对比
| 思路 | 默认动作 | 优点 | 风险 |
|---|---|---|---|
| 白名单 | 拒绝 | 边界清晰、防意外发布 | 漏维护即误伤 |
| 黑名单 | 放行 | 变更简单、影响面小 | 新情况需追补规则 |
两种写法
两种写法
# 白名单风格
ip prefix-list PL-ALLOW permit 192.0.2.0/24
# 黑名单风格
ip prefix-list PL-DENY deny 203.0.113.0/24 le 32
ip prefix-list PL-DENY permit 0.0.0.0/0 le 32白名单与黑名单过滤设计
白名单默认拒绝、显式放行，边界清晰但维护不到位会误伤；黑名单默认放行、显式拒绝，简单但新威胁需追补；运营网络通常按场景组合使用。
易错点
- 两套策略并存且无文档：排障时说不清某前缀为何被拦
- 白名单更新滞后：新业务上线先更新白名单再发布
数据来源与参考
- 运营商路由安全实践（BGP 运维）