摘要

  • GTSM 通过 IPv4 TTL 或 IPv6 Hop Limit 检查数据包的拓扑距离；它不认证发送者，也不能替代对 BGP TCP 会话的密码学保护。
  • 检查结果取决于配置的跳数半径、入站过滤、对直连邻居的信任以及隧道行为；拓扑改变后，相同数字可能具有不同含义。
  • 对等体保证需要一份联结式回执：观察到的跳数、接口与隧道、获批邻居、TCP-AO 密钥状态、会话证据以及各项控制的责任人。

交叉连接刚刚迁移。两端 BGP 路由器仍以 TTL 255 发送控制报文，每个入站报文也都通过了 GTSM 检查。变更记录于是写道：远端对等体已经通过认证。

这个结论超出了证据。检查只能表明报文在允许的跳数范围内到达。它本身不能证明哪台获授权设备生成了报文，不能排除同一链路上的主机伪造报文，也不能说明隧道是否改变了表面距离，更不能证明 TCP 段携带有效的密码学认证码。会话可以正常，GTSM 也可以完全按设计工作，但“已认证”仍然没有得到支持。

RFC 4271 把 BGP 置于 TCP 之上。两个系统先建立 TCP 连接，再交换 BGP OPEN、UPDATE、KEEPALIVE 和 NOTIFICATION 消息。这里至少有四个不同问题：IP 报文是否从合理距离到达；TCP 段是否属于受保护连接；配置的 BGP 邻居是否接受会话；邻居背后的组织是否仍有交换路由的权限。一个绿色状态不能同时回答四个问题。

RFC 5082 所定义的 GTSM 利用一个简单的不对称性。直连协议对等体用最大 TTL 或 Hop Limit 255 发送报文。报文每被路由器转发一次，数值至少减少一次；因此，期待 255 的接收端可以丢弃看起来来自更远位置的流量。若分类发生在接近线速硬件的位置，还可防止伪造控制流量消耗稀缺的控制面资源。

这是一项有价值的安全控制。它缩小攻击面，并在昂贵的协议处理前提供低成本的拓扑测试。RFC 7454 因而建议在直连 BGP 对等会话上使用 TTL 安全机制。

同一标准也清楚写出了边界：GTSM 不能替代认证。RFC 5082 指出，它不能防御内部人员或在线链路攻击者实施的伪造与重放。被攻陷的直连设备足够近；可信二层网段中的攻击者也足够近；从获准隧道端点产生或解封装的报文同样可能显得足够近。通过检查证明的是配置意义上的邻近性，而不是作者身份。

多跳场景让这一区别更加明显。GTSM 可以为 loopback 或 multihop 会话接受一个配置的 TTL 半径，而不要求恰好一跳。这可能是正确设计，但每多接受一跳，就扩大了“可能发出合格报文”的位置集合。拓扑变化即使不改变阈值，也会改变阈值的含义。

隧道又增加了一层不确定性。RFC 5082 专门分析多种 IP 和 MPLS 情形，因为对等体看到的内部 TTL 取决于封装方式、TTL 传播模式，以及解封装节点是否就是协议终点。隧道的完整性与终止位置因此也是证据的一部分。迁移后出现 GTSM 告警，可能揭示路径变化；检查通过却不能给隧道颁发安全证书。

TCP 段的密码学认证回答的是另一个问题。RFC 5925 为 BGP 这样的长连接定义 TCP-AO。它使用受管理的主密钥元组与每连接流量密钥，对与连接绑定的材料计算消息认证码；序列号扩展则在普通 TCP 序列空间回绕时抵御长连接中的重放。有效的 TCP-AO 结果可以支持“该段由持有此连接获准密钥材料的一方生成”。

TCP-AO 也不会消除治理工作。运营者必须说明哪个密钥对应哪段对等关系，在两端安装密钥，规定有效期，协调轮换并删除过期材料。使用本应退役的密钥得到有效 MAC，在密码学上可能自洽，在运营上仍未获授权。反之，GTSM 通过而 TCP-AO 缺失或失败时，绝不能把邻近性升级为身份。

这些控制组合使用最强，因为它们以不同方式失效。GTSM 提前过滤不合理的远端流量，入站过滤减少源地址伪造，TCP-AO 认证 TCP 段，BGP 邻居配置把会话绑定到预定路由关系。任何一项都不应借用另一项的名称。

来源