max-prefix 设置多少才安全？一个被低估的防护参数解析
在BGP网络设计和运维中，max-prefix参数常被用来限制邻居所能发送的最大路由数量，以防止路由表被异常增长“打爆”，导致CPU飙升、内存耗尽甚至网络中断。但实际运维中，这个参数往往被低估或配置不当，导致防护效果有限，甚至误触发断链。本文将从会话被打爆的典型场景出发，结合对端估算、告警阈值设置以及与软重置的配合，给出具体可执行的max-prefix配置建议。
一、会话被打爆的典型场景及风险
BGP邻居在以下几种情况下容易导致路由数量异常激增，触发max-prefix保护：
- 对端网络策略变更，突然广告大量子网或汇总失效。
- 路由反射器或上游ISP出现配置错误，导致路由泄漏。
- 链路故障导致路由震荡，路由条目频繁增加。
- 遭受DDoS或路由反射攻击，恶意注入大量无效前缀。
这些情况下，如果没有合理的max-prefix限制，BGP会话会持续接收超量路由，设备CPU和内存压力陡增，甚至触发路由进程崩溃，导致整个网络服务中断。
二、如何根据对端估算合理的max-prefix值
max-prefix值绝非越大越安全，也不是简单设成“最大路由数+10%”就万无一失。合理的做法是基于对端的正常路由规模和业务特征来估算：
- 统计历史路由数：通过监控系统或BGP路由表快照，统计对端在正常稳定状态下的平均路由数量。例如对端正常路由数为12000条。
- 考虑业务增长和路由波动：根据历史数据，观察路由数量的峰值和波动范围，预留一定余量。比如观察到峰值为13000条，则考虑预留15%的余量，即约15000条。
- 结合对端业务特点：如果对端是ISP骨干，路由数较多且波动大，max-prefix可以设置得更高；如果是企业或数据中心，路由数稳定，余量可小。
举例：对端正常路由数12000条，峰值13000条，建议max-prefix设为15000条，告警阈值设为13500条（约90%）。
三、告警阈值的设置及作用
max-prefix配置中除了限制阈值，还应配置告警阈值（如Cisco的max-prefix warning-only或Juniper的告警功能），用于提前通知运维人员可能出现的异常：
- 告警阈值一般设置为max-prefix的85%~90%，以便在路由数量接近上限时及时触发告警。
- 告警触发后，运维可及时排查是否为业务增长或异常事件，避免突然断链。
- 告警阈值的存在避免了max-prefix阈值被直接触发，从而减少无谓的BGP会话重置。
四、与软重置（Soft Reset）的配合使用
软重置允许在不重建BGP会话的情况下重新接收路由更新，配合max-prefix使用可以提升网络稳定性：
- 当路由数量接近max-prefix限制时，先触发告警，运维判断后可执行软重置，刷新路由表，避免会话断开。
- 软重置可以快速恢复正常路由，减少因重建会话导致的路由震荡。
- 在自动化运维场景中，可结合告警配置自动触发软重置脚本，提高响应效率。
需要注意的是，如果max-prefix限制被触发，部分设备默认会断开BGP会话。软重置无法避免这种断链，因此合理的max-prefix和告警阈值设计是防止断链的关键。
结论及可执行检查清单
max-prefix是防止BGP路由表异常膨胀导致设备资源耗尽的关键参数，但其配置需结合对端实际路由规模及业务特性，配合告警阈值和软重置策略，才能实现既防护又稳定的网络运行。
- 统计并监控对端正常和峰值路由数量，基于数据设定max-prefix，预留15%~20%余量。
- 设置告警阈值为max-prefix的85%~90%，并配置告警通知机制。
- 结合软重置机制，制定告警后运维响应流程，避免因误判导致会话断开。
- 定期复核max-prefix配置，随业务和路由变动调整参数。
- 在多邻居环境中，分批评估各邻居max-prefix，避免“一刀切”导致不必要的断链风险。
通过以上步骤，max-prefix不再是“简单限额”，而是成为网络稳定性和安全性的有力保障。
本文由 南方数据技术博客编辑整理，涉及具体环境时请以官方文档与实际配置为准。