可编程交换机虽能以线速部署防火墙、IDS 与 DDoS 缓解等安全功能，但现有基于交换机的安全应用因硬件约束被迫妥协，自身成为攻击面，需在架构层面解决抗对抗能力不足的问题。
硬件约束导致的编程模型受限：可编程交换机为保证线速，要求每包仅经流水线处理一次，导致循环、乘法及加密基元等常见操作不可用。Intel Tofino2 虽提供 12.8Tbps 吞吐，但有限的存储与处理资源迫使开发者放弃完整协议栈解析与状态维护，转而采用近似算法、采样或简化特征提取，这些妥协在面对精心构造的对抗流量时极易失效。
从端侧移植到网络边界的信任假设断裂：研究者曾将基于主机的欺骗检测等方案移植至 P4 交换机，期望在网络边界为全网主机提供同等防护。然而交换机缺乏端侧的完整上下文（如进程身份、文件系统状态），且无法执行密码学验证，攻击者可利用协议歧义、分片重组差异或时序偏差绕过检测，导致原本在端侧有效的规则在数据平面失效甚至被反向利用。
运维视角的权衡与工程缺口：单台可编程交换机可承载路由与多安全应用，降低硬件成本，但现有 P4 程序在面对自适应对抗时缺乏形式化验证手段，且无法在线热更新复杂逻辑。运维团队需在性能、覆盖率与抗对抗强度三者间显性取舍，当前工具链尚不支持自动化对抗测试与规则加固，导致生产环境部署往往停留在“功能可跑”而非“攻击可抗”阶段。
对网络工程师而言，可编程交换机并非银弹：在引入前须评估具体攻击模型下的规则脆弱性，建立数据平面规则的对抗测试流程，并在架构上保留回落至专用中间盒或端侧检测的通路，避免单点失效扩大故障域。
原文: APNIC Blog（2022-01-25）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog