Met 'SURFinternet Protected BGP' sluiten instellingen aan middels één fysieke poort op het SURF-netwerk.
Deze configuratie is verder volledig gelijk aan de redundante BGP aansluiting met de van de extra BGP sessies met de redundante routers en van de iBGP sessie tussen de CE routers. Voordeel is dat een upgrade naar een redundante configuratie relatief wat eenvoudiger is.
Bij protected BGP is alles behalve de SURF PE router zelf, volledig redundant. De SURF PE router is niet dubbel uitgevoerd, maar heeft altijd minimaal twee redundante uplinks naar de rest van het SURFnetwerk. Binnen het SURFnetwerk wordt alles dynamisch gerouteerd en is volledig redundant.
In dit schema alloceert SURF twee /127 IPv6 en twee /31 IPv4 nummerblokken ten behoeve van de BGP peerings.