全球路由系统中，路由泄露与劫持是核心隐患。当客户或对等体发送超出范围的路由且提供方未加过滤时，前缀会被错误宣告，导致流量异常。文章梳理七类过滤手段的优劣，指出提供方必须在入口实施严格策略，并展望基于 BGP 角色的 IOTC 机制作为长期解法。
现有过滤手段的取舍：
RPKI 无需维护前缀列表，但依赖外部验证器、收敛较慢，且因对等体 ROA 记录更新不及时，当前精度不足；前缀列表与 distribute-list 可指定 ge/le 掩码，却无法按 AS-PATH 过滤，后者成熟度更低；AS-PATH 访问列表仅能按路径过滤；maximum-prefix 能限制 Adj-RIBs-In 规模，但会话重启时过于激进；Whois 数据库过滤当前准确度优于 RPKI，主流厂商支持，但收敛约 24 小时且需外部服务同步控制平面；RFC 8212 要求双向过滤，虽易实现且厂商支持，但主流路由器操作系统仍未支持。各方案在部署难度、精度与收敛速度上均存在短板，单一手段难以全面覆盖。
BGP 角色与 IOTC 属性的草案方向：
另一思路是在 BGP Open 报文中引入邻居角色——customer、peer、internal、provider——双方协商关系后，按约定关系给宣告路由打上 IOTC（Internal Only To Customer）属性，从而在传播链路上天然阻断泄露。该草案已在 IETF FRRouting 组讨论，但尚未形成 RFC，现阶段无可落地实现；且若仅在 FRRouting 守护进程间生效，缺乏厂商无关的通用部署路径。工程界仍需等待标准化进程推进，或在现有设备上组合现有过滤手段作为过渡。
对运维与网络工程师而言，核心行动是：在客户与对等体入口强制启用前缀列表或 Whois 过滤，配合 maximum-prefix 限制规模，并持续跟踪 RPKI 部署进度与 RFC 8212 厂商支持情况。标准化角色机制落地前，显式定义并持续审计导入导出策略，仍是阻断路由泄露最可靠的工程手段。
原文: APNIC Blog（2019-03-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog