陈 石，刘金生

(中国联合网络通信有限公司 网络运维部互联网处,北京 100033)

BGP协议防御DDoS攻击的方法浅析

陈 石，刘金生

(中国联合网络通信有限公司 网络运维部互联网处,北京 100033)

BGP (Border Gateway Protocol)协议是Internet中应用最广泛的自治系统间路由协议，它通过面向连接的TCP (Transfer Control Protocol)协议保障路由信息的可靠转发。然而，以DDoS(Distributed Denial of Service)为代表的网络攻击对基于TCP 的应用协议产生了严重的威胁。保护BGP协议较为常见的方法是在网络边缘添加防火墙、流量分析仪等安全设备。从分析BGP邻居的建立过程及DDoS的攻击特点入手，提出一种新的思路，在不增加运营成本的前提下，实现BGP协议对DDoS的防御。

BGP邻居；TCP连接方向；分布式拒绝服务攻击; 互联网服务提供商

0 引言

根据中国联通公众互联网CHINA169的统计，截至2016年5月，Internet上自治系统间路由条目数已经达到62万条，如此庞大的数据信息都是依赖于路由协议进行计算和转发，而以分布式拒绝服务攻击(Distributed Denial of Service，DDoS)为代表的网络攻击却对路由协议的安全产生了严重的威胁。本文提出一种基于TCP连接方向的方法对抗DDoS攻击。

1 基于TCP的边界网关协议

Internet是由众多相互联在一起的自治系统(Autonomous System，AS)组成的，而负责传递AS之间网络层可达性信息(Network Layer Reachability Information, NLRI)的协议称为BGP(Border Gateway Protocol)。为了确保NLRI的可靠转发，BGP使用TCP协议作为它的下层承载协议。

TCP[1](Transfer Control Protocol)是开放系统互联(Open System Interconnect, OSI)参考模型中唯一面向连接的传输层协议，它使用“三次握手”机制建立面向连接的虚电路，每一条TCP连接都被通信链路的两个端点(IP地址：端口号)唯一确定：TCP连接={(IP1：port1),(IP2：port2)}。BGP对应的port值(端口号)为179。……