《互聯網域間路由系統的關鍵挑戰與技術創新白皮書》發布
責編：gltian ｜2025-07-21 15:54:17互聯網路由系統安全是保障網絡空間安全的重要基礎。邊界網關協議BGP作為互聯網域間路由系統的核心協議，承擔著全球網絡互聯互通與資源共享、協作治理的重要使命。然而，由于邊界網關協議BGP最初的設計缺陷，導致域間路由系統在安全防護、路由管理和可擴展性等方面正面臨嚴峻挑戰。近年來，學術界與產業界圍繞BGP安全增強、路由管理優化以及可擴展性提升等方向展開了廣泛而深入的研究，涌現出一系列具有代表性的創新技術與方案。這些成果各具優勢，在一定程度上推動了域間路由系統的演進。然而，面對日益復雜的網絡環境和不斷增長的安全需求，現有技術仍難以全面滿足實際應用要求，尚存在諸多亟待解決的問題與挑戰。
針對這些問題和挑戰，清華大學、中關村實驗室、中國電信、中國聯通、中國移動、新華三、互聯網域名系統國家地方聯合工程研究中心等單位密切合作，系統分析了當前域間路由系統所面臨的關鍵安全威脅、管理困境以及可擴展性瓶頸，總結了近年來域間路由優化方案的研究進展及工業界的實踐經驗，并對域間路由系統的未來發展方向進行了展望。為了讓研究結果能服務于互聯網業務實踐，我們撰寫了白皮書，我們希望白皮書能為推動域間路由系統在安全演進與協作治理方面提供切實有益的借鑒，為構建更安全、更富韌性的全球路由體系做出貢獻。
01
域間路由協議概述
邊界網關協議（BGP）作為互聯網域間路由系統的核心協議，承載著全球網絡互聯互通與共享共治的重要使命。作為互聯網的“外交協議”，BGP是一種承載著互聯網政治、經濟與技術的復雜機制，盡管BGP在三十多年演進中證明了其關鍵價值，但其原始設計缺陷與新時代需求的沖突也日益尖銳。
BGP協議的演化史是一部互聯網規模擴張與網絡需求升級的縮影，BGP演進歷程如圖1所示。從1989年BGP-1的雛形初現，到如今支持多協議的BGP4+擴展體系，其每一次更新都直指當時網絡發展的核心痛點，但同時也為后續挑戰埋下了伏筆。
BGP協議在支撐互聯網擴張的同時，其設計理念與現實需求的矛盾逐漸暴露。隨著安全威脅、業務復雜性和網絡規模的同步升級，BGP的原始架構已難以適應現代需求，形成了安全、管理和可擴展三重挑戰交織的困局。
圖1 BGP演進歷程
02
域間路由系統的關鍵挑戰剖析
2.1 安全威脅：互聯網的“無鎖之門”
在全球互聯的數字時代，互聯網域間路由系統正面臨著嚴峻的安全挑戰，其核心安全威脅可歸納為以下兩個方面：由域間路由協議最初的設計缺陷導致的路由劫持、路由泄露和源地址偽造的路由安全問題，以及由信任模型缺失導致的路由安全和路由策略協作優化的困境。
2.2 管理困境：人工依賴的“協同困境”
BGP的核心功能涵蓋路徑選擇、策略實施、路由更新驗證及網絡穩定性維護，并涉及商業關系與路由策略考量，以確保全球網絡的高效穩定運行。BGP的管理面臨多重挑戰，主要包含人為的錯誤配置可能引發的蝴蝶效應，以及異常檢測與恢復的困境。
2.3 可擴展性瓶頸：新興需求的“承載困局”
BGP的可擴展性直接關乎全球網絡基礎設施的穩定性與效率，其可擴展性挑戰主要體現為路由規模膨脹導致的性能瓶頸，以及協議語義僵化對新興業務需求的適應性不足。
03
域間路由優化方案分析
3.1 域間路由安全增強方案分析
近年來，各國政府、學術界和工業界都在積極探索和推動更安全的互聯網域間路由擴展方案，主要包括面向路由源驗證的安全擴展方案和面向路由路徑驗證的安全擴展方案。此外，還提出了區域化路由安全方案Trust Zones，以及在全球范圍內也發起了路由安全倡議項目MANRS。
面向路由源驗證的安全擴展方案
資源公鑰基礎設施（RPKI）通過公鑰證書體系實現IP前綴與自治系統編號的加密驗證，幫助路由器檢驗BGP報文的真實性，實現路由起源驗證（ROV）。
下一代互聯網真實源地址驗證體系結構（SAVA）由中關村實驗室、清華大學吳建平院士團隊提出，并先后在IETF成立了SAVI和SAVNET工作組，致力于解決互聯網接入端、域內和域間的驗證問題，推動互聯網真實源地址驗證體系結構技術創新和標準的制定。
圖2 下一代互聯網真實源地址驗證體系結構SAVA
面向路由路徑驗證的安全擴展方案
BGPsec擴展方案通過基于RPKI的數字簽名機制，在自治系統間逐跳構建了從路由源到目的地的安全驗證鏈，以抵御路徑劫持等攻擊行為。但該方案要求整個AS路徑的完全部署，且計算開銷大，因此部署進度緩慢。
自治系統供應商授權（ASPA）是基于自治系統間商業關系的BGP路徑驗證方案，通過客戶AS簽名的供應商列表驗證路徑合法性，提升了驗證能力，但可能泄露商業關系造成新的安全風險。
基于轉發承諾的安全域間路由協議（FC-BGP）是由清華大學徐恪教授團隊提出的新式BGP路徑驗證方案。該方案兼具高度靈活性和可部署性，能夠對BGP路徑宣告進行逐跳驗證，同時實現隱私保護，并支持跨平面驗證。FC-BGP有效解決了現有RPKI方案因部分部署導致的信任鏈斷裂問題，避免了其在安全性上的不足，并克服了BGPsec無法驗證流量是否嚴格按照宣告路徑轉發的缺陷，具有更強靈活性和可部署性。
圖3 FC-BGP與BGPsec路徑驗證對比
區域化路由安全方案——Trust Zones
David Clark和KC Claffy提出了以區域為單位建立“信任域”（Trust Zones）的策略，以應對全球協同部署困難、激勵不對稱等問題。信任域由一組有共同安全承諾的自治系統組成，這些成員通過合作形成局部可信環境，從而提升整體的安全性。
國際路由安全倡議項目——MANRS
MANRS是由國際互聯網協會ISOC提出的一項加強國際間互聯互通路由安全的全球倡議項目。2014年11月，CERNET作為發起成員加入MANRS。此外，CSTNET、國家新型互聯網交換中心（杭州）、中國聯通、中國電信、華為等已先后加入該計劃，共同為提升全球網絡的安全性和運行效率而努力。
總體來看，現有方案在一定程度上提升了BGP協議的安全性。然而，從部署進展與實際應用效果來看仍面臨諸多挑戰。在信任模型、部署成本、協議兼容性及策略靈活性等方面依然存在明顯短板。
3.2 域間路由管理優化方案分析
當前，各方正積極推動域間路由管理體系向更高程度的智能化與自動化轉型，以應對誤配置、異常檢測和恢復難等挑戰。
學術界域間路由異常檢測方法
學術界在基于人工智能技術的路由異常檢測方面，通過智能算法和大數據分析，能夠更加高效、精準地識別并應對網絡中的異常行為。例如基于語義驅動的方法提出“路由角色”概念，構建BGP語義感知嵌入模型（BEAM），通過網絡表示學習，將自治系統嵌入高維向量空間，保留關鍵路由屬性，動態表示其角色并量化路徑變化，精準判斷路由異常，系統的工作流程如圖4所示。
圖4 語義驅動的互聯網路由異常檢測系統流程
產業界域間路由異常檢測系統
產業界在路由異常檢測方面進行了大量的實踐，包括美國的RouteViews、CAIDA，歐洲的RIPE RIS等路由數據采集平臺，以及ThousandEyes、Noction IRP等路由異常監測與管理平臺。此外，中國電信、中國連通、中國移動三大運營商針對路由安全面臨的多維度挑戰，構建了路由安全防護和異常快速響應的體系化解決方案。
現有的異常檢測方案也存在著局限性，盡管這些方案或平臺能夠提供實時數據，并幫助檢測和分析路由異常，但大多依賴于歷史路由數據，且受限于協議層面的約束，發生異常事件后需要一定時間才能恢復。因此，仍需進一步提升路由異常檢測的智能化和自動化處理能力，以有效應對復雜多變的大規模網絡環境。
3.3 域間路由擴展性提升方案分析
面對BGP協議在路由規模膨脹與協議僵化兩方面的可擴展性挑戰，業界提出了三類優化方案。
路由規模優化方案
路由聚合通過壓縮路由表項與降低更新頻率減少路由設備存儲與計算負載。CISCO提出的LISP（Locator/ID Separation Protocol）方案，通過解耦主機標識與位置標識，構建雙層路由空間，從而壓縮路由表規模。然而，上述架構級改進需突破現有協議棧和硬件生態，面臨部署激勵和兼容性挑戰。
圖5 LISP協議
協議適配擴展方案
為解決BGP的協議固化問題，由波士頓大學、威斯康星大學麥迪遜分校和卡內基梅隆大學聯合設計的D-BGP，通過“協議透傳”和“多協議容器”機制，實現多協議并存，提升擴展性，但仍存在協議兼容，增量部署的局限性。
未來架構探索方案
SCION將互聯網劃分為多個隔離域（ISD），實現安全、高可用的多路徑通信，被IETF認為是基于新型路徑感知網絡的“未來互聯網提案”。美國國家科學基金會（NSF）資助的NDN、MobilityFirst、NEBULA與XIA等方案也為未來互聯網架構提供了思路。
圖6 SCION架構
上述方案從不同層面優化BGP的擴展性，但難以單獨應對其結構性困境。未來，隨著SDN和AI技術的滲透，BGP可能逐步演化為一個更加智能化和自適應的高擴展性協議。
04
未來展望
在未來網絡架構的演進過程中，域間路由系統將持續承擔基礎性、全局性的戰略支點作用。展望未來，我們認為推動下一代域間路由技術進步應聚焦于以下三個核心方向：
（1）標準引領。通過國際協作構建充分開放的協議標準演進體系；
（2）技術革新。打造具備內生安全、智能協同和適應未來的下一代域間路由系統；
（3）生態協同。以政策激勵與漸進式部署策略，推動技術實際應用落地。
2022年中國提出的《攜手構建網絡空間命運共同體》倡議，為下一代域間路由協議的演進提供了重要參考。吳建平院士在2025年世界互聯網大會亞太峰會主論壇上指出，加強網絡空間安全技術的科技創新，數字時代的安全發展根基就會越來越穩，要以開放的姿態積極參與數字時代的交流和合作。通過構建更加公平合理、開放包容、安全穩定、富有生機活力的網絡空間，人類才能共同擁抱更加美好的未來。
白皮書獲取鏈接?互聯網域間路由系統的關鍵挑戰與技術創新.pdf