随着互联网交换点（IXes）在互联网流量交换中扮演着越来越重要的角色，其稳定性和安全性也变得至关重要。在过去十年中，日本IX社区以及全球其他IX社区都见证了IX技术的巨大变化和连接到IX的成员数量及多样性的增长。然而，这些变化也带来了一些问题，尤其是新成员对路由器的误配置。例如，Masataka Mawatari，日本互联网交换公司（Japan Internet Exchange Co. Ltd.）的员工指出：“这种误配置可能导致不必要的广播、恶意路由表示、未知单播洪泛和带宽窃取攻击，最终影响所有连接到IX的成员。”为了解决这个问题，日本的一些IX运营商（包括BBIX、JPIX、JPNAP和KDDI）与Masataka一起合作，更新了十年前由JANOG社区开发的原始最佳实践文档，用于配置路由器连接到IX。
最佳实践文档概述
该文档现在可供下载，描述了用于由AS运营商连接到IX的路由器的推荐配置，即Peering LAN——许多单个AS连接到的局域网。文档中提到：“我们希望这份文档能帮助AS运营商对技术要求有一个共同的理解和认识。”文档中提出了以下五个配置路由器连接到IX时需要考虑的要点：
1. 停止发送ICMP重定向：在连接到IX的router上禁用ICMP重定向功能，以确保不会污染连接到同一IX的其他路由器的路由表。
2. 禁止转发目标地址为IX段定向广播地址的数据包：在router上禁用此功能，因为它可能促进针对IX段的Smurf攻击，这对IX段上的所有router都有害。
3. 禁用代理ARP：这样做将阻止router可能导致的所有BGP会话和通过IX的流量中断。
4. 配置最大前缀限制：为所有对等体配置最大前缀限制，这是防御路由泄露或对等体router配置错误的有效措施。
5. 不要广告IX段的前缀：如果这样做，将使IX段通过互联网更广泛的部分变得可到达，从而促进对IX段的更多攻击，而IX段应仅用于对等流量。
文档的实际意义
这份最佳实践文档对于运维和网络工程师来说具有重要的实际意义。它不仅提供了连接到IX时路由器配置的具体指导，还有助于减少因配置错误而导致的潜在问题。通过遵循这些最佳实践，网络工程师可以确保IX的稳定性和安全性，同时提高网络性能和效率。
总结
总之，随着IX在互联网基础设施中的重要性日益增加，正确的路由器配置变得至关重要。通过遵循APNIC提供的最佳实践文档，运维和网络工程师可以确保他们的网络连接到IX时既安全又高效。这份文档不仅为AS运营商提供了宝贵的指导，也为整个IX社区提供了宝贵的资源。
原文: APNIC Blog（2018-07-31）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog