Met 'SURFinternet Protected BGP' sluiten instellingen aan middels één fysieke poort op het SURFnet-netwerk.
Voor de routering dient BGP te worden geconfigureerd op beide routers van SURFnet en de router van de instelling. De instelling en SURFnet zetten hiervoor twee BGP peerings op. Één peering tussen de instellingsrouter en SURFnet router A en Één peering tussen de instellingsrouter en SURFnet router B.
Het verkeer van de aangesloten instelling wordt in het SURFnet-netwerk in twee VLANs geplaatst. Een VLAN tussen de instellingsrouter en SURFnet router A en een VLAN tussen de instellingsrouter en SURFnet router B. De VLANs zullen zodanig worden geconfigureerd dat zij qua infrastructuur over geheel gescheiden routes lopen. Binnen elk van deze VLANs wordt een BGP sessie opgezet.
Optioneel kan gebruik gemaakt worden van BFD om de eventuele overschakeling naar het back-up pad aanzienlijk sneller te laten verlopen. De router van de aangesloten instelling dient echter wel BFD voor BGP te ondersteunen om hiervan gebruik te kunnen maken.
In dit schema alloceert SURFnet twee /64 IPv6 en twee /30 IPv4 nummerblokken ten behoeve van de BGP peerings.