杨百翰大学 Casey Deccio 团队在 2019 年 12 月对全球已知 DNS 解析器发起带伪造源地址的查询，发现约一半自治系统（AS）未在入站边界过滤伪造流量。这种疏忽让远程攻击者能渗透网络并冒充内部资源，进而实施 DNS 缓存投毒、NXNS 攻击等原本可被阻断的攻击。部署目的端源地址验证（DSAV）可直接保护部署方自身网络，无需依赖上游配合。
实验发现：半数 AS 缺失边界过滤
研究人员向已知 DNS 解析器发送源地址被伪造为受控权威服务器的查询包。若权威服务器收到对应查询，即表明伪造包成功穿透目标网络边界，DSAV 未生效。测试覆盖超过 25,000 个 AS，结果显示约 50% 的 AS 允许此类伪造流量进入。团队曾尝试直接通知受影响 AS，但因规模庞大，部分网络可能未收到通知。
DSAV 部署与 BCP 84 指导
DSAV 核心要求：禁止源地址属于本网络的数据包从外部进入本网络。具体部署视架构而异，BCP 84 提供了不同架构的入门配置示范。与源端验证（OSAV，参考 BCP 38）不同，DSAV 在目的侧生效，能单方面切断伪造流量利用链路，防御 DNS 缓存投毒、NXNS 攻击等放大型威胁。
自测工具与通知局限
为弥补通知覆盖不足，研究团队开发自测工具：向目标网络发送良性伪造流量，管理员通过检查日志即可实时判断边界是否存在漏洞。工具不依赖外部通知，适用于任意 AS 自主排查。原文未给出工具具体部署细节或后续采纳率数据。
对运维工程师的意义：在边界路由器或防火墙按 BCP 84 配置入站源地址过滤，可单方面阻断伪造源地址攻击面，无需等待上游部署。建议立即使用自测工具验证现网状态，并在变更窗口内补齐缺失规则。
原文: APNIC Blog（2021-02-19）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog