Page 394 - 《软件学报》2026年第1期

马东超 等: SRv6 技术在数据转发平面的应用与挑战综述 391

准确性下降. SRv6 也为攻击者提供可乘之机, 网络信息泄露、SRH 注入 [59] 等安全威胁日益凸显. 本节将重点分析
SRv6 在提升可靠性和安全性方面的挑战和研究进展.
3.2.1 故障诊断
在 SRv6 网络故障诊断领域, 传统的定位工具如 Traceroute 和 Ping 也面临诸多挑战. 根本原因在于, SRv6 通
过引入灵活的路由转发语义, 打破了原有网络体系下源到目的地址不变的假设. 这导致传统工具所依赖的 ICMP
响应机制难以正常工作. 此外, SRv6 网络中大量应用等价多路径 (equal-cost multi-path, ECMP) 路由等负载均衡技
术, 导致不同探测数据包的转发路径频繁变化, 也极大增加了故障定位的难度.
针对 SRv6 故障定位问题, 文献 [60] 提出了一种增强的 IPv6 OAM 机制. 该方案巧妙利用 SRv6 的可编程特性,
为每个 SRv6 数据包分配全局唯一标识. 同时, 结合 eBPF 内核技术实现对数据包转发路径的跟踪和验证. 与传统方
案相比, 该机制可精准定位到 SRv6 转发路径上的故障节点, 提高网络故障诊断的效率, 提升了 SRv6 网络的可运维性.
研究人员进一步关注到, 在 SRv6 场景下, 转发平面所面临的安全问题也给故障诊断带来了新的挑战. 其中,
文献 [61] 重点讨论了一种新型的 SRv6 黑洞攻击及其检测方法. 文献提出了 SR-BHD 检测框架. 该框架采用被动
测量的思路, 通过对网络中转发节点上报的流量计数信息进行实时采集和关联分析, 构建了基于流量守恒定律的
网络全局状态视图. 当发现流量异常, 即某些路由路径上出现非预期的丢包时, 即判定为疑似黑洞攻击并定位故障
链路. 仿真实验结果表明, SR-BHD 算法在检测 SR 黑洞时表现出了高精确度和召回率, 平均精确度达到了
97.22%. 该成果对于构建安全可信的 SRv6 转发平面, 提供了重要的理论参考和实践指导.
3.2.2 安全性分析
在 SR 架构中通过将转发面策略编程能力开放给网络中的各个节点, 打破了传统网络中转发面与控制面的界
限, 并由此扩大了网络受到攻击的可能面 (即系统潜在的薄弱点). 分析 SRv6 的行为特征发现, 恶意节点可通过精
心构造 SRH, 诱导其他节点泄露核心网络信息. 这些信息一旦被不法分子获取, 可用于实施有针对性的网络拓扑
探测和目标流量分析, 带来严重的安全隐患. 由于 SRH 携带了从源到目的完整路径信息, 若中间节点存在安全漏
洞, 则可能造成用户通信隐私泄露, 并成为流量劫持和用户画像分析的切入点 [62] .
文献 [63] 分析了 SRv6 的新颖转发语义也为 DDoS 攻击提供了可乘之机. 攻击者可滥用 SRv6 的路径灵活指
定能力, 轻易将受害者地址伪装成源地址, 向大量支持 SRH 的节点发送探测报文. 这些节点在收到报文后, 会严格
执行 SRH 中指定的转发路径, 将海量响应数据发送给受害者, 最终导致受害者的带宽资源被恶意耗尽. 相比传统
的 DDoS 反射攻击, 这种基于 SRv6 反射的新型攻击更加隐蔽, 危害性也更大. 根据测算, 当反射节点支持 SRH 处
理时, 其放大效果可达 120 倍之多.
除了信息泄露和反射攻击外, SRv6 还面临 SRH 注入、SID 欺骗等诸多安全威胁. 恶意节点可通过向正常数
据包中注入虚假 SRH, 劫持流量, 绕过目的地址过滤等安全策略; 上游节点也可能因无法辨别 SID 的真伪, 错将流
量引入预设的恶意路径. 这些安全问题的根源在于, 单点异常难以被及时发现和管控, SRv6 架构下网络节点权责
划分边界模糊. 因此, 如何在分布式的网络环境中构建行之有效的全局安全防护成为亟待破解的难题.
面对 SRv6 所特有的多样化安全威胁, 研究者们开展了卓有成效的探索. 文献 [64] 提出了一种面向 SRv6 的轻
量级网络路径验证机制 SR-TPP. 它要求源节点基于既定转发路径计算一个哈希验证码, 并将其封装在 SRH 中. 转
发节点通过验证已处理路径的哈希值, 即可甄别当前 SRH 的合法性, 有效防范中间节点的恶意篡改. 同时, SR-
TPP 还引入了变长掩码机制, 仅在 SRH 中携带下一跳节点的完整 SID, 而将后续 SID 进行掩码隐藏. 这种方式在
保护路径隐私的同时, 也避免了端到端路径信息的泄露. 仿真实验表明, SR-TPP 能够以较小代价即可获得 SRH 的
完整性和隐私性保障.
文献 [65] 通过引入异常行为检测功能, 网络中的流量模式可以被实时监测, 及时发现如 DDoS 攻击等恶意行
为. 这种检测机制结合了主动探测和大数据分析两种手段: 主动探测可以感知全网范围内的 SRv6 节点的异常行
为, 而大数据分析则从海量实时流信息中智能提取可疑行为特征. 当检测到异常时, 系统可以采取主动防御措施,
例如通过动态调整 SR Policy, 将恶意流量引导至清洗中心, 从而最大程度地减少对正常业务的影响. 案例研究显
示, 这种方案可以将 DDoS 攻击流量降低 90% 以上, 显著提升了 SRv6 网络的整体鲁棒性.