BGP FlowSpec DDoS 緩解：在自有網路內部檢測並阻斷攻擊

BGP FlowSpec（RFC 8955，原為 RFC 5575）是一項 BGP 擴充，用於在路由器間分送細緻的流量過濾規則，類似透過 BGP 推送 ACL，但具備更細緻的比對條件。OcNOS 可比對來源 IP、目的 IP、協定、來源與目的埠、封包長度、TCP 旗標、DSCP 與 IP 分段類型。當 FastNetMon 偵測到攻擊時，會在毫秒內透過 BGP 將 FlowSpec 規則推送至 OcNOS，OcNOS 隨即將其直接植入 ASIC，在該處以完整線速丟棄或限速比對到的流量，且零 CPU 負擔。

FastNetMon 讀取路由器導出的 sFlow，並持續對照所設定的按主機和按子網閾值進行檢查。當流量越過閾值時，例如向單一目的地發送的 UDP 洪泛超過 5 Gbps，它會通過 BGP 自動向 OcNOS 下發 BGP Flowspec 規則（用於精準的、特定協議的緩解）或 RTBH 黑洞路由（用於整個前綴的黑洞化）。從檢測到緩解的整個環路均已自動化，通常在數秒內完成。

此解決方案涵蓋電信業者最常見的攻擊類型：流量型洪水攻擊（UDP 放大、ICMP 洪水、原始頻寬飽和）、協定攻擊（SYN 洪水、TCP RST 洪水、分片封包攻擊），以及流量分析可攔截的應用層攻擊（DNS 查詢洪水、NTP 放大、Memcached 放大）。就精準緩解而言，BGP Flowspec 可依協定、埠、TCP flags 與分片類型進行比對。至於速度重於精準的流量型攻擊，RTBH 黑洞路由會在邊緣丟棄所有送往目標前綴的流量。

是的。路由器通過三種獨立機制自主緩解：永久阻斷已知惡意行為者的靜態硬體 ACL（ASIC 加速，零 CPU 開銷）、按前綴觸發的經 BGP 手動 RTBH 黑洞，以及接收來自任意標準 BGP 發言者的 BGP Flowspec 規則。若已運行 Arbor/Netscout、A10 Networks 或 Kentik 等檢測平台，OcNOS 可充當執行平面，接收來自現有檢測系統的 Flowspec 或 RTBH 命令。

當洪泛式攻擊規模大到必須丟棄所有前往目標目的地的流量（包含正常流量）也在可接受的取捨範圍內，以保護網路其餘部分時，就採用 RTBH（Remotely Triggered Black Hole）。其運作方式是透過 BGP 通告目標前綴，並將 next-hop 指向丟棄介面，如此一來每台收到通告的上游路由器都會在自己的邊緣、在流量進入您的網路之前丟棄該前綴的流量。當您需要精準緩解時（例如只封鎖前往某目的地的 UDP port 53，同時放行 TCP），則改採 BGP Flowspec。實務上，電信業者常先以 RTBH 求快，待攻擊特徵釐清後再切換至 Flowspec 求精準。

這取決於攻擊型態，網路內緩解可補強或部分取代清洗中心。當攻擊鎖定您自身的前綴時，OcNOS 搭配 FastNetMon 的回應速度更快（不到 2 秒），成本也比將流量導向清洗中心更低，因為過濾是在邊緣以硬體 ASIC 就地進行。當攻擊規模大到在抵達您的路由器之前就已塞滿上游連結時，最有效的做法是與您的中繼供應商配合的上游 RTBH，並結合網路內的 Flowspec。託管式 DDoS 供應商也可將 OcNOS 作為每客戶的執行層來運行，套用每客戶的 Flowspec 規則與門檻值。

任何運行 OcNOS-SP 的路由器都可以充當執行平面。OcNOS-SP 在其服務提供商平台系列中支持 BGP Flowspec 與 RTBH 黑洞，並將規則下發到交換 ASIC 中，因此過濾以線速運行且不佔用 CPU。由於 OcNOS 運行在來自多家廠商、經過驗證的開放硬體之上，因此可以針對每個邊緣站點選擇合適的平台與埠密度，而非採用單一的固定設備。經過認證的平台的最新列表見 OcNOS Hardware Compatibility List。