Loading... ## **互联网互联的物理本质与逻辑抽象** 互联网在全球范围内的运作并非依赖于单一的中心化控制，而是由数以万计的独立网络通过标准化协议相互连接而成的集合体。从最基础的物理属性来看，互联网是电子、光子在物理介质中流动的路径集合。然而，为了实现高效的信息传输，这种物理上的连接必须被抽象为逻辑上的管理单元，即自治系统。自治系统是由单一行政实体管理的一组路由器的集合，这些路由器在内部运行统一的路由策略，并通过边界网关协议与外部世界交换可达性信息。 在探讨伊朗这一特定地理区域的路由动态时，必须首先理解其基础设施的原子构成。根据互联网分配机构的定义，每一个自治系统都被赋予一个唯一的自治系统编号，这构成了互联网路由层级的基本身份标识。在伊朗，基础设施的控制权高度集中。通信基础设施公司作为国家级的骨干网管理实体，负责管理通往全球互联网的所有国际网关，这种架构直接决定了伊朗在国际路由表中的表现形式。 通过对路由数据的解构，可以将互联网的连接性拆解为两个维度的基本要素：一是物理上的光缆、交换机和路由器；二是逻辑上的路由协议、地址前缀和路径属性。功能则产生于这两者的相互作用。当一个自治系统向其邻居宣告一个网络前缀时，它实际上是在承诺其拥有将流量送达该地址空间的能力。这种承诺在当前的协议设计中是基于信任的，而这种信任模式的局限性正是后续所有安全问题的根源。 ### **互联网路由系统的基本元素构成** 为了深入理解路由系统的功能，有必要对其内部元素进行详细的术语化罗列。路由系统不仅是硬件的堆叠，更是复杂数据结构与状态机的动态集成。 | 核心元素 | 术语定义 | 职能描述 | | :---- | :---- | :---- | | 自治系统 (AS) | Autonomous System | 由单一技术管理实体控制的网络集合，是互联网路由的基本单位 1。 | | 自治系统编号 (ASN) | AS Number | 标识自治系统的唯一 16 位或 32 位数字标识符 2。 | | 网络前缀 (Prefix) | Network Prefix | 一组 IP 地址的 CIDR 表示法，定义了网络的可达范围 2。 | | BGP 发言者 | BGP Speaker | 运行边界网关协议软件的路由器，负责与其他 AS 交换路由信息 4。 | | 路由信息库 (RIB) | Routing Information Base | 存储从对等体收到的原始路由更新、本地处理后的路由及待宣告路由的数据库 6。 | | 转发信息库 (FIB) | Forwarding Information Base | 从 RIB 导出的、优化后的硬件查找表，用于在数据平面进行实际的数据包交换 6。 | 这些元素之间的相互作用构成了路由功能：BGP 发言者建立连接后，通过交换路径属性来构建全球网络的拓扑视图。当一个 AS 发生变化（如链路断开或新网络上线）时，BGP 发言者会生成更新消息，这些消息在 AS 之间逐跳传播，直到全球所有相关的 RIB 都同步了这一变化。 ## **伊朗国家网关的系统架构与运作逻辑** 伊朗的互联网基础设施呈现出明显的层次化特征，其核心是由通信基础设施公司主导的集中式国际网关。TIC 作为伊朗信息和通信技术部的政府主体，负责创建、开发、管理和维护该国的通信骨干网 8。这种架构在逻辑上形成了一个“漏斗”，所有进出伊朗的国际流量都必须经过 TIC 控制的自治系统，主要标识为 AS12880 和 AS49666 10。 ### **集中式网关系统的关键组件** 伊朗的路由系统并非孤立存在，而是由多个相互依存的实体构成的复杂生态。 1. **国家通信骨干网 (TIC)**：作为唯一合法的国际出口点，TIC 连接着多个国际运营商，如 TI Sparkle 和 Delta Telecom 11。它不仅提供带宽分配，还管理着关键的对等互联服务和国家互联网交换中心 (NIX) 8。 2. **国家信息网络 (NIN)**：这是一个基于物理光纤骨干网构建的逻辑隔离网络。NIN 的设计初衷是实现国内流量与国际流量的物理和逻辑分离，从而在保证国内基本数字经济（如银行、电子商务）运行的同时，实现对国际接口的精准控制 12。 3. **分层 ISP 结构**：在 TIC 之下，存在着诸如伊朗电信公司 (TCI) 以及 Asiatech、Shatel 等私营 ISP 13。这些运营商通过 TIC 获取国际互联能力，并作为下游节点向最终用户提供接入服务。 这种系统内部的相互作用机制如下：当最终用户发起国际请求时，流量首先进入本地 ISP 网络，随后被路由至 TCI 或其他骨干节点，最终汇聚到 TIC 的国际网关。TIC 随后根据 BGP 路径选择算法，将流量发送至其国际对等体（如通过阿曼电信或俄罗斯电信） 15。 ### **伊朗国际互联路径示意图**  ```mermaid graph TD subgraph Global_Networks G1[Global ISP 1] G2[Global ISP 2] G3[Global ISP 3] G4[Omantel] end subgraph National_Gateway_TIC TIC_AS12880[TIC AS12880] end subgraph Domestic_Tier1 TCI AS_TECH end subgraph End_Users U1[Enterprise] U2[Consumer] end G1 --- TIC_AS12880 G2 --- TIC_AS12880 G3 --- TIC_AS12880 G4 --- TIC_AS12880 TIC_AS12880 --- TCI TIC_AS12880 --- AS_TECH TCI --- U1 AS_TECH --- U2 ``` ## **系统核心矛盾：信任机制与安全脆弱性** 从协议设计的最底层观察，BGP 的核心矛盾在于“隐含信任”与“开放网络”之间的不兼容。