跳到页面内容
每日网安DAILY SECURITY TERMS
跳到互动练习
互动课堂 / 路由起源核验台DAILY / SECURITY TERMS

007 / 网络与基础设施 / BGP Hijacking

路牌指向更近处，真是它的目的地吗？

BGP 劫持 · BGP Hijacking

网络里出现一条更具体的宣告，部分数据开始走另一条路。起源验证显示 Invalid，但路由器只是记录了状态，没有丢弃它。你要把授权、接收策略与转发选择分成三步。

开始探索 ↓10–13 分钟
动手实验 · 场景判断 · 实用检查

运送数据的车辆在路牌处分流，一部分驶向攻击者所在的城堡。画面比喻路由偏离，不代表所有地址都受影响，也不能证明被改道的 TLS 流量已经被解密。

BGP 劫持 · 本课场景

BGP Hijacking 概念寓意：攻击者通过错误或恶意的 BGP 路由公告，把互联网流量引向错误路径。

运送数据的车辆在路牌处分流，一部分驶向攻击者所在的城堡。画面比喻路由偏离，不代表所有地址都受影响，也不能证明被改道的 TLS 流量已经被解密。

按 Esc 或点击画面外侧关闭。打开原图 ↗

本课任务 / BGP 劫持

用前缀、起源 AS 和 maxLength 验证路由授权，再观察策略与最长前缀匹配的不同作用。

  • 区分路由宣告、起源授权与本地策略
  • 正确解释 Valid、Invalid 和 NotFound
  • 理解更具体前缀与 ROV 的保护边界

BGP 劫持改变了什么？

未经授权或错误的路由宣告可能让流量偏离预期去向，造成中断、绕路或拦截机会。宣告涉及前缀及 AS 信息；观察到异常路径仍需调查原因，不能只凭一个状态判定攻击者动机。[2][1]

ROA 与起源验证各做什么？

ROA 表达哪些 AS 可为某前缀宣告起源，以及允许多具体的前缀。路由器根据经过验证的授权记录检查路由起源；本页把这份记录简化为一个 /24、一个 ASN 和一个 maxLength。[1]

更具体就一定是更好的 BGP 路径吗？

要分开看。不同长度的前缀可同时存在，转发时按最长匹配选择目的地址的覆盖项；同一前缀的候选还要经过 BGP 最佳路径选择。本页只演示前者，不用 AS 跳数代替真实策略。[3][2]

亲手探索 / 不同条件，不同结果

一条路由通过验证，和最终走哪条路不是一回事。

合法方使用文档地址 198.51.100.0/24 与 AS64496。改变另一条宣告的长度和起源，调整覆盖 ROA 的 maxLength 与授权 AS，再决定是否丢弃 Invalid。模型仅追踪目的地址 198.51.100.10。

边界与路径实验台 · 离线教学模型

先验起源，再看数据包匹配哪块路牌。

合法方宣告文档前缀 198.51.100.0/24、起源 AS64496。加入另一条宣告，观察 Valid、Invalid、NotFound 与本地过滤如何影响目的地址 198.51.100.10 的路径。

尚未检查当前设置。修改条件会清除旧结论，请运行本轮实验。

最长前缀匹配是转发查表，不是 BGP 同一前缀最佳路径算法。起源相符也不能排除伪造路径；改道不证明 TLS 内容已被解密。

随手查 / 把理解带回实际工作

理解机制之后，检查这些细节。

实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。

01 / 实用细节

三个状态按覆盖关系与匹配定义

没有覆盖路由前缀的授权记录是 NotFound；至少一条覆盖记录同时匹配起源和长度约束是 Valid；存在覆盖记录但没有匹配记录是 Invalid。NotFound 不是已验证安全，Invalid 也可能来自配置错误。[1]

02 / 实用细节

maxLength 不是目的网络的大小

本例 ROA 前缀固定 /24。maxLength=/24 只允许该长度，改成 /25 也允许相同起源的 /25 宣告；它不会把授权起源改成其他 AS。授权应与实际发布计划一致，过宽或过窄都可能带来后果。[1][2]

03 / 实用细节

算出 Invalid 不等于自动阻断

验证提供信息，采用哪种接收策略还需明确配置。本例仅观察时仍接收 Invalid，开启丢弃后才从候选中移除；NotFound 仍保留。这是教学策略，实际部署还需规划监测、变更和故障处置。[1][2]

04 / 实用细节

最长前缀匹配解释部分流量改道

对 198.51.100.10，已安装的 /25 比 /24 更具体，因此本例选择 /25；它并不覆盖原 /24 的全部地址。若两个候选都是 /24，本页明确返回“不决定”，避免伪装成完整 BGP 决策器。[3]

05 / 实用细节

合法起源也不能证明整条路径可信

将另一条路由的起源改成获准 AS，并在允许 /25 时观察 Valid：这仍未验证整段 AS_PATH 或宣告者实际有权使用该路径。ROV 不能独自阻止所有路径伪造或路由泄露，应结合过滤、监测及其他机制。[1][2]

06 / 实用细节

路由防护不能替代端到端安全

改道不等于已解密应用流量；TLS 等端到端保护仍有独立作用。反过来，加密也不能让被丢弃的包到达目的地。路由事件响应应核对可达性、授权记录和实际宣告，不把一个绿灯当作全网安全证明。[2][4]

从模拟，到验证

找一个获准的环境，实际检查一次。

勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。

本页已检查 0 / 5 项

实际检查清单
30 秒场景小测

域名解析正常，但地址段被非授权 AS 宣告，优先查什么？

能解释原因，再标记学会。

小测结果同步错题本；“已学会”沿用原有本地学习记录。

资料与依据

  1. IETF RFC 6811 · BGP Prefix Origin Validation ↗

    覆盖／匹配、三种验证状态与本地策略，不验证完整路径

  2. IETF RFC 7454 · BGP Operations and Security ↗

    路由过滤、起源验证与运营层面的组合防护

  3. IETF RFC 4632 · CIDR ↗

    前缀聚合和转发的最长匹配规则

  4. IETF RFC 8446 · TLS 1.3 ↗

    端到端机密性、完整性和认证，不保证路由可用性

本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。