摘要

  • 研究团队在 9 月 9 日 APNIC 62 路由安全 SIG 上报告：2026 年 2 月 2 日的一次 IPv4 扫描，在 APNIC 区域识别出 4,611 台暴露的 BGP 路由器，涉及 1,343 个 AS，其中 347 台被归为边界路由器。
  • 此处“暴露”有严格含义：任意互联网来源能在 TCP 179 端口完成连接，并在未经请求的 OPEN 交换中收到 BGP 响应。它不等于漏洞已被利用，更不等于设备已失陷。
  • 这是一张有日期的测量快照，不是注册管理机构的实时普查。研究只覆盖 IPv4，来自欧洲单一观测点，而且缺少互联网规模的真实设备数据来逐一验证路由器聚类和 ASN 归属。
  • 下一步不应公布目标名单，而应私下送达证据、记录运营商对配置的定性，再按可比条件复测，并只公开不含 IP 与 AS 名称的汇总闭环数据。

OPEN 回应比端口扫描多证明了一步

TCP 端口有响应，并不能充分说明背后的设备。Scan-179 先寻找 179 端口响应者，再发送符合标准的 BGP OPEN 消息并分析回包。研究者把能够从任意互联网地址抵达、又会处理这一未经请求交换的设备，定义为“暴露的 BGP 路由器”。

这一步能够在完整会话建立前获得 ASN、BGP 标识符和能力信息，也会让控制平面分配一定的处理与会话状态。RFC 7454 建议：对来源并非已知或获准 BGP 邻居、目标为 TCP 179 端口的流量，应通过访问控制列表丢弃；设备支持时，优先在控制平面执行过滤。

证据更具体，结论也必须更窄。收到 OPEN 响应并不能证明有人利用软件缺陷、维持了 BGP 会话、改变路由、造成中断或伤害客户。论文讨论了信息泄露、实现缺陷暴露和控制平面资源耗尽等潜在风险，但没有报告这些后果在 APNIC 样本中实际发生。

4,611 是推断结果，不是权威资产清单

全球样本中，共有 141,313 个 IPv4 地址接受 TCP 连接并交换 OPEN。团队借助 BGP 标识符、OPEN 中的 ASN 以及接口到 AS 的映射，把它们聚合为 20,432 台路由器，关联 4,194 个 AS；其中 1,127 台被归为边界路由器，16,124 台归为内部路由器，另有 3,181 台无法分类。

APNIC 62 演示稿给出了区域切片：4,611 台路由器、1,343 个 AS、347 台边界路由器。其国家或地区图表统计的是 AS 数量，不是路由器数量：印度尼西亚 387、孟加拉国 209、日本 115、印度 92，随后是香港、澳大利亚、中国、韩国、尼泊尔和台湾。这些数字描述测量方法得到的分布，不能被改写成对具体运营商的失职排名。

路由器聚类很有技巧，却并非权威登记。私有 ASN、共享地址以及由一方为互联链路提供地址，都会让接口归属变得含混。带有公开 ASN、且所有观测接口都映射到同一 AS 的设备，可能是内部路由器，也可能是使用本方地址的边界设备。团队保留“无法分类”一栏，正是为了不把拓扑盲区伪装成确定性。

研究还排除了 1,627 个疑似蜜罐地址：它们在回应中照抄扫描器使用的 ASN 和 BGP 标识符，同时开放大量端口，并被 Shodan 标记为蜜罐。这去除了一类明显的误报，却不能替代其余样本的真实设备核验。

2 月的快照不是 9 月的现状

扫描只在 2 月 2 日执行一次，观测点位于欧洲，而且不包括 IPv6。来源地址、网络路径、维护时段、设备版本和过滤策略都会改变可见性。2 月出现的设备今天可能已经关闭端口；对该观测点执行过滤的设备也可能从未进入样本。

因此，9 月的新闻点是 APNIC 62 首次获得了区域呈现，而不是 9 月又进行了一次扫描。APNIC 没有执行这项测量，也不控制这些路由器。它在这里的价值，是让研究数据与能够解释或修改配置的运营人员相遇。

公开解释仍然稀少。论文称研究者联系了 12 家运营商，仅记载一项实质回应：对方确认 IP 到 AS 的映射，但认为 BGP 的默认协议行为已为 179 端口提供足够保护。研究者还提出，复杂的厂商加固说明或软件限制也可能是原因。一条回应无法解释其余样本；没有回应也不能证明过失。

扫描结束之处，才是问责记录的起点

逐地址证据应保持私密。每个案例可以记录扫描时间、观测点、探针版本、TCP 与 BGP 响应类型、接口到路由器和 AS 的推断方法及置信度；随后记录正确的路由安全或滥用联系人、送达时间，以及对错误归属的修正。

运营商定性是核心字段：有意且范围受限的例外、过期 ACL、过滤缺陷、平台不支持、已退役接口、错误归属，或其他有证据的原因。需要整改时，还要写明责任人和截止日期。复测应尽量复现原条件；如果按来源过滤可能影响结果，就增加第二个观测点。

公开层只需给出版本化汇总：通知送达数、确认数、完成定性数、接受纠错数、已关闭暴露数和待复测数。这样既能检验一个醒目数字是否变成修复行动，也不会把研究数据变成攻击者的侦察目录。

来源