Summary

  • Bryton Herdes 团队在 AS13335 的 BGP 邻居会话上发送自有测试前缀，却把另一个自有号码 AS402542 放在 AS_PATH 最前端。受测十四家 Tier‑1 网络中，七家接受了这条身份不符的路由。
  • 普通 eBGP 邻居可以核对路径首个 AS 与会话邻居号码；透明的交换点路由服务器需要按邻居单独豁免。RFC 7947 把这个例外写得很清楚。

车从 AS13335 的门口开进来，运单第一栏却填 AS402542。路由器知道车从哪里来，为什么还让运单过关？Bryton Herdes 在 2026 年 10 月 20 日的 NANOG 98 演讲中，把 BGP 安全问题缩成了这一格核对。团队的原始测试报告列出结果：十四家受测 Tier‑1 网络，七家拒收，七家接受并安装了路由。

原讲稿展示了生成过程。团队从 AS13335 的会话发出自己的前缀，在导出策略里把 AS402542 插在路径前头。路径末端的起源号码依然正常。ROV 检查的是前缀和起源 ASN 的授权；最左边写的是谁把路由交给当前邻居。把路径缩短后，ASPA 也少了可供比对的上游关系。最直接的检查就在接收端：会话邻居是谁，路径第一位是否是它。

这是一场主动设计的探针，不是一次已发生的外部劫持。团队用自有前缀和自有 ASN 测试了指定邻居。Herdes 还写到，他们原想持续发探针，后来发现部分网络收到异常路径会重置 BGP 会话，便放弃这个方案。研究自身也得服从网络运行的代价。

“默认关闭检查”常有一个漂亮理由：交换点路由服务器。它透明转发路由，通常不把自身 ASN 写进 AS_PATH。RFC 7947要求客户端能在这类邻居上关闭首个 AS 检查。这个例外应落在具体的路由服务器会话；普通外部邻居继续核对。Herdes 讲稿里的实现表也显示，各家设备默认值不同。采购清单无法替代每条会话的生效配置。

操作员可以把外部邻居分成普通对等体和透明路由服务器，逐条记录首个 AS 的检查状态、豁免理由和接收路由结果。受控测试还应观察异常更新是否导致会话重置。路由的起源验证回答“末端是否获准”；首个 AS 核对回答“谁刚把它递给我”。七家网络在这道门上已经给出了答案。

来源：NANOG 98 会议页 · Herdes 原讲稿 · 团队原始测试报告 · RFC 7947。