Met 'SURFinternet Protected BGP' sluiten instellingen aan middels één fysieke poort op het SURFnetSURF-netwerk.
Voor de routering dient BGP te worden geconfigureerd op beide routers van SURFnet SURF en de router van de instelling. De instelling en SURFnet SURF zetten hiervoor twee BGP peerings op. Één peering tussen de instellingsrouter en SURFnet SURF router A en Één peering tussen de instellingsrouter en SURFnet SURF router B.
Het verkeer van de aangesloten instelling wordt in het SURFnetSURF-netwerk in twee VLANs geplaatst. Een VLAN tussen de instellingsrouter en SURFnet SURF router A en een VLAN tussen de instellingsrouter en SURFnet SURF router B. De VLANs zullen zodanig worden geconfigureerd dat zij qua infrastructuur over geheel gescheiden routes lopen. Binnen elk van deze VLANs wordt een BGP sessie opgezet.
Optioneel kan gebruik gemaakt worden van BFD om de eventuele overschakeling naar het back-up pad aanzienlijk sneller te laten verlopen. De router van de aangesloten instelling dient echter wel BFD voor BGP te ondersteunen om hiervan gebruik te kunnen maken.
In dit schema alloceert SURFnet SURF twee /64 IPv6 en twee /30 IPv4 nummerblokken ten behoeve van de BGP peerings.