Paul Vixie 在 APNIC 38 大会上推广 SAVE（Source Address Validation Everywhere），主张从网络边缘阻断源地址欺骗以治理 DDoS。核心矛盾在于 ISP 部署成本内部化、收益外部化，需通过监管统一义务才能破局。
**欺骗源头与边缘愚蠢：**
Vixie 早在 2002 年即指出 DDoS 为互联网最大威胁，此后问题持续恶化。行业长期聚焦 DNS 侧缓解，实则根因在于源地址欺骗。David Isenberg 1997 年《愚蠢网络的崛起》主张核心无状态、智能下沉边缘，但现实边缘却愈发“愚蠢”：缺乏源地址验证使欺骗包自由入网。BCP 38 与路由宣言虽久，部署仍受阻——ISP 需投入重构系统成本，收益却由全网共享，竞争对手甚至可搭便车，导致商业动力不足。
**物联网放大与协议缺陷：**
新兴 IoT 设备质量参差，Vixie 探讨 QA 成本发现：剔除安全缺陷的边际成本往往高于智能灯泡等低利产品的收益。TCP 协议层面更存隐患：监听 TCP 空间的节点可被诱导发送 3 至 20 个 SYN-ACK 包，形成 20 倍反射放大，若按灯泡量级扩展，攻击流量将迅速失控。ICMP 与 UDP 同存风险，修改 TCP 不切实际，唯一具备经济可扩展性的出路是修复欺骗源头，SAVE 路径最具落地牵引力。
**经济激励与监管路径：**
Vixie 指出首要经济论据在于“义务均等化”：若财务部门因收益外部化拒批预算，则同一经济区内所有参与者必须被强制分担成本。这要求引入监管机制，将源地址验证纳入合规基线，消除“部署者吃亏、不部署者得利”的逆向选择。唯有外部强制力打破博弈僵局，SAVE 才能从倡议转为普遍部署。
对运维与网络工程师而言，SAVE 将防伪责任下沉至接入层，需在边缘设备实施严格 uRPF 或 ACL 过滤，配合 NetFlow 审计异常源地址。监管落地前，可先在自有网络闭环验证，积累部署模板与成本模型，为未来合规抢占先机。
原文: APNIC Blog（2014-09-23）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog