前言

很多网工在多出口、旁挂防火墙、DDoS引流场景会遇到这个经典问题：BGP实例里面，能不能直接调用PBR（策略路由）或者流量重定向来做流量引流？
不少新手容易混淆「路由策略Route-Policy」和「策略路由PBR」，以为BGP视图下直接绑定PBR就能对数据包做转发重定向，这里先给核心结论：
普通BGP单地址族实例，不能直接调用PBR；BGP本身只能控制路由条目，不能直接对数据包做策略转发。想要通过BGP下发重定向引流，需要启用BGP FlowSpec（流规范）特性。

一、先分清两个极易混淆概念（重点）

1. 路由策略 Route-Policy（BGP里面可以直接调用）

作用对象：路由条目。在BGP的peer导入/导出路由时，匹配前缀、修改Local-Pref、AS-PATH、团体属性，用来控制路由选路，改变路由表。

影响的是：路由怎么传递、设备选哪条路由。不直接抓数据包、不直接重定向报文。BGP视图下import/export调用的就是这个。

2. 策略路由 PBR

作用对象：IP数据包。匹配源IP、目的IP、端口、协议，强制修改报文下一跳，优先级高于全局路由表，直接干预数据包转发。

PBR是数据平面转发策略，配置位置在接口/全局策略，普通BGP进程视图不能直接调用PBR。

一句话区分：Route-Policy管路由，PBR管数据包转发。

二、BGP实现引流的两种方案

方案1：常规BGP，用路由策略（Route-Policy）间接引流

普通BGP场景，只能用route-policy修改BGP路由属性，通过影响路由优选，间接引导流量。
适用场景：多出口选路、双运营商，调整路由优先级，让设备查表选不同下一跳。

• 优点：标准BGP，所有厂商通用，稳定无特殊许可。
• 局限：基于目的IP前缀，只能按目的网段调度；无法匹配五元组（源IP、端口、协议），不能精细化针对单条流引流，不能把流量直接重定向到清洗机、旁挂防火墙。

方案2：BGP FlowSpec（BGP-FS），实现BGP下发重定向引流（真正的流重定向）

RFC8955定义的BGP FlowSpec，是BGP的扩展地址族，可以通过BGP邻居下发流规则+重定向动作，完美实现类似PBR的引流能力。

• 控制平面：BGP邻居发布FlowSpec路由，NLRI定义匹配条件（五元组、源目IP、端口）；
• 扩展团体属性携带动作：redirect-to-IP、redirect-to-VRF，将匹配流量重定向到指定下一跳/VRF；
• 数据平面：设备收到BGP FS路由后，自动生成流转发规则，匹配报文直接重定向，不需要本地手动配置PBR。

典型场景：

1. 运营商DDoS防护，控制器通过BGP-FS把攻击流量引流到流量清洗中心；
2. 骨干网动态流量调度，把特定五元组流量重定向到SRv6/SR-MPLS策略；
3. 旁路安全检测，将异常流量镜像/重定向到防火墙、IDS。

注意：BGP FlowSpec属于高级特性，需要设备硬件支持，华为、H3C、Cisco高端路由器/防火墙才支持，低端设备无该能力。

三、常见误区踩坑

误区1：BGP视图下绑定PBR，直接引流数据包
错误。BGP进程属于控制平面，PBR是数据平面转发策略，普通BGP不能直接调用PBR。BGP只能发布路由，不能直接调用接口下的PBR策略。
误区2：route-policy就是PBR
错误。route-policy修改路由属性，影响路由表；PBR直接匹配数据包强制转发，二者对象完全不同。很多网工写配置踩坑根源就是混淆两者。
误区3：BGP FlowSpec=普通BGP，所有设备都支持
错误。FlowSpec是BGP扩展地址族，需要单独开启、硬件TCAM支持，部分设备需要license，低端接入交换机不支持。

四、组网选型建议

1. 企业多出口、普通选路：BGP+Route-Policy，修改Local-Pref、AS-PATH，基于目的网段引流，最简单稳定。
2. 需要五元组精细引流、DDoS流量清洗、动态下发引流规则：BGP FlowSpec + redirect重定向。
3. 简单旁挂防火墙引流，设备不支持FlowSpec：本地配置PBR，在入接口调用策略路由，不依赖BGP。

五、总结

1. 标准BGP实例本身无法直接调用PBR；BGP视图可以调用Route-Policy，仅用于控制路由，间接实现基于目的前缀的流量选路。
2. 如果需要BGP协议远程下发、动态推送流量重定向规则，需要部署BGP FlowSpec，携带redirect扩展团体，实现类似PBR的五元组引流。
3. 小规模企业、静态引流场景，直接在接口配置本地PBR，方案更简单，不需要BGP FlowSpec。

免责声明：本文为网络技术原理科普，BGP FlowSpec涉及运营商级流量调度，线上业务变更前务必做模拟测试，避免网络中断。

FAQ

Q：BGP的route-policy能不能实现PBR效果？
A：不能。route-policy修改路由属性，只改变路由条目；PBR是匹配数据包强制改下一跳。route-policy只能基于目的网段选路，无法匹配源IP、端口五元组。
Q：BGP FlowSpec重定向引流支持哪些动作？
A：支持流量限速、丢弃、redirect-to-IP重定向到指定IP、redirect-to-VRF转发到指定VRF，也可以结合SRv6策略引流。
Q：华为交换机/防火墙支持BGP FlowSpec吗？
A：高端VRP平台（NE、AR高端、USG系列新版本支持），低端接入设备不支持，需要硬件TCAM资源。

关于墨者安全
墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务，全网第一款指纹识别技术防火墙，自研的WAF指纹识别架构，提供任意CC和DDoS攻击防御