信而泰BGP Flow Spec防攻击测试解决方案

随着互联网行业的迅猛发展，越来越多的业务都从线下走到了线上。互联网在给大家生活带来便利的同时也面临着防护自身安全的各种挑战。

DoS/DDoS攻击是对网络安全的重大威胁，攻击者通过多个控制端控制成千上万的攻击设备对同一个目的地址、网段或服务器同时发起流量攻击，导致网络拥塞或服务器CPU占用过高无法提供服务。

现在的路由器除了具备流量转发的功能外，还可以通过BGP Flow Specification对流量进行分类、限速、过滤和重定向等操作，这对防御DoS/DDoS攻击非常重要。

目前，Renix软件平台支持BGP Flow Spec的相关功能测试。本文的主要内容也是说明Renix对于BGP Flow Spec测试的支持度以及相关测试操作

一、BGP Flow Specification介绍

先简单介绍下什么是BGP Flow Specification。

BGP Flow Specification（简称BGP Flow Spec）是一种用于防止DoS（Denial of Service）/DDoS（Distributed Denial of Service）攻击的方法，可以提高网络安全性和可用性。

传统预防DoS/DDoS攻击的方法有两种，分别是流分类技术和对攻击流量重定向，但是这两种方法都存在缺陷，如表1所示。

表1：传统预防DoS/DDoS攻击方法的比较

预防方法	方法概述	缺点
流分类技术	在设备上手工配置流量匹配规则和相应的QoS策略，用来缓解DoS/DDoS的攻击。	该方法存在如下缺点： 无法保证防御攻击的实时性，需要在多个网络服务供应商之间进行协调，以标识出攻击源。 维护工作难度大，需要手工修改流量过滤策略。
对攻击流量重定向	通过路由策略修改指向受攻击目标的路由的下一跳： 将下一跳设置为一个黑洞，将流量丢弃。 将下一跳设置到一台流量清洗设备上，对攻击流量进行清洗，保护正常的业务流量。	该方法存在如下缺点： 流量过滤的匹配条件单一，即只能通过目的IP地址进行过滤。 控制流量过滤的信息和转发流量的路由信息混合在一起，增加维护难度。

★BGP Flow Spec可以解决上述缺点：

●可维护性好。使用标准协议定义的BGP网络层可达信息类型来传递流量过滤信息，因此路由信息和流量过滤信息独立存在。

● 提供丰富的过滤条件和处理动作，可以更有针对性地实现对流量的控制。

★此外，BGP Flow Spec的应用可以大大提高用户网络的安全性与可靠性，具体如下：

■实时监控：BGP Flow Specification可以以定时采样的方式对攻击流量进行快速响应，实现对攻击流量的控制。

■预先防护：根据常见的攻击流量的特点，手工部署防护策略，使常见的攻击流量没有机会对用户网络造成危害，防患于未然。

■降低成本：不需要在每台设备上单独建立流量控制策略，提高可维护性。

■限制攻击范围：BGP Flow Specification支持跨域传播功能，可以在尽可能靠近攻击源的设备上消除攻击流量对网络的危害，大大降低了攻击流量对网络的