域间路由安全智能管控方案研究

2021-04-27黄卓君刘志华蔡学龙

广东通信技术 2021年4期

［黄卓君刘志华蔡学龙］

1 引言

互联网中不同AS（Autonomous System，自治系统）通过BGP（Border Gateway Protocol，边界网关协议）建立域间邻居关系并宣告相应的路由前缀实现互联互通，由于互联网协议设计的互信特点，AS能够通告其不拥有的IP（Internet Protocol，互联网协议）前缀，即通告非法路由。若无监控机制，这些非法通告将大范围传播并“污染”更多AS甚至整个互联网，影响通信的可用性、完整性和保密性。近年来基于最新版本BGPv4（Border Gateway Protocol version 4，边界网关协议版本4）协议的互联网路由泄露、路由劫持等安全事件层出不穷，故障波及范围大，对国家、运营商、客户造成了严重影响，BGPv4安全缺陷一度被认为是全球互联网最严重的安全漏洞。

目前发生的主要安全事件可分为两大类：路由泄露和路由劫持。路由泄露典型场景：A是运营商，B是A的客户且自带AS，当客户B向上游A宣告路由时，除了发布自身及下游资源之外，还发布了其他上游或Peer（例如C）的路由，则可能导致访问C的互联网流量错误地穿透A及B再到达C，即发生路由泄露。路由劫持典型场景：上游A和客户B，如果B由于错误配置或恶意篡改，发布了不属于自身AS的IP前缀，从而将访问该IP前缀的互联网流量非法引导至B，则发生路由劫持。

图1列举了近十年重大的BGP安全事件，这些事件涉及范围广，对整个互联网的可用性和稳定性都造成了不同程度的影响。