BGP 劫持改变了什么？
未经授权或错误的路由宣告可能让流量偏离预期去向，造成中断、绕路或拦截机会。宣告涉及前缀及 AS 信息；观察到异常路径仍需调查原因，不能只凭一个状态判定攻击者动机。[2][1]
007 / 网络与基础设施 / BGP Hijacking
路牌指向更近处，真是它的目的地吗？
BGP 劫持 · BGP Hijacking
网络里出现一条更具体的宣告，部分数据开始走另一条路。起源验证显示 Invalid，但路由器只是记录了状态，没有丢弃它。你要把授权、接收策略与转发选择分成三步。
开始探索 ↓10–13 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
运送数据的车辆在路牌处分流，一部分驶向攻击者所在的城堡。画面比喻路由偏离，不代表所有地址都受影响，也不能证明被改道的 TLS 流量已经被解密。
本课任务 / BGP 劫持
用前缀、起源 AS 和 maxLength 验证路由授权，再观察策略与最长前缀匹配的不同作用。
- 区分路由宣告、起源授权与本地策略
- 正确解释 Valid、Invalid 和 NotFound
- 理解更具体前缀与 ROV 的保护边界
亲手探索 / 不同条件，不同结果
一条路由通过验证，和最终走哪条路不是一回事。
合法方使用文档地址 198.51.100.0/24 与 AS64496。改变另一条宣告的长度和起源，调整覆盖 ROA 的 maxLength 与授权 AS，再决定是否丢弃 Invalid。模型仅追踪目的地址 198.51.100.10。
边界与路径实验台 · 离线教学模型
先验起源，再看数据包匹配哪块路牌。
合法方宣告文档前缀 198.51.100.0/24、起源 AS64496。加入另一条宣告，观察 Valid、Invalid、NotFound 与本地过滤如何影响目的地址 198.51.100.10 的路径。
尚未检查当前设置。修改条件会清除旧结论，请运行本轮实验。
最长前缀匹配是转发查表，不是 BGP 同一前缀最佳路径算法。起源相符也不能排除伪造路径；改道不证明 TLS 内容已被解密。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
三个状态按覆盖关系与匹配定义
没有覆盖路由前缀的授权记录是 NotFound；至少一条覆盖记录同时匹配起源和长度约束是 Valid；存在覆盖记录但没有匹配记录是 Invalid。NotFound 不是已验证安全，Invalid 也可能来自配置错误。[1]
02 / 实用细节
maxLength 不是目的网络的大小
本例 ROA 前缀固定 /24。maxLength=/24 只允许该长度，改成 /25 也允许相同起源的 /25 宣告；它不会把授权起源改成其他 AS。授权应与实际发布计划一致，过宽或过窄都可能带来后果。[1][2]
03 / 实用细节
算出 Invalid 不等于自动阻断
验证提供信息，采用哪种接收策略还需明确配置。本例仅观察时仍接收 Invalid，开启丢弃后才从候选中移除；NotFound 仍保留。这是教学策略，实际部署还需规划监测、变更和故障处置。[1][2]
04 / 实用细节
最长前缀匹配解释部分流量改道
对 198.51.100.10，已安装的 /25 比 /24 更具体，因此本例选择 /25；它并不覆盖原 /24 的全部地址。若两个候选都是 /24，本页明确返回“不决定”，避免伪装成完整 BGP 决策器。[3]
05 / 实用细节
合法起源也不能证明整条路径可信
将另一条路由的起源改成获准 AS，并在允许 /25 时观察 Valid：这仍未验证整段 AS_PATH 或宣告者实际有权使用该路径。ROV 不能独自阻止所有路径伪造或路由泄露，应结合过滤、监测及其他机制。[1][2]
06 / 实用细节
路由防护不能替代端到端安全
改道不等于已解密应用流量；TLS 等端到端保护仍有独立作用。反过来，加密也不能让被丢弃的包到达目的地。路由事件响应应核对可达性、授权记录和实际宣告，不把一个绿灯当作全网安全证明。[2][4]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
域名解析正常，但地址段被非授权 AS 宣告，优先查什么？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- IETF RFC 6811 · BGP Prefix Origin Validation ↗
覆盖／匹配、三种验证状态与本地策略，不验证完整路径
- IETF RFC 7454 · BGP Operations and Security ↗
路由过滤、起源验证与运营层面的组合防护
- IETF RFC 4632 · CIDR ↗
前缀聚合和转发的最长匹配规则
- IETF RFC 8446 · TLS 1.3 ↗
端到端机密性、完整性和认证，不保证路由可用性
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。