互联网交换点（IXP）和网络运营商希望通过仅转发期望的流量来使对等互联网络（peering LAN）尽可能安全。过去十年中，已经进行了大量工作来解决对等互联网络安全和端口卫生问题。在那段时间里，制定了最佳当前实践（BCPs）、RFCs、IXP服务定义、配置指南和其他社区标准。然而，自那时以来，这些文档在网络安全的较低层面方面几乎没有更新，而威胁格局和路由器技术已经发生了巨大的变化，例如IPv6的采用和EVPN。
为什么对等互联网络安全很重要
对等互联网络安全设计必须减轻对IXP运营商和其成员的三个主要风险，涉及安全性和可靠性方面。其中包括用控制平面噪音淹没成员路由器、保护成员路由和BGP路由服务器安全。控制平面噪音是路由器必须处理然后丢弃的流量，例如地址解析协议（ARP），它可能会在大型广播域中成为问题。保护成员路由需要应用路由策略来防止不期望的路由协议形成邻居关系。BGP路由服务器安全是另一个重要问题，因为路由服务器维护多个BGP会话并有大量的路径。
对等互联网络安全挑战
对等互联网络安全面临多个挑战，包括控制平面噪音、路由保护和BGP安全。控制平面噪音可能会影响IXP路由器和成员路由器的稳定性。路由保护需要应用路由策略来防止不期望的路由协议形成邻居关系。BGP安全是当前创新最活跃的领域，例如路由泄漏和BGP劫持。
改进对等互联网络安全
为了改进对等互联网络安全，需要重新评估对等互联网络推荐的假设并分析多年来的大型IXP的访问控制列表（ACLs）统计数据。通过分析这些数据，可以确定潜在的改进领域并制定更有效的安全策略。同时，需要考虑到威胁格局和路由器技术的演变，例如IPv6的采用和EVPN。
对网络工程师来说，对等互联网络安全的重要性不言而喻。通过了解对等互联网络安全的挑战和改进方法，网络工程师可以设计和实施更安全的对等互联网络，保护IXP运营商和其成员的利益。同时，需要不断更新和完善对等互联网络安全的最佳实践和标准，以应对不断演变的威胁格局和技术进步。
原文: APNIC Blog（2024-07-17）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog