前缀劫持怎么发现与核对
前缀劫持指别的网络宣告了本不属于它的前缀，把流量吸引过去。发现线索包括起源 AS 异常变化、流量结构突然转移、对端反馈异常路由；核对手段有 RPKI 状态、IRR 声明、多运营商视角对比与路径追踪。下结论前要先排除正常的授权变更与多宿主宣告。
基本信息
| 线索 | 起源 AS 变化、流量骤变、对端反馈异常路由 |
|---|---|
| 核对 | RPKI 状态、IRR 声明、多运营商视角对比 |
| 缓解 | 联系对端与滥用通道，发布更精确的 ROA 覆盖 |
| 预防 | ROA 全覆盖配合严格的对等与客户过滤 |
| 干扰项 | 多宿主正常宣告、授权变更、路由聚合都会造成误判 |
典型使用场景
- 监控告警显示某前缀起源 AS 变化，需要快速判断真伪
- 客户报大面积中断且流量异常转移
- 对等互联规划：评估是否已覆盖 ROA 与 IRR 声明
- 复盘：把发现、核实、缓解串成可执行流程
- 合规自查：围绕 MANRS 类实践检查自身作业面
本机侧观察
本机侧观察
show ip bgp 192.0.2.0/24 # 看起源 AS 与完整路径
show ip bgp regexp ^65001$ # 查该 AS 起源的所有前缀
show ip bgp summary | include 10.0.0 # 确认邻居状态是否稳定
!
# 外部核对：RPKI 校验状态、IRR 声明、多运营商视角对比
# 第一步先确定起源变化的时间点与影响范围，再决定处置动作线索与核对手段
| 线索 | 可能含义 | 核对手段 |
|---|---|---|
| 起源 AS 变化 | 劫持或授权变更 | RPKI 状态与 IRR 声明 |
| 流量结构骤变 | 路径被吸引 | 多运营商视角对比 |
| 对端反馈异常路由 | 上游误宣告 | 向对端索要通告明细 |
| 前缀被拆细宣告 | 更精确前缀吸引流量 | 核对 ROA 的掩码上限设置 |
单点视角不足以定性：需要多个运营商视角对比确认影响范围，同时核对授权关系与近期变更记录，再判断是否属于劫持。
更精确的前缀会被优先选择：ROA 的掩码上限设置不当，会让攻击者用明细宣告覆盖有效宣告。
把发现与处置分开：先确认事实与影响面，再决定联系对端、调整过滤还是发布 ROA，避免在信息不足时扩大变更范围。