运营商常需防止流量经特定自治系统中转。本文以 AS65001 视角，结合拓扑示例，说明三种 BGP 机制可阻断经 AS65005 的路由传递，但均无法在全网范围绝对杜绝流量绕行。
不通告 Community 机制
上游提供商（如 NTT）常提供 Community 标记，客户在前缀 100::/64 附加 65500:65005 即可要求上游不向 AS65005 通告该路由。但若 AS65006 持有指向 AS65005 的默认路由，或 AS65005 通过 AS65004 学到覆盖聚合路由，流量仍可能经 AS65005 转发。原文指出，在全网可达前提下，几乎不可能完全阻断特定 AS 转发某目的地流量。
AS-PATH 注入环路
AS65001 可向 AS65002 通告 AS-PATH 为 {65005, 65001} 的路由，导致 AS65005 因见到本地 AS 号而拒收。该手法虽看似违背 BGP 原则，实则 AS-PATH 从未严格记录更新真实路径（更新在每跳本地构造），不违反协议规范。但此法会削弱路径安全验证，需权衡使用。
第三种机制与局限性
原文提及至少存在第三种机制，但节选未展开说明。上述两种方法均存在固有局限：Community 依赖上游执行且无法覆盖聚合或默认路由场景；AS-PATH 注入虽能阻断特定 AS 接收，却破坏路径完整性，影响 RPKI 等安全机制。工程师需根据合规要求与网络拓扑组合策略，而非单一依赖某机制。
对网络工程师而言，理解这些机制的生效边界至关重要。法律合规要求阻断特定国家 AS 时，需结合上游 Community 支持、AS-PATH 操作风险及聚合路由存在性综合评估，必要时配合流量工程手段，而非盲目信任单一 BGP 策略即可达成“绝对不经由”目标。
原文: APNIC Blog（2022-09-30）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog