IP劫持与IP盗窃：区别和防护方法

客户关心的是网站能否打开、API能否连通、业务能否照常运行。地址记录和BGP路由发生异常时，影响却会直接落到这些体验上。分清IP劫持与IP地址盗窃，能帮助你更快找到问题，也能让你在选择地址供应商时，把长期稳定运营放在首位。

IP劫持改变流量去向，地址盗窃涉及控制权

IP劫持通常指未经授权的BGP路由通告：某个网络宣告本不该由它宣告的地址段，把原本发往你的流量引向别处。攻击者也可能宣告更具体的前缀；如果其他网络接受这条路由，部分流量就可能被截走或丢弃。即使注册记录完全没有变化，客户仍可能无法访问你的服务。

IP地址盗窃或盗用则强调未经授权控制或使用地址资源，例如入侵注册机构或供应商账户、伪造授权、篡改资源记录。路由劫持可以是盗用地址的一种方式，但账户被盗与错误的BGP通告并不是同一件事，恢复手段也不同。

英文“IP theft”为什么还会指知识产权盗窃？

IP也可以是“知识产权”的英文缩写，因此有些资料讨论的是源代码、商业秘密等信息被窃取。本文讨论的是互联网协议地址。先分清语境，才能把路由问题交给网络团队，把数据泄露问题交给负责信息安全的人员，避免处理方向跑偏。

地址异常影响的不只是一个配置项

客户可能已把你的地址写入访问白名单，合作伙伴可能通过它连接API，远程办公和托管服务也可能依赖它。连接一旦中断，接踵而来的就是失败的请求、增加的工单和客户等待。临时更换地址还可能需要对方修改配置、重新测试，恢复成本远高于在路由器上改一个参数。

因此，防护的目标应当很明确：让服务持续可达，尽早发现变化，在异常发生时尽快恢复。地址安全、供应稳定和业务连续性，应当一起进入你的网络规划。

先看路由，再看账户与资源记录

记录没变，却出现了陌生的起源ASN

假设你的托管地址段仍保留正常的注册记录，外部监测却发现它从另一个自治系统发出。先确认这是不是团队或上游安排的变更，再从不同网络核对通告。若确实未经授权，就把受影响的前缀、起源ASN和发现时间提供给相关上游。只看本地路由表，可能看不到其他地区客户遇到的问题。

账户、联系人或授权信息被改动

如果异常发生在账户登录、联系人、资源记录或路由授权上，就要同时处理管理权限：保护账户访问，保留变更记录，并与对应的注册机构或地址供应商恢复正确状态。仅撤回一条错误路由，无法修复被盗的账户。

配置错误也可能造成类似故障

错误的ASN、过期的授权配置、意外向外发布的路由，都可能让合法流量受阻。排查时把近期变更与外部监测放在一起看。提前整理好前缀、授权起源和上游联系人，能让团队更快从“发现异常”进入“解决问题”。

把防护措施落实到客户连接上

让路由授权与实际部署保持一致

ROA用于声明一个地址前缀可以由哪个ASN作为起源宣告，以及允许的最大前缀长度。创建或更新时，要与实际通告匹配；如果同一前缀有多个合法起源，也应覆盖这些部署。错误的ASN或长度配置，反而可能让自己的路由被判为无效。

基于RPKI的路由起源验证（ROV）帮助网络检查这些通告。Valid表示起源和长度符合覆盖该前缀的授权，Invalid表示不匹配，NotFound表示没有找到覆盖授权；路由器再根据配置的策略处理结果。起源验证检查的是起源授权，并不等于验证整条传播路径。

从客户所在的网络观察服务

持续关注陌生起源ASN、新增的更具体前缀和不同地区的可达性，同时检查实际网站、API或应用。路由存在，并不代表应用一定能用。给告警安排明确的负责人，并保持上游联系方式可用，才能让监测真正缩短故障时间。

保护能够修改地址信息的账户

使用独立的高强度密码，在支持的系统中启用多因素认证，为负责资源管理的人员配置独立账户。及时更新恢复联系人、撤销不再需要的访问权限。这些日常动作能保护网络运营最关键的控制入口。

需要进一步了解技术细节时，可阅读英文原始标准RFC6811与部署建议RFC7115。路由策略变更应先验证再推广，让安全措施与业务可达性一起发挥作用。

发生异常时，围绕客户恢复安排处理顺序

1. 确认影响范围。记录受影响的前缀、服务、地区和开始时间，并从网络外部复核客户体验。
2. 对照正常状态。检查起源ASN、ROA、资源记录及近期变更，区分路由异常和账户异常。
3. 让相关方拿到同一份信息。把准确的前缀与观察结果提供给上游和地址供应商；如果涉及账户控制，同时恢复安全访问。
4. 验证业务真正恢复。从多个网络检查路由和应用，持续关注异常是否再次出现。

准备工作越清晰，故障期间需要来回确认的信息就越少，团队也越能把时间用在恢复客户连接上。

选择地址供应商，也是在选择长期运营的支持

路由防护解决连接层面的问题，地址背后的供应关系同样影响业务。买下地址块，并不会消除对注册机构的依赖；经纪人促成交易，也不等于由它承担后续供应的连续性。

LARUS直接提供IPv4，把持续供应与业务连续性放在服务核心。卢恒在注册机构风险与LARUS Continuity的分析（英文）中说明了这一模式及其在真实注册机构危机中的实践。对你的团队来说，重要的是有一个直接合作的供应商，围绕客户增长持续安排地址与运营支持。

用Unlimited IPv4承接下一阶段的增长

新增客户，应当意味着新的收入机会。通过Unlimited IPv4和LARUS Continuity，把地址容量与连续性一起纳入扩容计划。先确定你要服务的客户、应用和地区，再围绕这些业务建立长期地址供应，让团队把精力放在连接更多客户上。

常见问题

没有地址的登记权，也能发起IP劫持吗？

可以。未经授权的路由通告可能改变流量去向，而地址登记记录仍保持不变。因此，核对注册记录之外，还需要观察实际路由。

启用RPKI就能解决所有IP盗用问题吗？

RPKI起源验证用于识别起源授权问题；账户安全保护管理权限；路由监测帮助发现变化；供应商的连续性服务支持长期地址关系。这些措施各有作用，结合起来才能覆盖更多影响业务的环节。

VPN和防火墙能阻止BGP劫持吗？

VPN可以保护加密隧道中的流量，防火墙可以控制网络边界的访问，但它们不会改变其他网络发出的错误BGP通告。路由防护与外部监测仍然重要。

为什么直接选择LARUS租用IPv4？

你与地址供应商直接合作，把容量、增长和连续性放在同一段长期关系中。LARUS支持地址供应，你的团队专注于客户服务和业务扩展。