第3章：BGP安全设计原则：纵深防御、最小权限、信任模型、可审计性、弹性设计
聊BGP安全，很多人第一反应就是“加个MD5认证不就完了？”
嗯，我当年也是这么想的。直到有一次在客户现场，看着一台被篡改路由表的核心路由器，我才意识到——BGP安全从来不是单点防御能解决的问题。它需要一套完整的设计哲学。
这一章，我把这些年踩过的坑、总结出的经验，提炼成五个核心原则。你想想看，如果连设计原则都没想清楚，后面那些配置、策略、监控，全是空中楼阁。
3.1 纵深防御：别把鸡蛋放在一个篮子里
纵深防御，说白了就是“层层设防”。
BGP的漏洞太多了：TCP RST攻击、路由劫持、路径篡改、AS_PATH截断……任何一个环节失守，都可能导致全网瘫痪。你不能指望单靠一个RPKI或者一个MD5就搞定一切。
- 第一层：传输层安全——MD5认证、TCP-AO，防止TCP会话被劫持。
- 第二层：路由验证层——RPKI、BGPsec、AS_PATH验证，确保路由来源可信。
- 第三层：策略控制层——前缀列表、AS_PATH过滤器、社区属性控制，限制路由传播范围。
我在项目中遇到过一家大型ISP，他们只做了MD5认证，觉得足够了。结果一次内部人员误操作，把一条/8的路由注入了IBGP，全网震荡了40分钟。如果他们在策略层加个前缀列表过滤，这事儿根本不会发生。
3.2 最小权限：只给刚刚好的权限
这个原则在网络安全里是老生常谈了，但在BGP里，很多人理解得不够深。
最小权限，不只是“别给管理员权限”。它体现在BGP的方方面面：
- 路由发布权限： 一个AS只能发布它拥有的前缀。别让邻居随便宣告路由。
- 路由接收权限： 只接收你需要的路由。比如你只需要默认路由，就别让邻居把全表灌进来。
- 配置变更权限： 谁可以修改BGP配置？谁可以重置BGP会话？这些都要严格控制。
我记得有一次，一个运维同事为了测试，临时放开了某个邻居的前缀限制。测试完忘了改回去。结果第二天，那个邻居误宣告了一条/16的路由，直接导致我们部分流量黑洞。嗯，从那以后，我坚持所有BGP策略变更必须走工单系统，而且要有自动回滚机制。
| 邻居AS | 允许发布前缀 | 允许接收前缀 | 社区控制 | 备注 |
|---|---|---|---|---|
| AS 64501 | 192.0.2.0/24 | 0.0.0.0/0 | 只允许NO_EXPORT | 客户A |
| AS 64502 | 198.51.100.0/24 | 全表 | 允许所有社区 | 上游B |
3.3 信任模型：别信任何人，验证一切
BGP的信任模型，说白了就是“零信任”。
你想想看，BGP协议本身没有任何内置的身份验证机制。一个路由器说“我是AS 64501，我有一条路由”，你就信了？
当然不能。
我建议采用分层信任模型：
- EBGP邻居： 完全不可信。所有路由必须经过RPKI验证、AS_PATH检查、前缀列表过滤。
- IBGP邻居： 部分可信。但也要做基本验证，比如防止AS_PATH被篡改。
- RR（路由反射器）： 高度可信，但也要监控。我见过RR被攻破后，整个IBGP域都跟着遭殃。
3.4 可审计性：出了事，你得能查
可审计性，就是“留痕”。
BGP出问题的时候，你需要的不是猜测，而是证据。谁？什么时候？做了什么？为什么？
我建议至少做以下几件事：
- BGP会话日志： 记录所有会话的建立、断开、重置事件。
- 路由变更日志： 记录每条路由的添加、删除、修改。
- 配置变更审计： 谁改了BGP配置？改了什么？什么时候改的？
- 定期快照： 每天对BGP路由表做一次快照，方便回溯。
我曾经处理过一次路由劫持事件。客户说“我们的流量被劫持了”，但没有任何日志。我们花了整整两天，手动比对了几千条路由，才找到问题根源。如果当时有完整的审计日志，半小时就能搞定。
3.5 弹性设计：别让单点毁了全网
弹性设计，就是“扛得住事”。
BGP网络里，单点故障太常见了：一台路由器挂了、一条链路断了、一个邻居配置错了……任何一个单点问题，都可能引发全网震荡。
我建议从这几个方面入手：
- 多路径冗余： 至少两条物理链路连接到不同的上游。
- 多节点冗余： 核心路由器做集群，RR做冗余部署。
- 快速收敛： 启用BGP Fast External Failover、BGP PIC（Prefix Independent Convergence）。
- 路由策略冗余： 主备策略、负载均衡策略，都要有自动切换机制。
我记得有一次，一个客户的单台RR挂了，整个IBGP域都失去了路由。因为他们的RR是单点部署，没有冗余。那次故障持续了15分钟，损失惨重。后来我帮他们重新设计了RR集群，用了两台RR做冗余，还加上了BGP PIC，收敛时间从分钟级降到了秒级。
3.6 核心逻辑：五原则如何协同工作
这五个原则不是孤立的。它们是一个整体：
- 纵深防御 提供多层保护
- 最小权限 限制攻击面
- 信任模型 明确谁可信、谁不可信
- 可审计性 确保你能发现问题
- 弹性设计 确保你能扛住问题
少了任何一个，你的BGP安全架构都是不完整的。
好了，这一章的内容就到这里。记住这五个原则，后面每一章的配置、策略、监控，都是围绕它们展开的。