摘要

  • Cloudflare 审视了委内瑞拉的一次 BGP 异常，并指出 AS8048，即 CANTV，似乎把通过 AS6762 学到的路由向 AS52320 重新传播，相关前缀由 AS21980，也就是 Dayco Telecom 起源 [1]。
  • Low Orbit Security 列出了公开 BGP 路径样例，其中 AS8048 多次出现在与 200.74.224.0/20 地址空间相关的路径里。这些样例是路由证据，不是完整用户影响清单 [2]。
  • APNIC 后来提醒，许多公开检测到的路由泄漏可能很短暂，甚至与 BGP 收敛过程有关。因此持续时间、传播范围和实际流量选择都必须进入判断 [3]。
  • RPKI 路由起源验证能处理“起源 ASN 错误”的场景。但在此类事件中，起源可能正确，错误在路径关系。更相关的控制是显式导入/导出策略、BGP Roles、Only-to-Customer、ASPA 和保留的路由遥测 [1][5][6][7][8]。
  • 本文不声称 CANTV 制造了全国性故障。本文的问题是：CANTV 及相邻网络应当拿出哪些证据，证明路由为什么被接受、为什么被导出、何时撤回、以及同类路径为何会在未来 fail closed。

发生了什么

公开记录来自 Cloudflare Radar 和 BGP 收集器。Low Orbit Security 指出，一些委内瑞拉前缀在路径中出现了 AS8048，需要解释。Cloudflare 随后把网络机制说得更具体：相关路由似乎通过 AS6762, Sparkle，被 AS8048 传播到 AS52320, V.tal GlobeNet，部分前缀的起源是 AS21980 [1][2]。

对非专业读者来说，AS path 就是一条路由声明中列出的网络链。正常路径应当反映真实的商业和技术关系。客户通常可以把自己的路由和自己客户的路由发给上游。一个网络不应把从有限关系里学到的路由，当成可向更广泛关系传播的普通路由。越过这种关系边界，就会形成路由泄漏 [5]。

证据边界非常重要。Cloudflare 称其为路由泄漏，但没有把它写成蓄意拦截、全国停摆或完整影响证明。APNIC 进一步指出，公开检测器看到的某些泄漏可能只是短时收敛现象。这不是让事件变得无关紧要，而是要求文章先确认路径、持续时间和传播范围，再讨论影响和意图。

为什么重要

CANTV 是国家级电信运营商，不是普通网站。它的路由策略可能影响企业、公共机构、银行、区域服务商和最终用户。一个过宽的导出规则可能让局部错误越过原本的关系边界。即使最终影响有限，运营商仍应当解释：哪条路由被接受，哪条路由被导出，谁收到告警，修复如何验证。

“没有人证明损害”不是足够的标准。关键网络运营商需要证明运行中的路由状态与客户、对等和上游关系相一致。它还需要把公开观测、技术推断和私有日志缺口分开。

技术层

RPKI Route Origin Validation 用来验证某个 ASN 是否有权起源一个前缀 [8]。在本事件类别里，起源 ASN 可以仍然正确。问题发生在路径中间。RFC 8212 要求显式导入和导出策略，RFC 9234 描述 BGP Roles 与 Only-to-Customer，ASPA 则试图提供供应商关系证据 [6][7]。这些机制不是自动答案，但它们贴近此类关系泄漏的控制面。

一次可信的技术收尾应包含前缀、BGP 会话、导入/导出策略、关系角色、首次和末次观测时间、RouteViews 或 RIPE RIS 传播、是否有流量选择该路径、撤回时间、策略变更和复发测试。没有这些材料，公众无法判断它只是短暂收敛信号，还是更严重的策略缺陷。

谁可能受影响

公开来源列出的是前缀和 AS 路径，不是完整用户名单。BGP 收集器能看到一条路由，并不代表许多网络真的用它转发流量。但如果关键网络选择了这条路径，一小部分用户也可能受到影响。正确调查需要把路由、流量、丢包、时延、客户报告和操作时间线对齐。

下一步看什么

应关注 AS8048 泄漏告警是否复发，是否再次出现 AS6762、AS52320、AS23520 或 AS21980 的相似路径，CANTV 或相邻网络是否披露更严格的导出过滤、BGP Roles、OTC、ASPA 准备、路由数量告警和独立复核。

如果相同路径形态复发、告警被忽视，或运营商无法把公开收集器数据与内部日志对齐，风险会升高。如果运营商公布范围清晰的原因、短持续时间、有限流量选择、干净撤回、已测试的策略修复和外部观测的稳定期，风险会下降。

来源

  1. https://blog.cloudflare.com/bgp-route-leak-venezuela/
  2. https://loworbitsecurity.com/radar/radar16/
  3. https://blog.apnic.net/2026/05/25/ephemeral-leaks-and-automated-bgp-route-leak-detection/
  4. https://fastnetmon.com/2026/01/09/venezuelas-routing-anomaly-and-the-bigger-problem-with-bgp-security/
  5. https://www.rfc-editor.org/rfc/rfc7908
  6. https://www.rfc-editor.org/rfc/rfc9234
  7. https://www.rfc-editor.org/rfc/rfc8212
  8. https://www.rfc-editor.org/rfc/rfc6811