前缀上限是一道护栏
maximum-prefix 给每个邻居设置可接收前缀数的上限。超过阈值时设备可以选择只告警，也可以直接断开该邻居，从而把误配置或路由泄漏的影响限制在一条会话上，而不是让整张路由表被撑爆。它是运维实践中成本最低、收益最直接的域间防护措施之一。
基本信息
| 命令形式 | neighbor x maximum-prefix <上限> [<百分比>] [warning-only | restart <分钟>] |
|---|---|
| 阈值百分比 | 先按百分比告警，给排查留出时间窗 |
| 超限行为 | 默认断开该邻居并记录日志 |
| 恢复方式 | 清理后手工恢复，或配置 restart 让设备定时自动重试 |
| 按族生效 | IPv4、VPNv4 等地址族需分别配置 |
典型使用场景
- 客户接入：防止客户误配把大表带进本网，影响自身与其它客户
- 对等互联：限制对端发布范围，作为防泄漏的最后一道兜底
- 新建邻居上线：先用 warning-only 观察实际前缀数，再固化为硬阈值
- 容量保护：避免路由表超规格导致转发表下发失败
- 变更窗口：临时放宽阈值配合业务扩容，变更结束后恢复原值
配置示例
配置示例
# 先观测：只在达到 80% 时告警，不断开
router bgp 65001
neighbor 10.0.0.2 maximum-prefix 5000 80 warning-only
!
# 正式护栏：超限断开，30 分钟后自动重试
router bgp 65001
no neighbor 10.0.0.2 maximum-prefix 5000 80 warning-only
neighbor 10.0.0.2 maximum-prefix 5000 80 restart 30
!
show ip bgp neighbors 10.0.0.2 | include maximum参数取值思路
| 参数 | 取值依据 | 注意事项 |
|---|---|---|
| 上限值 | 对端正常前缀数加 20%-50% 余量 | 过于贴近实际值会因正常增长误触发 |
| 告警百分比 | 通常在 70%-85% 之间 | 给排查与扩容留出操作时间 |
| restart 间隔 | 按对端修复所需时间设定 | 自动恢复可能反复触发，需结合告警 |
| warning-only | 仅记录不动作 | 适合上线初期或不受控的对端 |
触发后的处理
触发后的处理
# 1) 确认触发原因与当前计数
show ip bgp neighbors 10.0.0.2 | include maximum
show ip bgp summary
# 2) 查看日志中的告警与断开记录
show logging | include maximum-prefix
# 3) 与对端确认发布范围后进行恢复
clear ip bgp 10.0.0.2
# 4) 若属正常增长，按流程调整阈值并记录变更把上限当成会长期不变的数字容易出问题：对端业务扩容后前缀数会自然增长。建议在上限触发告警时同步评估阈值是否需要上调，而不是简单地清理后重连了事。