Cloudflare theo dõi RFC 9234: BGP Role và OTC giúp chặn route leak nhưng triển khai còn sớm

Bài viết này do AI tạo ra, biên tập từ phân tích kỹ thuật Cloudflare công bố tháng 08/2026 về RFC 9234.

Tóm tắt nhanh

Cloudflare đánh giá mức triển khai RFC 9234, tiêu chuẩn đưa “BGP Role” và thuộc tính Only to Customer (OTC) vào BGP để ngăn route leak. Kết quả cho thấy việc áp dụng còn sớm và Cloudflare phát hiện hai mạng Tier-1 lớn đang loại bỏ thuộc tính OTC khi chuyển tiếp route, làm suy yếu hiệu quả bảo vệ trong giai đoạn triển khai chưa đồng đều.

Route leak gây hại thế nào?

Route leak xảy ra khi route học từ provider hoặc peer bị quảng bá sai sang một provider hoặc peer khác. Traffic bị đi qua đường không được dự định, có thể tăng độ trễ, gây packet loss hoặc quá tải cho mạng trung gian. Quy tắc “valley-free” yêu cầu route học từ provider/peer chỉ được quảng bá xuống customer, không đi ngược lên hoặc ngang sang mạng khác.

RFC 9234 thêm BGP Role

BGP Role khai báo quan hệ của hai đầu một eBGP session: Provider/Customer, Customer/Provider, Peer/Peer, RS/RS-Client hoặc RS-Client/RS. Nếu cả hai bên quảng bá role nhưng cặp role không hợp lệ, session bị từ chối bằng Role Mismatch. Khi bên kia chưa hỗ trợ, session vẫn có thể lên ở chế độ triển khai một phần; strict mode là tùy chọn và sẽ từ chối peer không gửi role.

OTC đánh dấu route chỉ được đi xuống

OTC là path attribute optional transitive, type code 35, mang ASN đánh dấu điểm route ngừng đi lên. Khi route đã có OTC, nó không được quảng bá tới provider, peer hoặc route server. Route có OTC đến từ customer hoặc RS-client là dấu hiệu leak và cần bị từ chối. Vì optional transitive, router không hỗ trợ RFC 9234 về nguyên tắc vẫn phải giữ thuộc tính này khi chuyển tiếp.

Quan sát của Cloudflare

Cloudflare theo dõi OTC từ các peer trên mạng peering toàn cầu. Phân tích public RIB ban đầu chỉ tìm được 36 AS có khả năng tuân thủ RFC 9234, con số mang tính ước lượng vì OTC có thể được gắn khi ingress. Cloudflare còn phát hiện hai Tier-1 loại OTC khỏi route họ forward và đang làm việc với các mạng này để phục hồi propagation. Điều này quan trọng vì việc bỏ OTC phá vỡ tín hiệu giúp mạng downstream phát hiện leak.

Việc đội vận hành nên làm

Rà soát quan hệ thật của từng eBGP session trước khi gán Role.
Bật BGP Role trên thiết bị hỗ trợ, bắt đầu với các session quan hệ đơn giản.
Không gán Role cho một session chứa nhiều quan hệ theo prefix; tách thành session riêng.
Kết hợp BGP Role với ASPA validation nếu router hỗ trợ cả hai.
Theo dõi OTC bị thiếu hoặc bị xóa bất thường; không bật strict mode diện rộng trước khi đánh giá tương thích peer.

Phân tích

RFC 9234 biến một phần logic chống route leak từ policy thủ công thành tín hiệu nằm trong protocol. Đây không thay thế prefix filter, RPKI hay kiểm soát chính sách, nhưng tạo lớp phòng vệ khi policy hai bên bị cấu hình sai. Rào cản lớn hiện nay là triển khai không đồng đều và thiết bị/mạng trung gian không bảo toàn OTC. Với ISP, IX và doanh nghiệp có eBGP, giá trị thực tế là phát hiện sai quan hệ ngay lúc bắt tay session và chặn nhiều dạng leak trước khi chúng lan rộng.