下午好，同学们！
今天我们来聊聊一个对骨干网络运行至关重要的协议——边界网关协议（BGP，Border Gateway Protocol），以及它与网络安全的那些事。
BGP 是互联网的“路由总管”，它负责在全球范围内的自治系统（AS）之间交换路由信息。看似“底层”的协议，其实也深藏安全风险。我们今天就带大家揭开它的“安全面纱”。
今日文章阅读福利
《网络工程师学习手册》
私信发送暗号 “网络”，即可获取这份实用配置指南！
（扫码添加小助理也可以快速领取哦~）
什么是边界网关协议（BGP）
THINKMO
BGP 是一种路径向量路由协议，主要用于不同自治系统（AS）之间的路由信息交换。每一家ISP、企业、甚至某些大型互联网公司，都会有自己的AS号并使用BGP进行互联。
举个例子：当你访问一个国外网站时，背后可能经历了多个AS跳转，而这些路径就是靠BGP选择出来的。
BGP在网络安全中的问题与挑战
THINKMO
1 BGP 劫持（BGP Hijacking）
攻击者伪造路由声明，声称“某段IP归我所有”，从而拦截或重定向大量流量。这种攻击一旦成功，后果极其严重，可能导致：
-
数据被拦截或监听；
-
用户访问出现中断或绕行；
-
恶意内容投递（如DNS欺骗）；
真实案例：2018年，一家俄罗斯ISP错误通告了Google的IP地址，导致大量用户访问Google服务失败。
2 BGP 泄露（BGP Leak）
本应内部使用的路由被错误地发布到公共互联网上，可能引发全网路由不稳定甚至瘫痪。
这就好比企业内部文档不小心发到朋友圈，不但暴露了隐私，还可能引发信任危机。
3 缺乏加密与认证机制
传统BGP 协议本身不具备认证机制，默认情况下不验证对方身份。没有加密的BGP会话容易被中间人劫持或篡改。
那我们该怎么做？——BGP安全防护措施
THINKMO
-
使用 TTL Security / GTSM限制 BGP 对等体之间的跳数，防止伪造连接。
-
BGP MD5/SHA Authentication为 BGP 会话配置认证密码，防止未经授权的连接。
-
Prefix / AS Path 过滤配置合理的前缀过滤策略和路径过滤规则，防止接收异常路由。
-
ROA 与 RPKI 技术应用通过资源公钥基础设施（RPKI）验证路由通告是否来自合法持有者，防止BGP劫持。
-
黑洞路由（BGP Blackhole）联动与DDoS防护结合，快速下发黑洞路由，减少攻击流量影响。
场景拓展应用
THINKMO
-
场景一：企业对接多个运营商出口合理配置BGP出入口过滤规则，防止本地网络被“劫持”或成为攻击跳板。
-
场景二：IDC/云服务提供商网络边界启用RPKI验证、结合流量清洗平台，实现实时安全联动。
-
场景三：科研/教育网间互联设置严谨的BGP策略，避免错发路由影响全网。
验证与排查建议
THINKMO
-
查看BGP邻居状态
[Router] display bgp peer-
排查非法路由来源
[Router] display bgp routing-table abnormal-
RPKI验证状态检查
[Router] display bgp rpki statistics使用建议与最佳实践
THINKMO
-
推荐在出口路由器上启用BGP认证与AS-Path过滤；
-
定期更新前缀列表，避免过期或误配；
-
建议部署RPKI，接入全球验证体系；
-
配合日志平台监控BGP变更，快速响应异常；
-
对关键业务路径可配置BGP优先级与备用路径，提升冗余性。
攻防视角：BGP 劫持与反制
BGP劫持的目标通常是敏感业务流量或用于扩大攻击面，例如向DNS服务器投递虚假响应。利用RPKI和严格的策略过滤，可有效识别并拒收非法BGP通告。
今天我们就分享到这啦。 BGP 是全球互联网稳定运行的“骨干”，也是网络安全防护的“重镇”。理解其工作原理与风险点，对于任何一位网络工程师来说，都是一门必修课！
