YD/T 4621-2023 标准解读

一、标准适用范围与执行边界

• 适用主体：互联网服务提供商（ISP）、国家级骨干网运营商、自治系统（AS）持有者、BGPsec设备制造商及网络安全服务商。
• 适用场景：
  1. 跨AS边界部署BGPsec协议，实现路由路径真实性验证；
  2. 在AS迁移过程中保障BGP路由更新的完整性与防篡改能力；
  3. 新建或升级支持BGPsec的边界路由器（BR）和路径验证系统。
• 排除条件：
  1. 不适用于未启用资源公钥基础设施（RPKI）的网络环境；
  2. 不覆盖非IPv4/IPv6单播路由的BGPsec扩展应用；
  3. 不强制要求私有AS内部全链路BGPsec签名，仅限于外部对等体（eBGP）会话。

二、核心实操技术要求

• BGPsec会话建立要求：
  1. 必须基于TCP端口179建立eBGP对等连接，并启用BGPsec Capability协商；
  2. 双方需交换BGPsec证书链，验证AS公钥合法性，使用SHA-256及以上哈希算法；
  3. 每跳AS必须对其发出的UPDATE消息中Next AS字段进行数字签名，签名算法支持ECDSA-P256或RSA-2048。
• AS迁移期间协议支持要求：
  1. 迁移源AS与目标AS须预先在RPKI中发布重叠期有效ROA（Route Origin Authorization），有效期不少于72小时；
  2. 迁移过程中，原AS与新AS的BGPsec签名路径必须可追溯，路径段签名不得中断；
  3. 过渡期内允许双AS标识共存，但每条路由更新必须明确标注当前签发AS编号。
• 密钥管理规范：
  1. 私钥存储须符合FIPS 140-2 Level 2或等效安全标准，禁止明文保存；
  2. 密钥轮换周期不得超过365天，紧急情况下支持72小时内完成吊销与替换；
  3. 密钥撤销信息通过CRL或OCSP方式实时同步至所有BGPsec对等体。
• 性能与兼容性指标：

  项目	最低要求
  BGPsec UPDATE处理延迟	≤50ms per message
  签名验证成功率	≥99.9%
  协议兼容性	支持RFC 8205及YD/T 4621-2023附录A定义的TLV格式

• 验收测试流程：
  1. 使用标准化测试工具（如BGPSec Testbed v3.0）模拟AS迁移场景；
  2. 注入伪造路由更新，验证接收端能否正确拒绝无有效签名或路径断裂的消息；
  3. 记录连续72小时运行日志，确认无签名失败、密钥同步异常或会话中断事件。

三、典型业务场景应用案例

• 案例一：省级ISP向国家级骨干网迁移

  某省运营商AS 65001因架构整合需迁移至国家级AS 4815。依据YD/T 4621-2023，在迁移前72小时，双方在RPKI中联合发布包含IP前缀10.20.0.0/16的ROA，声明AS 65001与AS 4815均可合法宣告该路由。迁移当日，原出口路由器持续对路径签名至AS 4815，新AS边界路由器接续签发后续跳段。全程通过BGPsec路径验证系统监控签名连续性，未发生路由劫持告警。

• 案例二：跨国云服务商多宿主AS切换

  某云服务商在AWS（AS 16509）与阿里云（AS 45102）间实施AS迁移。为确保客户流量平滑过渡，启用BGPsec双路径并行机制：旧AS继续签名至T+48小时，新AS同步启动签名并广播更高本地优先级。下游运营商配置BGPsec策略优先选择完整签名路径，自动完成流量切换。操作期间，所有第三方监测节点均捕获到连续有效的BGPsec路径链。

• 案例三：城域网扩容中的AS分裂

  某城域网将单一AS 65100拆分为AS 65101（核心区）与AS 65102（接入区）。根据标准第5.4条，分裂前在RPKI中注册两个子AS对原IP块192.168.0.0/15的授权。分裂后，核心路由器以AS 65101身份对通往AS 65102的路径段进行签名，接入侧设备验证签名后转发。运维平台通过BGPsec日志审计模块确认各段签名时间戳连续，无中间人攻击风险。

四、实操难点与解决方案

• 难点一：RPKI数据同步延迟导致验证失败
  1. 问题表现：ROA更新后平均延迟15分钟生效，造成BGPsec会话短暂中断；
  2. 解决方案：部署本地RPKI缓存服务器（如rpkicd），设置主动拉取间隔≤5分钟；关键迁移操作前手动触发全量同步。
• 难点二：老旧路由器不支持BGPsec硬件加速
  1. 问题表现：软件签名导致UPDATE处理延迟超过100ms，影响收敛速度；
  2. 解决方案：在迁移过渡期采用“混合模式”——仅对核心对等体启用BGPsec，边缘连接仍使用传统BGP+ROV；分阶段替换为支持IPSec/NP加密引擎的新型BR设备。
• 难点三：跨运营商BGPsec策略不一致
  1. 问题表现：对端AS要求RSA签名而本方仅部署ECDSA，导致协商失败；
  2. 解决方案：依据标准附录B建立BGPsec互操作清单，在互联前交换支持算法列表；配置多算法并行生成器，按对端能力动态选择签名方式。
• 难点四：迁移期间路径签名断裂
  1. 问题表现：中间AS未启用BGPsec，形成签名断点；
  2. 解决方案：在迁移规划阶段绘制全路径BGPsec支持拓扑图；对非支持AS插入BGPsec代理网关（如OpenBGPD+SECEP模块），代为完成路径签名续接。
• 难点五：密钥轮换引发会话重置
  1. 问题表现：更换私钥后未及时通知对等体，导致签名验证失败；
  2. 解决方案：建立密钥生命周期管理平台，提前7天推送变更通知；启用双密钥并行机制，在新旧密钥重叠期同时生成签名，保障平滑过渡。