在 BGP 的原始设计中，任何对等体发送的关于网络前缀的路由通告都被默认为真实有效的 17。这种设计的初衷是为了提高路由分发的效率和灵活性，但在当前的全球对抗性环境下，这种缺乏验证的机制成为了系统的阿喀琉斯之踵。 ### **异常行为的根源分析** 路由异常主要分为两类：路由劫持和路由泄露。这两者虽然在技术表现上有所不同，但其本质都是因为 BGP 无法核实宣告者的身份及其对地址空间的管辖权。 1. **路由劫持 (BGP Hijack)**：当一个 AS（攻击者或失误者）宣告了它并不拥有的网络前缀时，就会发生劫持。根据 BGP 的最长前缀匹配原则，如果劫持者宣告了一个更具体的子网前缀，全球流量将会被错误地引导至该劫持者，导致流量被拦截、篡改或丢弃 1。 2. **路由泄露 (Route Leak)**：这通常源于配置错误，即一个 AS 将从其上游服务提供商处学到的路由错误地宣告给了另一个上游提供商，从而违背了供应商-客户-供应商的商业逻辑，使该 AS 意外地成为了并非预期的转接点，引发拥塞和延迟 19。 在伊朗的背景下，这种技术脆弱性曾多次被用于实施特定政策。2017 年 1 月，伊朗的 TIC 曾发生过一起针对特定网站的 BGP 劫持事件 21。其初衷可能是在国内范围内重定向流量以实施内容审查，但由于边界路由器的过滤策略不严，这些虚假路由溢出到了国际互联网，导致香港、俄罗斯、印度等地的用户无法访问这些合法的 IP 地址 21。这揭示了一个系统性问题：由于网关的高度集中，本地的路由操纵极易演变为全球性的安全事件。 ## **关键技术组件：BGP 状态机与决策引擎** 要解决上述脆弱性，必须深入到 BGP 协议运行的微观层面。BGP 通过一个简单的有限状态机 (FSM) 来管理其会话，这个状态机确保了在任何信息交换之前，对等体之间已经建立了可靠的传输基础。 ### **BGP 有限状态机的演进过程**  ```mermaid stateDiagram-v2 [*] --> Idle: 启动/重置 Idle --> Connect: 尝试建立TCP连接 Connect --> OpenSent: TCP连接成功, 发送OPEN Connect --> Active: TCP连接失败, 持续重试 Active --> OpenSent: 延迟重试成功 Active --> Idle: 重试失败重置 OpenSent --> OpenConfirm: 验证邻居OPEN参数正确 OpenSent --> Idle: 参数不匹配/连接重置 OpenConfirm --> Established: 收到KEEPALIVE OpenConfirm --> Idle: 计时器到期/NOTIFICATION Established --> Idle: 会话中断/NOTIFICATION ``` 在“已建立”状态下，路由器开始交换更新消息。这里涉及到了路由器的核心处理逻辑：从邻居收到的路由首先进入 Adj-RIB-In（入站路由信息库），随后通过本地策略过滤和路径评估进入 Local RIB 6。最后，只有被选为“最佳路径”的路由才会被安装进 FIB 并通过 Adj-RIB-Out 宣告给其他邻居 6。 ### **路径评估属性的优先级** BGP 并不是简单的寻找“跳数最短”的路径，而是通过一套复杂的属性列表进行决策。对于伊朗这种位于国际中转节点的系统，策略控制显得尤为关键。 | 属性名称 | 决策逻辑 | 对系统功能的影响 | | :---- | :---- | :---- | | 本地偏好 (Local Pref) | 决定 AS 的首选流出点 | 用于控制向特定国际供应商发送流量的优先级 1。 | | AS 路径 (AS\_PATH) | 记录路由经过的所有 AS 列表 | 用于防止环路，并作为衡量路径长度的主要指标 4。 | | 多出口鉴别器 (MED) | 建议邻居如何进入本 AS | 在多点互联的场景下控制流量入口点 5。 | | 下一跳 (Next Hop) | 定义到达目的地的逻辑出口 | 确保控制平面的路由与转发平面的可达性一致 5。 | ## **路由异常案例：2024 年 5 月的 IPv6 消失事件** 通过对 Cloudflare Radar 实时监控数据的分析，可以观察到特定时间点的系统性崩塌。2024 年 5 月 19 日 UTC 时间 15:40 左右，伊朗的 IPv6 流量在全球路由表中几乎消失殆尽，该国的 IPv6 采用率从 15-20% 骤降至 2% 24。 这一事件是典型的系统内部协同失效。从第一性原理分析，IPv6 的可达性依赖于 TIC 及其下游 ISP 同时宣告 IPv6 前缀。当 TIC 作为核心网关停止宣告或撤销了与国际对等体的 IPv6 路由时，下游的所有自治系统即便内部配置正确，其流量也无法跨越边界进入全球互联网。根据 RIPEstat 的统计，事故发生前伊朗拥有约 293 条活跃的 IPv6 路由，由 123 个网络（ASN）发起，事故后仅存 78 条 24。这种规模的同步撤销通常意味着在 TIC 的边界网关上执行了全局性的策略修改。 ## **安全解决方案：从隐含信任到加密验证** 针对 BGP 的设计缺陷，目前业界公认的解决方案是构建资源公钥基础设施 (RPKI)。RPKI 的核心思想是为网络前缀的“管辖权”提供一份不可篡改的加密证明。 ### **RPKI 系统架构与 ROA 验证流** 在 RPKI 体系中，IP 地址的持有者可以签署一份路由起因授权 (ROA)。这份 ROA 包含三个关键元素：授权的 ASN、网络前缀以及最大长度限制 25。  ```mermaid sequenceDiagram participant Holder as 地址持有者 (ISP/TIC) participant RIR as 区域互联网注册机构 (RIPE NCC) participant Validator as RPKI 验证器 (Cache) participant Router as 边界路由器 (BGP Speaker) Holder ->> RIR: 提交授权申请 (ROA签名) RIR ->> Validator: 发布签名证书和ROA记录 Validator ->> Validator: 验证签名链合法性 Validator ->> Router: 通过 RTR 协议分发验证数据 (VRP) Note over Router: 收到 BGP Update 消息 Router ->> Router: 对比 Prefix+ASN 与 VRP 库 Router -->> Router: 状态标记: Valid / Invalid / NotFound ``` ### **ROA 验证状态的决策影响** | 验证状态 | 系统动作建议 | 安全含义 | | :---- | :---- | :---- | | **Valid** | 正常接收并计入路径选择 | 宣告者已获得前缀持有者的明确授权 25。 | | **Invalid** | 降低优先级或直接丢弃 (ROV策略) | 可能是劫持尝试，或者宣告的前缀长度超过了最大限制 25。 | | **NotFound** | 按照常规 BGP 逻辑处理 | 尚未签署 ROA，处于不受保护的传统模式 25。 | 对于伊朗而言，虽然其 IPv4 地址空间在 2024 年的 RPKI 覆盖率达到了 97% 以上的高位 11，但这仅仅解决了“起因验证”问题。如果上游运营商没有开启路由起因验证 (ROV)，那么即便伊朗 ISP 签署了 ROA，错误的路由依然可能在全球范围内传播。 ## **系统演进：从被动防御到主动观测** Cloudflare Radar 的路由页面为专业人员提供了一个多维度的观测系统。其核心功能在于将原本散落在全球数千个 BGP 对等体中的原始更新数据，通过算法聚合为直观的异常指标。 ### **异常检测系统的内部要素** 1. **全局视图探测器**：利用全球分布的对等互联节点收集实时的 BGP Update 消息。 2. **置信度评分引擎**：针对每一个疑似劫持事件，系统会根据观察到的对等体数量、受影响的前缀规模、RPKI 状态以及 IRR（互联网路由注册库）的有效性进行加权评分。评分在 8 分以上通常被视为高置信度的劫持 20。 3. **实时警报机制**：通过 API 和 Webhook 接口，网络管理员可以在异常发生的秒级时间内收到通知，从而迅速采取对冲策略（如通过 AS-PATH Prepend 修改路径权重） 20。 ## **战略地理与数据枢纽：伊朗走廊 2025** 在讨论技术细节的同时，不能忽视其作为中东通信枢纽的系统定位。TIC 在 2025 年推出的“伊朗走廊 2025”项目，旨在利用其连接里海与波斯湾的独特地理优势，构建一条低延迟的欧亚陆路数据通道 15。 从系统设计的角度看，这意味着伊朗正在从一个单纯的“内容消费者”转变为“中转提供商”。这对其路由系统的稳定性提出了更高的要求。为了实现这一目标，TIC 正在增加其光纤骨干网的长度（目前已超过 7.15 万公里），并显著提升国际出口带宽（目标指向 62 Tbps 以上） 30。 这种向中转枢纽的转型将引入新的系统性挑战：作为中转节点，路由泄露的风险将成倍增加。如果 TIC 的 BGP 过滤策略不够精细，原本应在内部传输的中转流量可能会因为错误的路由通告而回流到国内网络，造成灾难性的拥塞。 ## **结论与系统优化建议** 通过对伊朗互联网路由基础设施的深度剖析，可以发现其系统功能的发挥受制于其中心化架构与 BGP 协议原生缺陷之间的张力。TIC 作为系统的核心控制点，既是国家数字主权的守护者，也是潜在单点故障的来源。 为了提升整个系统的韧性与安全性，未来的技术演进应聚焦于以下三个维度： 首先，必须实现从“静态配置”向“动态安全架构”的转变。这意味着不仅要签署 RPKI ROA，更要积极部署 ASPA（自治系统提供商授权）等新兴标准，以解决 BGP 路径劫持问题，而不仅仅是起因劫持。 其次，针对网关中心化的风险，应进一步通过地理多样化来分散风险。虽然 TIC 掌握着绝对控制权，但在物理路由上增加更多的跨境边境出口（如与阿曼、阿美尼亚、伊拉克的连接）并实施独立的路由策略，可以有效防止类似 2024 年 5 月那种全网规模的 IPv6 崩塌事件。 最后，利用 Cloudflare Radar 等第三方观测数据作为系统闭环的反馈信号。通过对历史劫持和泄露事件的复盘，调整边界网关的入站和出站过滤列表。这种基于数据的自我修复能力，是构建现代、可靠且具有全球竞争力的国家级路由系统的关键所在。 互联网的本质是协作，而协作的基础是可验证的信任。伊朗路由系统的未来，取决于其如何在维护管理控制与融入全球安全认证体系之间找到平衡。 #### **Works cited** 1. What is BGP? | BGP routing explained \- Cloudflare, accessed January 9, 2026, [https://www.cloudflare.com/learning/security/glossary/what-is-bgp/](https://www.cloudflare.com/learning/security/glossary/what-is-bgp/) 2. What is BGP hijacking? \- Cloudflare, accessed January 9, 2026, [https://www.cloudflare.com/learning/security/glossary/bgp-hijacking/](https://www.cloudflare.com/learning/security/glossary/bgp-hijacking/) 3. What Is BGP? \- Border Gateway Protocol in Networking Explained \- AWS, accessed January 9, 2026, [https://aws.amazon.com/what-is/border-gateway-protocol/](https://aws.amazon.com/what-is/border-gateway-protocol/) 4. BGP Routing Explained: Understanding Border Gateway Protocol \- ServerMania, accessed January 9, 2026, [https://www.servermania.com/kb/articles/bgp-routing-explained](https://www.servermania.com/kb/articles/bgp-routing-explained) 5. BGP Introduction \- Documentation Overview \- RtBrick, accessed January 9, 2026, [https://documents.rtbrick.com/trainings/current/bgp/bgp\_intro.html](https://documents.rtbrick.com/trainings/current/bgp/bgp_intro.html) 6. BGP Routing Information Base (RIB) Deep Dive \- Noction, accessed January 9, 2026, [https://www.noction.com/blog/routing-information-base](https://www.noction.com/blog/routing-information-base) 7. RIB vs FIB differences? \- cisco \- Network Engineering Stack Exchange, accessed January 9, 2026, [https://networkengineering.stackexchange.com/questions/38588/rib-vs-fib-differences](https://networkengineering.stackexchange.com/questions/38588/rib-vs-fib-differences) 8. Telecommunication Infrastructure Company \- Wikipedia, accessed January 9, 2026, [https://en.wikipedia.org/wiki/Telecommunication\_Infrastructure\_Company](https://en.wikipedia.org/wiki/Telecommunication_Infrastructure_Company) 9. Telecommunication Infrastructure Company(TIC) \- Overview, Competitors, News, and Employees | Clodura.AI, accessed January 9, 2026, [https://www.clodura.ai/directory/company/telecommunication-infrastructure-companytic](https://www.clodura.ai/directory/company/telecommunication-infrastructure-companytic) 10. Routing Information for 78.39.221.0/24 | Cloudflare Radar, accessed January 9, 2026, [https://radar.cloudflare.com/routing/prefix/78.39.221.0/24?dateRange=1d](https://radar.cloudflare.com/routing/prefix/78.39.221.0/24?dateRange=1d) 11. RIPE NCC Sanctions \- Open House \- Internet in Iran, accessed January 9, 2026, [https://www.ripe.net/documents/3839/RIPE\_NCC\_Open\_House\_-\_Internet\_in\_Iran-merged.pdf](https://www.ripe.net/documents/3839/RIPE_NCC_Open_House_-_Internet_in_Iran-merged.pdf) 12. The Dual Role of Iran's National Information Network \- Cadmus (EUI), accessed January 9, 2026, [https://cadmus.eui.eu/bitstreams/1fc28765-10e6-4e6b-9335-9c260a8dea5a/download](https://cadmus.eui.eu/bitstreams/1fc28765-10e6-4e6b-9335-9c260a8dea5a/download) 13. Telecommunication Company of Iran \- Wikipedia, accessed January 9, 2026, [https://en.wikipedia.org/wiki/Telecommunication\_Company\_of\_Iran](https://en.wikipedia.org/wiki/Telecommunication_Company_of_Iran) 14. Iran Network Rankings \- bgp.tools, accessed January 9, 2026, [https://bgp.tools/rankings/IR?sort=cone](https://bgp.tools/rankings/IR?sort=cone) 15. TIC and Omantel to develop Iran-Oman data transit corridor \- Developing Telecoms, accessed January 9, 2026, [https://developingtelecoms.com/telecom-technology/optical-fixed-networks/17975-tic-and-omantel-to-develop-iran-oman-data-transit-corridor.html](https://developingtelecoms.com/telecom-technology/optical-fixed-networks/17975-tic-and-omantel-to-develop-iran-oman-data-transit-corridor.html) 16. Iran Internet Map \- Force directed interactive network graph \- Project Ainita, accessed January 9, 2026, [https://ainita.net/iran-internet-map-interactive/](https://ainita.net/iran-internet-map-interactive/) 17. Fixing BGP's Security Vulnerabilities Is Essential to Restoring Trust \- FedTech Magazine, accessed January 9, 2026, [https://fedtechmagazine.com/article/2024/11/fixing-bgps-security-vulnerabilities-essential-restoring-trust-perfcon](https://fedtechmagazine.com/article/2024/11/fixing-bgps-security-vulnerabilities-essential-restoring-trust-perfcon) 18. Protecting the Integrity of Internet Routing: Border Gateway Protocol (BGP) Route Origin Validation \- NIST Technical Series Publications, accessed January 9, 2026, [https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1800-14.pdf](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1800-14.pdf) 19. BGP hijacking \- Wikipedia, accessed January 9, 2026, [https://en.wikipedia.org/wiki/BGP\_hijacking](https://en.wikipedia.org/wiki/BGP_hijacking) 20. BGP anomalies · Cloudflare Radar docs, accessed January 9, 2026, [https://developers.cloudflare.com/radar/investigate/bgp-anomalies/](https://developers.cloudflare.com/radar/investigate/bgp-anomalies/) 21. In the News: A BGP Hijacking Technical Post-Mortem | Bishop Fox, accessed January 9, 2026, [https://bishopfox.com/blog/bgp-hijacking-technical-post-mortem](https://bishopfox.com/blog/bgp-hijacking-technical-post-mortem) 22. Iran's Control Over Internet Access, accessed January 9, 2026, [https://iranfocus.com/iran-general/31336-iran-s-control-over-internet-access/](https://iranfocus.com/iran-general/31336-iran-s-control-over-internet-access/) 23. BGP Overview | Junos OS \- Juniper Networks, accessed January 9, 2026, [https://www.juniper.net/documentation/us/en/software/junos/bgp/topics/topic-map/bgp-overview.html](https://www.juniper.net/documentation/us/en/software/junos/bgp/topics/topic-map/bgp-overview.html) 24. Understanding the Sudden Drop in IPv6 Adoption in Iran \- Internet Society Pulse, accessed January 9, 2026, [https://pulse.internetsociety.org/blog/understanding-the-sudden-drop-in-ipv6-adoption-in-iran](https://pulse.internetsociety.org/blog/understanding-the-sudden-drop-in-ipv6-adoption-in-iran) 25. Using RPKI \- Kentik Knowledge Base, accessed January 9, 2026, [https://kb.kentik.com/docs/using-rpki](https://kb.kentik.com/docs/using-rpki) 26. Securing BGP — RPKI documentation \- Read the Docs, accessed January 9, 2026, [https://rpki.readthedocs.io/en/latest/rpki/securing-bgp.html](https://rpki.readthedocs.io/en/latest/rpki/securing-bgp.html) 27. BGP Prefix Origin AS Validation with RPKI \- NetworkLessons.com, accessed January 9, 2026, [https://networklessons.com/bgp/bgp-prefix-origin-as-validation-with-rpki](https://networklessons.com/bgp/bgp-prefix-origin-as-validation-with-rpki) 28. Routing Information for 2.189.20.0/22 | Cloudflare Radar, accessed January 9, 2026, [https://radar.cloudflare.com/routing/prefix/2.189.20.0/22?dateStart=2024-08-12](https://radar.cloudflare.com/routing/prefix/2.189.20.0/22?dateStart=2024-08-12) 29. Iran Corridor 2025 : Showcasing Iran's Potential in International Communications | Telecommunications Infrastructure Company, accessed January 9, 2026, [https://www.tic.ir/en/news/23542/2025](https://www.tic.ir/en/news/23542/2025) 30. Main page | Telecommunications Infrastructure Company, accessed January 9, 2026, [https://www.tic.ir/en/home](https://www.tic.ir/en/home) 最后修改：2026 年 01 月 09 日 © 允许规范转载 赞 如果觉得我的文章对你有用，请随意赞赏