AS_PATH 长度护栏
maxas-limit 限制可接受的 AS_PATH 最大长度：超过阈值的路径被丢弃并告警，用来过滤异常长的路径——这类路径常与路由泄漏或攻击相关，属于域间安全护栏之一。风险在于误伤：阈值设小了会把远距离的正常目的地一并丢掉，所以定阈值前先统计现网的路径长度分布。
基本信息
| 用途 | 域间安全护栏，过滤异常长的 AS_PATH |
|---|---|
| 命令 | bgp maxas-limit <n> |
| 取值方法 | 按正常路径长度分布留出合理余量 |
| 生效效果 | 超长路径被丢弃并产生告警 |
| 主要风险 | 误伤合法长路径导致部分目的地不可达 |
| 配合工具 | 与 maximum-prefix 各管一维：长度与前缀数量 |
典型使用场景
- 域间净化：过滤明显异常的路径长度
- 泄漏事件响应：作为应急护栏快速收敛影响范围
- 阈值制定：先统计路径长度分布再定值
- 多维护栏：长度与数量两个维度分开管理
- 变更验证：上线后观察业务可达性与告警，确认没有误伤
配置与观察
配置与观察
router bgp 65001
bgp maxas-limit 50 # 超过 50 个 AS 的路径将被丢弃
!
show ip bgp summary # 观察邻居与路由数量变化
show ip bgp # 全量浏览，人工核对异常长的路径
show log | include maxas # 关注丢弃与告警记录护栏工具对照
| 工具 | 约束维度 | 误伤形态 |
|---|---|---|
| maxas-limit | AS_PATH 长度 | 远距离正常目的地不可达 |
| maximum-prefix | 邻居路由数量 | 邻居超限后停止接收或被断开 |
| 前后缀过滤 | 前缀集合 | 新前缀未及时放行 |
| 社区过滤 | 属性标记 | 标记缺失导致误拦 |
阈值要靠数据定：先统计现网路径长度分布，再留出余量；凭经验拍一个数字，很可能在远距离目的地上造成不可达。
与 maximum-prefix 配合使用：一个管路径长度、一个管前缀数量，两者维度不同，共同构成邻居级的护栏体系，不能互相替代。