagt, en bgp.tools noemde 944 netwerken die op 19 oktober 2026 met AS55285 verbonden waren: 932 peers, plus onze upstreams en klanten.

Gebouwen, cross-connects en dark fiber

We bezitten onze servers, switches en routers. De gebouwen waarin ze staan, bezitten we niet. AMS3 is van Digital Realty, FR5 in Frankfurt van Equinix en DFW1 in Dallas van DataBank; onze servers in Londen staan in Telehouse West, en onze servers in Chicago staan in het gebouw van Netrality aan 717 South Wells. We huren racks van die exploitanten en betalen ze voor de stroom die de racks verbruiken.

Binnen een gebouw komen twee netwerken samen via een cross-connect: een glasvezel die de exploitant van het gebouw van het rack van de ene klant naar dat van de andere trekt, meestal via een gedeelde meet-me room, en waarvoor hij elke maand dat de verbinding blijft liggen een rekening stuurt. Elke exchangepoort en elke private peeringsessie begint met een cross-connect.

Ook tussen gebouwen is de glasvezel in de grond van iemand. In Chicago bereiken onze servers aan 717 South Wells het gebouw 350 East Cermak van Digital Realty, het belangrijkste carrier hotel van de stad, via dark fiber van Zayo: vezels die we onbelicht huren en met onze eigen optiek belichten. Het grootste deel van onze connectiviteit in Chicago nemen we af in de meet-me room van dat gebouw.

Onderzeese kabels

Het pad van Ottawa naar Amsterdam steekt de Atlantische Oceaan over, dus één stuk ervan loopt door een onderzeese kabel. TeleGeography houdt in 2026 meer dan 600 actieve en geplande onderzeese kabels bij, met begin 2026 meer dan 1,5 miljoen kilometer in gebruik. Carriers bouwden de meeste ervan in consortia en verdeelden de kosten en de capaciteit, en contentaanbieders als Google, Meta, Microsoft en Amazon zijn nu grote investeerders in nieuwe kabels. Volgens TeleGeography hebben beheerders van private netwerken de laatste tijd ook meer capaciteit in gebruik genomen dan beheerders van internetbackbones.

Een traceroute noemt de kabel niet. Hij laat een sprong in de roundtrip-tijd zien tussen een router aan de ene kant van de oceaan en een router aan de andere: in onze meting van 12 ms bij ae4-43-xcr2.nyk.cw.net van Vodafone naar 88 ms bij ae3-xcr1.slo.cw.net, de volgende router op het pad. Vodafone (AS1273) bracht het pakket naar de overkant, over glasvezel die het op de kabel bezit of capaciteit die het huurt. Wij betalen Vodafone niet. Wij betalen Joint Transit, en Joint Transit koopt transit bij Vodafone.

Nummers en namen: gecoördineerd, niet in eigendom

Twee dingen die elk netwerk nodig heeft, komen van registers en niet van een leverancier: zijn IP-adressen en AS-nummer, en de domeinnamen die zijn gebruikers intypen.

Adressen beginnen bij de Internet Assigned Numbers Authority (IANA), die ICANN beheert via een gelieerde organisatie, Public Technical Identifiers. IANA geeft grote blokken uit aan vijf regionale internetregisters: AFRINIC, APNIC, ARIN, LACNIC en het RIPE NCC. IANA werkte onder een contract met het Amerikaanse ministerie van Handel (Department of Commerce) tot 1 oktober 2016, toen het contract afliep en het toezicht overging naar de community van ICANN.

AS55285 is geregistreerd bij ARIN, het register voor Canada, de Verenigde Staten en delen van het Caribisch gebied. Registratie is een lidmaatschap met een jaarlijkse bijdrage die afhangt van hoeveel adresruimte, of hoeveel AS-nummers, een organisatie heeft: het tarievenoverzicht voor 2026 van ARIN loopt van 275 dollar per jaar voor een IPv4 /24 of kleiner tot 282.240 dollar voor de grootste houders. In Europa rekent het RIPE NCC in 2026 € 1.800 per LIR-account, plus € 50 per AS-nummer (RIPE-848). Het registerrecord is wat andere netwerken controleren voordat ze onze routeaankondigingen accepteren.

Domeinnamen hebben dezelfde structuur. De DNS-rootzone, de lijst van alle topleveldomeinen, wordt door IANA gepubliceerd en uitgeleverd door 13 rootserveridentiteiten, met de letters A tot en met M en beheerd door 12 onafhankelijke organisaties (root-servers.org). Elke identiteit antwoordt vanaf veel locaties die één adres delen. Verisign beheert er twee, A en J, en exploiteert het .com-register onder zijn contract met ICANN, dus een registrar die een .com verkoopt, verkoopt een record in de database van Verisign.

Wie het internet kan uitschakelen

Niemand kan het hele internet uitschakelen, omdat geen enkel netwerk het verkeer van alle anderen vervoert.

Een overheid kan de toegangsnetwerken binnen haar grenzen uitschakelen door de ISP's daar opdracht te geven te stoppen, en veel overheden doen dat: Access Now en de #KeepItOn-coalitie documenteerden in 2025 minstens 313 internetafsluitingen in 52 landen. Het verkeer tussen andere landen stroomt om hen heen door.

Een netwerk kan zichzelf ook verwijderen. Volgens het eigen verslag van Meta haalde op 4 oktober 2021 een commando dat bedoeld was om de capaciteit van de backbone van Facebook te beoordelen onbedoeld alle verbindingen in dat backbonenetwerk neer. De DNS-servers van Facebook waren zo gebouwd dat ze hun BGP-aankondigingen introkken als ze het contact met de datacenters van Facebook verloren, dus dat deden ze, en elk ander netwerk verloor de routes naar de nameservers van Facebook. Die andere netwerken bleven draaien.

Wat een onafhankelijk netwerk betaalt

Vanaf onze kant gezien komen die contracten neer op een lijst leveranciers en rekeningen. Geen ervan gaat naar iemand die de baas is over het internet.

De registers komen het dichtst bij een centrum, en zij worden gefinancierd met bijdragen van leden zoals wij. Elk ander netwerk op het internet werkt volgens dezelfde regeling: het bezit zijn apparatuur, huurt wat het niet kan bouwen en sluit zijn eigen contracten met zijn buren.

AS55285 zelf opzoeken

PeeringDB toont onze exchanges, datacenters en ons peeringbeleid, bgp.tools toont onze upstreams en peers, en de looking glass draait traceroutes en BGP-routelookups vanaf onze eigen routers in elke stad, zodat je vanuit ons netwerk een pad naar het jouwe kunt traceren. De netwerkpagina toont elke stad en elk datacenter. Beheer je een netwerk en wil je peeren, dan is ons beleid open; wil je transit van ons, dan staan de details bij netwerkdiensten.