路由全数发给邻居心里发虚？华为BGP发布范围这样收口
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
BGP默认把路由通告给对等体，但在实际组网里，你未必想把家底全亮出去：对接运营商时不想把内网明细传出去，多VPN实例环境里不想把A租户的路由泄给B，或者只想给某个邻居放行特定网段。这些需求对应同一件事——控制BGP路由信息的发布。配置发布策略后，只有符合条件的路由信息才会发布给BGP对等体。
前提条件先备齐：BGP基本功能已配置；如果打算基于IP地址前缀列表、AS路径过滤器或Route-Policy过滤，要先把对应的过滤工具建好。
先分清两个层面
发布过滤分两个层面：一层管发往全局的所有路由，一层只管发给某个对等体（组）的路由。先看发往全局的。基于基本ACL过滤时，先进ACL视图配规则：
system-view
acl name basic-acl-name basic
rule [ rule-id ] [ name rule-name ] { permit | deny } [ fragment-type fragment | source { source-ip-address { source-wildcard | 0 | src-netmask } | any } | time-range time-name ] *
回到系统视图后进BGP视图、IPv4单播地址族视图，挂上出方向过滤：
quit
bgp as-number
ipv4-family unicast
filter-policy { acl-number | acl-name acl-name } export [ direct | isis process-id | ospf process-id | rip process-id | static ]
末尾的协议参数值得一提：指定了ospf、static等就只过滤特定协议来源的路由；不指定则对所有要发布的BGP路由生效，包括import-route引入的和network宣告的本地路由。
ACL语义四条要记牢
ACL的过滤语义有几条要记牢：规则动作是permit，路由被接收或发布；动作是deny则不发；网段不在规则范围内，默认不发；ACL里一条规则都没有，引用它的策略涉及的路由全部不发。实战里常用黑名单、白名单两种写法——黑名单先配小编号deny挡住不想发的，再配大编号permit放行其余；白名单反过来，先permit要发的，再deny兜底。匹配按规则编号从小到大进行。
基于前缀列表对全局发布过滤更精细，直接在地址族视图下挂：
filter-policy ip-prefix ip-prefix-name export [ direct | isis process-id | ospf process-id | rip process-id | static ]
指定对等体：四种工具按需选
再看向特定对等体（组）发布的过滤，这才是精细化收口的入口。四种工具按需选用：基本ACL、前缀列表、AS路径过滤器、Route-Policy：
peer { ipv4-address | group-name } filter-policy { acl-number | acl-name acl-name } export
peer { ipv4-address | group-name | peerIpv6Addr } ip-prefix ip-prefix-name export
peer { ipv4-address | group-name | peerIpv6Addr } as-path-filter { number | name } export
peer { ipv4-address | group-name | peerIpv6Addr } route-policy route-policy-name export
两个细节决定这套配置稳不稳：一是peer route-policy export应用的路由策略不支持把接口作为匹配条件，策略里写不了if-match interface；二是对等体组的成员可以与所在的组用不同的出方向策略，组里某个成员要特殊待遇时不必拆组。
验证两笔账
策略挂好后，到对等体上核对收到的路由，只应看到放行范围内的条目；被过滤的前缀一条也该收不到。改动发布策略前建议先在测试邻居上演练，毕竟发少了业务不通、发多了安全边界失守，两头都要顾。
发布范围收口属于BGP安全的基本功，配一次受益长期。贵州诚鑫致达科技帮客户对接运营商和合作伙伴时，出方向前缀列表是交付清单里的固定项，欢迎搜索关注获取更多BGP运维经验。
企业存储选型参考｜贵州诚鑫致达
做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。云南昆明企业 NAS 存储方案与备份容灾，支持远程与上门服务。
