BGP 路由協定深度解析 網際網路的封包傳輸仰賴 BGP（Border Gateway Protocol） 在全球數萬個自治系統間協調路徑。然而，BGP 設計之初預設信任所有鄰居，這個致命弱點至今仍是網際網路基礎設施最大的安全隱患。 自治系統與路徑決策機制 每個自治系統（AS）擁有唯一的 ASN（Autonomous System Number） ，透過 BGP 向鄰居宣告自己可達的 IP 前綴（Prefix）。BGP 使用 路徑向量（Path Vector） 演算法，在 UPDATE 訊息中攜帶完整的 AS_PATH，避免路由迴圈。路徑選擇依序評估 Local Preference、AS_PATH 長度、MED 等屬性，最終選出最佳路徑寫入路由表。BGP 分為 iBGP （同一 AS 內部）與 eBGP （跨 AS 間），前者通常需要 Full Mesh 或 Route Reflector 架構來確保路由同步。 路由劫持與路由洩漏的資安風險 BGP Hijacking（路由劫持） 發生於惡意 AS 宣告不屬於自己的 IP 前綴，導致流量被錯誤引導至攻擊者節點，可用於竊聽、中間人攻擊或流量黑洞。2018 年 Amazon Route 53 的 DNS 劫持事件即為典型案例。 Route Leak（路由洩漏） 則是 AS 將收到的路由不當地再宣告給第三方，造成非預期的流量繞道。由於 BGP 本身缺乏原生驗證機制，偽造路由宣告幾乎無法即時偵測，影響範圍可達全球規模。目前業界推動以 RPKI（Resource Public Key Infrastructure） 簽署路由來源，作為主要防禦手段。 # 使用 RPKI 驗證工具檢查 BGP 路由來源合法性 # Cloudflare 提供的公開 RPKI 驗證 API curl https://rpki.cloudflare.com/api/v1/validity/13335/1.1.1.0/24 # 回應示意：{"status": "valid", "origin_asn": "AS13335"} 💡 重點整理 BGP 信任機制薄弱 ：協定預設信任鄰居宣告，無內建驗...