BGP 协议因过度灵活且缺乏内置授权机制，使得全网成为依赖信任的体系，信任模型不随规模扩展。由此引发的 BGP 劫持与路由泄漏每日成千上万起，多数源于误配，亦被用于中间人攻击。现有 IRR 入站过滤因非强制且数据未授权，难以有效拦截异常路由。
信任模型不随规模扩展：
BGP 设计初衷仅为 ISP 间流量控制，其灵活性使之延伸为 MPLS/VPN 甚至大规模数据中心的内部网关协议。但协议本身不提供数据授权与验证，每个 BGP 网络——数据中心、ISP 或整个互联网——本质上都是信任网络。这种信任随规模增长失效，直接导致两类主要异常：一是劫持，即 ISP 宣告不属于自身的地址空间；二是路由泄漏，即将从一家提供商或对等体收到的前缀再宣告给另一家提供商或对等体。两类异常已成常态，日均数千起。
典型事件与检测滞后：
2018 年 4 月底至 5 月初两周内发生多起大规模事件。4 月 24 日，美国 ENET（AS10297）遭遇恶意 BGP 与 DNS 劫持，攻击成功。4 月 26 日，巴西 DPSTL（AS267286）发起超大劫持，宣告 16 个 /8 前缀及若干更小前缀，覆盖约 5% 整个 IPv4 地址空间。5 月 4 日，吉尔吉斯斯坦 ELCAT（AS8449）引发中俄间巨型路由泄漏。若事件波及整个区域，借助社交与大众媒体可被快速发现；但大多数异常未被及时检出，持续数天直至提供商修复故障。
IRR 过滤的局限与测量：
主流缓解手段是基于互联网路由注册库（IRR）构建入站过滤，利用路由对象与 AS-SET 在客户链路侧生成过滤器。根本问题在于 AS-SET 与路由对象未经授权，不同 IRR 间标准不一，甚至存在同名不同对象。过滤器部署仅为建议而非强制，灵活性反而助长混乱。全球传播的大规模路由事件暗示：部分 ISP 根本未配置过滤，或 AS-SET 严重畸形。研究者由此测量已被路由异常绕过的过滤器数量，原文未给出具体数据。
对运维与网络工程师的实际意义：
仅依赖非强制的 IRR 过滤无法遏制劫持与泄漏。工程团队应优先部署 RPKI 等强制验证机制，配合实时 BGP 监控平台缩短异常暴露窗口，并推动上游与对等体将入站过滤从建议转为硬性接入规范，从源头压缩异常传播路径。
原文: APNIC Blog（2018-07-10）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog