1. 边界路由安全工程导论
互联网并不是一张“无边界”的网，它由成千上万个自治系统（AS）通过边界网关协议（BGP）互相交换可达性信息而拼接而成。BGP 的核心作用不是“找最短路径”，而是在 AS 之间传播“我能够到达哪些前缀、下一跳是谁、经过哪些 AS”。因此，BGP 既是互联网互联的黏合剂，也是边界路由安全中最关键、最脆弱的控制面。理解 BGP 在边界中的角色，是后续所有防护设计、配置与排障工作的起点。
一、BGP 在互联网边界中的角色
在一个典型企业或园区网络中，内部使用 OSPF、IS-IS 等 IGP 完成域内可达，而边界路由器通过 eBGP 与一个或多个 ISP 建立邻居关系，把本地公网前缀通告出去，同时从 ISP 接收全球路由。边界路由器通常承担三类职责：第一，作为 AS 的“出口”，向外部宣告本 AS 拥有的地址块；第二，作为“入口”，接收并筛选来自上游的路由；第三，作为策略执行点，通过属性（AS_PATH、LOCAL_PREF、MED、Community 等）影响选路结果。
需要特别强调的是，BGP 默认建立在“邻居可信”的假设之上。一个 AS 只要收到某条前缀通告，通常就会按属性选路并转发流量，而不会自动验证“这个 AS 是否真的拥有该前缀”。这种基于信任的设计，正是路由安全威胁的根源。
二、路由安全威胁全景
边界路由面临的威胁可以按“控制面—数据面—策略面”三个层面来梳理。控制面最典型的是前缀劫持与路由泄漏：攻击者或配置失误的 AS 通告不属于自己的前缀，或把从上游学到的路由错误地传给另一个上游，导致流量被牵引、黑洞或绕行。数据面则表现为转发路径被篡改后的丢包、延迟增大、流量被窃听。策略面问题包括路由策略冲突、过滤缺失、RPKI 未部署或未生效等。
从工程视角看，威胁并不都来自恶意攻击。大量真实事故源于配置错误：例如忘记在 eBGP 邻居上应用前缀列表，导致内部明细路由泄漏到全球表；或错误地设置 LOCAL_PREF，使备用链路抢占主链路。因此，防护目标必须同时覆盖“防恶意”和“防误配”。
三、工程化防护目标
边界路由安全工程的目标可以概括为四个词：可控、可验证、可观测、可恢复。可控，是指本 AS 只通告自己拥有的前缀，且只接收合法路由；可验证，是指对前缀来源、AS_PATH 长度、下一跳等关键属性有明确校验手段；可观测，是指路由变化、前缀数量、邻居状态有日志与告警；可恢复，是指一旦发生劫持或泄漏，能够快速定位并回滚策略。
在具体实现上，常见手段包括：出方向使用前缀列表只允许本 AS 地址块；入方向使用 AS_PATH 正则过滤私有 AS 与过长路径；部署 RPKI 对源 AS 进行验证；对每个 eBGP 邻居设置最大前缀数，防止路由表被异常灌满。这些手段不是孤立的，而是需要组合成策略链。
四、课程实践环境搭建
本课程后续实验将基于一个可复现的边界拓扑。建议使用三台路由器：BR1 模拟本 AS 边界，ISP-A 与 ISP-B 模拟两个上游。地址规划如下：BR1 与 ISP-A 互联使用 10.0.1.0/30，BR1 与 ISP-B 互联使用 10.0.2.0/30；本 AS 公网前缀为 203.0.113.0/24 与 198.51.100.0/24。AS 号分配：本 AS 65001，ISP-A 为 65010，ISP-B 为 65020。
基础配置阶段，先在 BR1 上完成接口地址与 eBGP 邻居建立。以下为示例配置片段，实际设备请按厂商语法调整：
! BR1 基础 BGP 配置示例
interface GigabitEthernet0/0
ip address 10.0.1.1 255.255.255.252
!
interface GigabitEthernet0/1
ip address 10.0.2.1 255.255.255.252
!
router bgp 65001
bgp log-neighbor-changes
neighbor 10.0.1.2 remote-as 65010
neighbor 10.0.2.2 remote-as 65020
!
address-family ipv4 unicast
network 203.0.113.0 mask 255.255.255.0
network 198.51.100.0 mask 255.255.255.0
neighbor 10.0.1.2 activate
neighbor 10.0.2.2 activate
exit-address-family
验证邻居是否建立，可查看 BGP 摘要表。正常状态下，State/PfxRcd 应显示为数字而非 Idle 或 Active。若显示 Active，说明 TCP 179 未建立，需检查底层可达性与 neighbor 地址是否正确。
BR1# show ip bgp summary
Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd
10.0.1.2 4 65010 12 14 3 0 0 00:05:21 2
10.0.2.2 4 65020 10 12 3 0 0 00:04:58 2
随后在 ISP-A 与 ISP-B 上分别配置对 BR1 的邻居，并注入若干测试前缀，用于后续观察选路与过滤效果。建议同时开启 bgp log-neighbor-changes，便于在实验过程中追踪邻居震荡与路由变化。