研究者通过实验证实，BGP Community 机制在远程触发黑洞（RTBH）场景下可被滥用，合法上游 AS 能伪造黑洞社区值，导致流量被错误丢弃，形成新型拒绝服务攻击向量。
RTBH 工作机制与信令约定
RTBH 允许客户 AS 向上游发送带特定 Community 的路由，上游收到后在边界路由器对目标前缀实施空路由。双方需预先约定 Community 值（如示例中 AS2 的 666），且上游需验证客户仅能黑洞自有前缀。RFC 7999 建议在转发黑洞通告时附加 NO_ADVERTISE 与 NO_EXPORT，限制传播范围。实验拓扑中，AS1 为客户，AS3 提供 RTBH 服务，AS2 为第二上游但非最优路径，AS4 经 AS3 访问 AS1。
跨上游注入黑洞社区的实验验证
实验发现，AS2 作为 AS1 的合法上游，可将 AS1 源前缀 p 打上 AS3 的黑洞 Community 并通告给 AS3。AS3 收到后按策略执行空路由，导致 AS4 到 AS1 的流量在 AS3 边界被丢弃，尽管 AS2 并非该流量的转发路径。这意味着攻击者只需控制一条合法上游会话，即可远程触发非直连上游的黑洞动作，绕过“仅限自有前缀”的策略检查。原文未给出具体成功率或影响前缀数量数据。
防御建议与部署缺口
RFC 7999 的 NO_ADVERTISE/NO_EXPORT 仅限制黑洞路由的再传播，无法阻止上游伪造社区值注入。运营商需在入口处基于 IRR 或 RPKI 校验前缀归属，并对来自对等体/客户的黑洞社区实施严格过滤：仅接受下游自有前缀携带的自有社区，拒绝第三方社区值。实验还提示实验室环境与实网测量需配合，且主动测量需获运营商授权以规避副作用。
对网络工程师而言，该攻击揭示了 BGP Community 缺乏来源认证的根本缺陷。部署 RPKI ROA 并配合入口策略过滤非授权社区，是阻断此类跨上游黑洞注入的关键；同时需在对等协议中明确社区使用规范，避免合法 RTBH 服务被武器化。
原文: APNIC Blog（2019-03-22）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog