С BGP работаю давно, а про эти штуки или не знал, или почему-то очень старался забыть 😎

1️⃣ check-first-as (Cisco)

IOS / IOS-XE.

Назначение: Проверяет первую AS в пути. Если она не совпадает с AS пира, маршрут помечается not best, но не удаляется из таблицы.

Применение: Мягкая фильтрация. Маршрут остается в RIB, но не используется для форвардинга.

2️⃣ enforce-first-as (Juniper)

Junos OS.

Назначение: Строгая проверка. Если первая AS в пути не равна AS соседа, маршрут полностью отбрасывается (с уведомлением об ошибке).

Применение: Жесткая безопасность. Защита от хайджекинга (когда вам пытаются прислать чужой префикс с левым AS-path).

Механика: Если номера автономных систем (ASN) не совпадают, маршрутизатор отклоняет маршрут и отправляет уведомление пиру с кодом ошибки "update message error" (ошибка в сообщении обновления) и подкодом ошибки "malformed AS path" (некорректный путь AS).

Кто-то пользуется этими механизмами фильтрации?