AS-PATH 预置虽是常用流量工程手段，却会人为拉长路径长度，给攻击者留下缩短 AS-PATH 实施前缀拦截的机会。巴西南里奥格兰德联邦大学的纵向测量显示，该机制在全网广泛存在，且现有 RPKI 无法阻断此类攻击。
预置机制与全网规模
AS-PATH 预置通过在 AS-PATH 中重复本地 ASN 来膨胀路径长度，诱导其他 AS 选择替代路径。2019 年 4 月 1 日，阿姆斯特丹 RouteViews 采集器观测到 876K 条路由（占 29.4%）含预置，操作方涉及 12,782 个 AS，占路径中出现 AS 总数 63,693 的约五分之一。预置本意是标记备用路径，实测却频繁被选为最优路径并继续传播。
预置如何助推前缀拦截
攻击者或配置失误的 AS 可在转发时剥离预置段，生成更短的 AS-PATH 吸引流量。示例中 AS1 向 AS2、AS3 发布含预置路由，AS3 去除预置后路径变短，从而劫持目的地为 AS1 的流量，可用于窃听、DoS 或利用互联结算获利。Cloudflare 在 RIPE 77 披露曾遭遇利用预置的实战攻击，证实威胁非假设性。
现有防御体系的局限
BGPSec 能在路径验证层面阻断篡改，但因需改造设备、引入开销大，部署极低。RPKI 近年普及较快，却只校验源 AS 合法性，无法识别中间 AS 剥离预置后的路径，因篡改路由仍保留合法源 ASN。巴西南里奥格兰德联邦大学正开展全球纵向表征，试图量化不同 AS 的预置策略差异与风险关联。
运维侧应审视是否必须使用预置，若非必要可关闭；监控邻居 AS-PATH 突变、部署路由异常告警可缩短暴露窗口。长期仍需推动 BGPSec 或同等路径完整性方案落地，从协议层面堵住预置被滥用的根因。
原文: APNIC Blog（2019-06-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog