隨著網絡帶寬需求的迅速增長以及芯片等技術的發展，IP 核心網轉發處理能力得到了極大的提升。作為網絡流量的承載節點，在互聯網公網地址空間的場景下，現網設備經常會收到大量上送至 CPU 的報文攻擊，若不加保護，往往可能由于大量非法報文的沖擊造成控制平面協議、業務中斷和 CPU 被掛死等問題。本文通過對某地市 IDC SR 至 CR 間控制平面協議的安全加固策略部署案例，給出城域網核心路由器上控制平面防攻擊策略加固的建議。

　　2 IP 核心網控制平面協議部署

　　IP 城域網整個網絡結構分為三層：核心層、匯聚層和接入層，其中核心層和匯聚層路由器分別稱為 CR、BRAS/SR。每地市城域網核心層設置 2 臺高性能路由器，設備型號主要包括華為 NE5000E 和阿卡 7950。匯聚層 BRAS/SR 設備采用 N*10G 電路雙上聯至 2 臺市核心 CR，業務流量在兩個方向上進行負載均擔。河南聯通每地市城域網各自構成單獨私有 AS 域，每地市一個獨立的 AS 域，現網各層次網絡設備間涉及的控制面協議有 IGP（connected、static、ospf 、isis）、BGP、LDP 和 PIM 等。IGP 協議以 ospf 為例，主要用于設備的 loopback 地址和互聯地址承載，不做業務路由承載。IBGP 協議用于城域網內 IPV4 和 VPNV4 用戶路由承載。IP 核心網控制面協議架構如圖 1 所示。針對 IP 核心網中設備運行的各種業務涉及的協議進行分類，部署了相關安全策略加固。

　　3 IP 核心網安全加固策略

　　超高寬帶時代 IP 核心網轉發平面的處理能力急劇提升，但控制面基于設備 CPU 運行，處理能力的增長有限。攻擊者一旦向 IP 核心網設備發起海量消息請求，將導致網絡節點設備 CPU 無法實時處理消息，進而引發正常業務交互及內部處理流程阻塞。IP 網絡的開放性在帶來各種業務、管理維護便利性的同時也帶來了巨大的安全隱患。因此，為保障相關控制協議和業務的正常運行，我們對 IP 核心網進行了各類安全加固策略部署。