远程触发黑洞（RTBH）过滤已被确立为缓解域间 DDoS 攻击的工具。随着大型分布式拒绝服务（DDoS）攻击对终端系统和整个互联网基础设施构成的威胁日益严重，RTBH 过滤作为一种缓解手段得到了广泛应用。其基本原理是，通过特殊的 BGP 公告信号，在网络早期阶段丢弃不受欢迎的流量，例如在互联网交换点（IXP）处。由于对 RTBH 过滤的使用类型和有效性以及更精细过滤需求了解甚少，我的研究同事和我决定分析 RTBH 作为缓解工具的效率，以及是否缓解是 RTBH 的唯一用例。我们与世界上最大的 IXP 之一合作，对超过三个月的测量期间内的每个 RTBH 进行了分析。
IXP 中的黑洞机制
互联网交换点（IXP）通过提供数百个自治系统（AS）汇聚和交换域间流量，特别适合进行此类预防。IXP 中的路由服务器会传播来自受害者的 RTBH 信号到所有其他 IXP 成员，这些成员在接受信号后，将所有指向受害者前缀的流量转发到黑洞。因此，攻击流量以及合法流量都会被丢弃，我们称之为附带损害。
黑洞接受率和丢弃率
任何不接受来自路由服务器黑洞路由的 BGP 对等体将继续转发原本打算过滤的流量。黑洞路由的接受超出了触发 AS 的控制范围，而是受接收对等体本地 BGP 政策的约束。量化 RTBH 接受率和触发数据包丢弃率可以显示 RTBH 在实际应用中的有效性。这也可能有助于解释 RTBH 未被接受的情况，并揭示潜在的问题。
RTBH 的效率和局限性
通过分析 RTBH 的接受率和触发数据包丢弃率，我们可以了解 RTBH 在野外的有效性。然而，这也揭示了 RTBH 的局限性，例如，当 RTBH 被拒绝时，攻击流量可能会绕过黑洞，继续对网络造成损害。此外，由于 RTBH 会导致合法流量被丢弃，因此需要仔细权衡其使用。
结尾：
对于运维和网络工程师来说，了解 RTBH 过滤的效率和局限性对于保护网络免受 DDoS 攻击至关重要。通过分析 RTBH 在 IXP 中的实际应用，工程师可以更好地设计网络策略，确保在缓解攻击流量的同时，最小化对合法流量的影响。
原文: APNIC Blog（2019-12-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog