路由器

路由器是一种在不同网络之间转发数据包的网络设备。对于每个数据包，它会读取目的IP地址，并选择一个输出接口和下一跳，使数据包更接近其目的地。路由器将各个独立的本地网络连接成互联网（运行于TCP/IP协议族之上），几乎所有流量离开本地网络的边界处都有它的身影。

这一设备之所以重要，是因为现代通信离不开它。没有路由器，每个网络都将彼此隔绝，任何一台主机都无法跨越组织或地理边界访问另一台主机。该技术起源于20世纪70年代末至80年代初的研究网络，并在几年之内发展成为一个商业产品类别。如今，同样的基本功能运行在从家用Wi-Fi路由器到承载数十万条路由的运营商骨干系统等各类设备上。其思想还出现在其他领域，从基于图论的路径搜索到神经网络的门控机制。

本词条首先定义路由器，并说明它如何通过路由表转发数据包。接着介绍构建这些路由表的协议、高速执行转发的内部硬件，以及主要的设备类别。随后回顾路由器通常提供的其他附加服务、其发展历史、相关标准与安全问题，以及向软件定义网络转变的趋势。最后讨论路由在其他技术领域中的应用，以及该词的词源。

定义与在网络中的作用

路由器是一种在不同网络之间转发数据包的设备。它与其他网络设备的区别在于工作所在的层次。路由器工作在网络层（即 OSI参考模型 的第 3 层），在这一层读取并依据 IP 地址进行处理。以太网 交换机则工作在低一层。它依据每台设备的硬件（MAC）地址转发帧，且只能在单个本地网段内工作。交换机维护一张将 MAC 地址映射到端口的表，不解析帧内的 IP 首部。路由器则会解析该首部，因此能够连接使用不同地址范围、甚至不同链路技术的网络。互联网本身正是建立在这种架构之上，使用的是 TCP/IP 的寻址方案。

作为网关的路由器

主机很少能够自行访问远端网络。主机会将目的 IP 地址与自身所在的子网进行比较。如果目的地址不在本子网内，主机不会尝试在本地链路上查找该地址，而是把数据包发送给它的默认网关，即本地网络中某个路由器接口的地址。主机只需要知道该网关的链路层地址，这一地址可以通过 ARP 获取，然后主机把数据包交给网关即可。此后，由路由器为主机做出转发决策，选出通往目的地的下一跳。因此，对于大多数终端系统而言，整个外部世界都只通过一个已配置的地址访问。

广播域

广播域是指能够接收链路层广播帧的一组设备，这种帧以全 1 的 MAC 地址发送。普通交换机会将广播从同一 VLAN 内的每个端口泛洪转发出去，因此一个没有划分 VLAN 的交换局域网会形成一个很大的广播域。路由器不会把广播帧从一个接口转发到另一个接口。因此，每个路由器接口都标定了其所属广播域的边界。这带来了实际的好处：ARP 请求、DHCP 发现消息等广播被限制在各自的网段内，从而减少了对网络其余部分的带宽占用。某一网段中的广播风暴或出现故障的设备，也不太可能影响所有其他主机。管理员由此获得了清晰的边界，便于故障隔离和访问策略的实施。三层交换机同样可以实现这种划分，VLAN 则在二层划分广播域，但只有路由才能再将划分出的各网段连接起来。需要注意，广播域与 IP 子网并不是同一个概念，不过在常见的设计中，一个启用路由的 VLAN 承载一个子网，因此二者往往重合。

路由器与路由

“路由器”一词指的是设备或软件，而“路由”指的是为数据包选择路径的过程。路由就是决定数据包在前往目的地的途中应交由哪个邻居或哪个接口转发的决策。专用路由器是执行这一过程的一种设备，但并非唯一的执行者。通用计算机和服务器在配置之后同样可以转发流量，许多家用设备也将路由功能与其他功能合二为一。路由过程本身依赖于用于判定最优路径的表和协议，这些内容将在关于转发和路由协议的章节中介绍。在本节中，“路由器”一词指的是在网络中于第 3 层执行路由功能的设备。

转发与路由表

对于每个数据包，路由器都会执行同一套简短的流程。它去掉链路层封装，从网络层头部读取目的IP地址，并在其转发表中执行最长前缀匹配。在所有前缀覆盖该目的地址的条目中，与目的地址拥有最多相同前导位的条目胜出。该条目提供一个输出接口和一个下一跳地址；若目的网络直接相连，则下一跳即目的主机本身。发送之前，路由器将IPv4头部中的生存时间（TTL）字段减1。若该值降为零，数据包被丢弃，路由器通常会向发送方返回一条ICMP错误消息。随后重新计算头部校验和，并将目的MAC地址替换为下一跳的MAC地址，使帧能够穿过下一段链路，继续朝互联网方向传送。

路由表中的路由来自四类来源。直连网络根据各接口上配置的地址自动添加。静态路由由管理员手动输入，它们可预测，但无法对故障作出反应。通过RIP、OSPF或BGP等路由协议学习并安装的动态路由，将在本文其他部分介绍。默认路由写作0.0.0.0/0，其前缀长度为零，因此匹配所有地址。它是最不具体的条目，只有在其他条目都不匹配时才会被使用。例如，小型办公室通常只需要一条指向上游运营商的默认路由就够了。

下面的小例子展示了这些条目如何相互作用。假设某路由器的路由表如下：

目的地址为10.1.2.57的数据包与全部四个条目都匹配，因为每个前缀都覆盖该地址。其中/24条目与目的地址拥有最多相同的前导位，因此路由器直接从eth2发出该数据包，无需再经过下一跳。目的地址为10.9.4.4的数据包只匹配/8条目和默认路由。较长的匹配是/8，因此数据包经eth0转发，下一跳为192.168.0.1。该例也说明了为何默认路由只是后备选项而非竞争者：它只有在没有更具体的条目适用时才会胜出。

路由表的大小因路由器所处位置的不同而差异极大。分支机构或校园网路由器的表项通常从几条到几千条不等，其中许多是静态配置的，或从内部协议学来，软件搜索这样的表并无困难。位于无默认路由区（default-free zone）的骨干路由器则属于另一个量级。APNIC的一次测量显示，2026年初IPv4路由表中约有1,050,000条前缀，而CIDR Report统计的2025年4月IPv4前缀数为979,075条。这些条目大多是小段地址块：到2025年底，/24、/23和/22前缀合计占IPv4路由表的84%。IPv6又增加了数十万条。2014年8月，增长越过了一个实际阈值：IPv4路由表超过512,000条，一些较老的设备因其查找内存仅按该上限设计而出现故障。因此，路由表的大小既是记账数字，也是硬件约束。

路由协议与路径选择

路由协议是一组规则，使路由器能够共享可达性信息，并确定每个目的前缀应当走哪条路径。首要的设计问题是路由是手动录入还是自动学习得到。

静态路由与动态路由

静态路由由管理员手动配置。它们可预测、易于审计，且几乎不消耗处理能力或带宽。然而，每次变更都必须手动完成，而且静态路由无法察觉其下一跳已经故障。动态路由让路由器交换信息，并在拓扑变化时重新计算路径，适用于存在冗余链路的网络。其代价是协议流量增加、配置更复杂，以及错误的更新可能被自动扩散。大多数实际网络会将两者结合：在末节站点和默认路由上使用静态路由，在较大的域内部及域之间使用动态协议。

距离矢量协议

距离矢量协议根据度量值（通常是跳数）选择路径，每台路由器将其路由表发送给直连的邻居。RIP 是典型例子。它默认每 30 秒发送一次完整的路由表更新，并使用 Bellman-Ford 算法计算路由，这是一种动态规划方法。路由器只知道邻居报告的信息，而不了解完整拓扑。RIP 将度量值限制为 15 跳，并将 16 跳的目的地视为不可达。这一上限可防止无限循环的路由无限增长，但也将 RIP 限制在小型网络中。水平分割禁止将路由从学到它的接口再通告回去，毒性逆转则以无穷大的度量值通告失效路由，两者都能减少环路。即便如此，故障消息仍需逐个邻居传递，因此收敛很慢，在某些拓扑中仍可能出现"计数到无穷"问题。

链路状态协议

链路状态协议，如 OSPF 和 IS-IS，采用另一种思路。每台路由器通告其自身链路的状态，这些通告在区域内泛洪，直到每台路由器都持有相同的链路状态数据库，即拓扑的一张地图。随后，每台路由器在这张地图上运行最短路径计算（通常是 Dijkstra 算法），以构建自己的最佳路由树。由于每台路由器都基于相同的全局视图进行计算，收敛很快，环路也很少出现。代价是更高的 CPU 和内存占用，以及在复杂网络中会变得很大的数据库。OSPF 根据接口带宽推导默认链路开销，因此速度更快的链路会被自动优先选用。

路径矢量协议与 BGP

BGP 是一种路径矢量协议，用于互联网上的自治系统之间。路由不是单个数值，而是携带其所经过的自治系统序列。路由器会拒绝任何已包含自身 AS 的路径，从而防止环路。BGP 的路径选择主要由管理策略驱动，例如本地优先级值、导入与导出过滤器，以及运营者设置的属性，而不是简单的最短路径计算。因此，BGP 被称为外部网关协议，而 RIP、OSPF 和 IS-IS 则是在单个 AS 内部工作的内部网关协议。

度量值、管理距离与收敛

每种协议都使用自己的度量值：RIP 使用跳数，OSPF 使用由带宽推导的开销，BGP 使用策略属性。这些值无法跨协议比较，因此路由器使用管理距离（AD）这一本地信任等级排序。在 Cisco 设备上，默认值为：直连路由 0，静态路由 1，外部 BGP 20，内部 EIGRP 90，OSPF 110，IS-IS 115，RIP 120，内部 BGP 200。当多个来源为同一前缀提供路由时，管理距离最低者胜出；值为 255 则表示该路由不会被安装。管理距离从不通告给其他路由器，而 Juniper 等厂商则将同一概念称为"preference"（优先级）。

收敛是指网络在发生变化后，就一组一致的路由达成一致所需的时间。在此期间，路由器可能持有相互冲突的信息，从而造成暂时的环路或将数据包送入黑洞。协议通过水平分割、保持定时器、触发更新和快速链路状态泛洪等技术降低这些风险，而在这些技术之间进行选择，很大程度上是在收敛速度与资源消耗之间做权衡。

内部架构与转发硬件

路由器通常由两个协同工作的部分组成，即两个平面。控制平面负责运行路由协议，并维护路由信息库（RIB）。RIB 可以保存同一目的地的多条候选路径，以及每个来源的管理距离。数据平面则基于转发信息库（FIB）工作。FIB 是 RIB 的精简副本，每个前缀只保留选中的路由，并以便于快速查找的方式组织。路由变化远比数据包到达少见，因此控制平面可以容忍较慢的计算，而数据平面必须跟上流量的速度。FIB 在何处构建和存放取决于厂商：在许多模块化机箱中，由路由处理器计算后推送给线卡；也有一些设计会保留额外的副本，例如独立的控制平面 FIB。

模块化路由器的硬件主要包括四个部分。线卡承载物理端口，每块卡通常有四个、八个或十六个端口。数据包进入入口线卡后先经过二层处理，再由网络处理器进行目的地查找，决定由哪块出口线卡转发。过滤、限速和报文头改写等入口特性也在这一阶段应用，之后数据包会被暂存在缓冲区中，直到交换结构准备好转发它。交换结构负责把所有线卡彼此连接起来。大型系统多采用纵横式或多级设计；例如思科的运营商路由系统（Carrier Routing System）采用基于信元交换的三级 Benes 结构，并被划分为若干相互独立的平面。路由处理器负责运行协议、构建路由表、把表分发给各线卡，并处理诊断和板卡管理。数据包缓冲区和输出队列则完成整体结构，因为拥塞最先出现的地方正是交换结构和出口端口。

转发查找既可以用软件完成，也可以用硬件完成。早期路由器由中央 CPU 查询保存在内存中的表，这种方式灵活且成本低，但速度慢，还持续占用处理器资源。现代在通用处理器上的软件转发依赖紧凑且对缓存友好的结构，例如前缀树（trie）。支持者指出，软件比硅片更容易修改；而硬件成本、功耗以及厂商集中等因素则会推高价格。高端路由器通常采用硬件转发，使用专用集成电路（ASIC）和三态内容寻址存储器（TCAM）。TCAM 保存带优先级的键值条目，单次查找即可将数据包与整张列表进行比较。FIB、访问控制列表和服务质量规则通常分别使用独立的 TCAM。其缺点也很现实：TCAM 价格昂贵；一块高密度器件在搜索全部条目时功耗可达 12 至 15 瓦；容量有限；而且由于条目必须保持优先级顺序，更新成本很高。

性能可以从多个角度衡量。吞吐量既用每秒数据包数表示，也用每秒比特数表示，因为小数据包对查找引擎的压力远大于大数据包。时延是数据包穿过设备所花费的时间，抖动则是这一时延的变化，对语音和视频影响很大。当某个输出端口的到达速率超过链路所能承载的速率时，数据包就会在队列中积压。队列管理决定如何处理这种拥塞：简单策略只在缓冲区满时丢弃数据包，而主动队列管理方案则会更早、更有控制地丢弃数据包，以保持队列较短。缓冲区深度需要权衡，因为深缓冲区可以减少丢包，却会增加时延和抖动。因此，要让所有端口同时达到线速，需要把 ASIC 设计、存储器选型和调度策略综合考虑。

设备类型与部署

路由器有多种形式，它们之间的界限因价格和厂商捆绑的功能而变得模糊。在低端，无线路由器（Wi-Fi 路由器）是一种既执行路由器功能、又包含无线接入点功能的设备。家用产品通常还会在路由功能之外加入交换机和防火墙，因为消费级路由器几乎总是路由与交换组件的组合，并且通常还会额外附带防火墙。ISP 提供的调制解调器通常是一台独立设备，其作用是连接运营商网络，且只适合将单台计算机接入互联网。地址转换使家庭网络能够克服这一限制：ISP 通常只提供一个公网地址，而路由器让每台笔记本电脑、电视和手机共享这个地址。

企业、校园和分支机构路由器处于中间层级，其典型问题是连接相距较远的站点。分支机构既可以继续使用 ISP 线路，并通过站点到站点的 VPN 与总部通信；也可以使用专线（如租用线路或城域以太网），使其成为总部网络的延伸，而无需经过互联网。一种常见设计是将租用线路与备用 VPN 搭配使用：VPN 平时处于空闲状态，直到专用链路出现故障才启用；连接租用线路的两台路由器必须配置为使用动态路由（OSPF、BGP 或 RIP）。厂商将这种故障切换描述为一种网络设计模型：当主链路中断时，网络可以自动切换到分支机构的 VPN。

运营商边缘路由器和核心路由器是为运营商网络打造的大型模块化系统。思科运营商路由系统（CRS）是一种模块化、分布式的核心路由器，通常部署在服务提供商网络的核心或边缘。容量是主要区别所在：单机 CRS-3 系统可处理 2.2 Tbit/s，而多机箱系统可设计为处理 322 Tbit/s。瞻博网络的 MX2020 同样是机箱式平台，标称吞吐量为 80 Tbps。角色也因所处位置而有所区分：提供商边缘（PE）路由器与客户的路由器相连，而 P 路由器则是位于提供商网络核心的提供商路由器。

专用和虚拟化形式覆盖的范围更广。中端运营商产品既有紧凑的 1U“披萨盒”式机型，也有支持热插拔模块并内置冗余的机箱式机型。一些白盒硬件符合恶劣户外环境的要求，例如某款设备可在 -40℃至 65℃的宽工作温度范围内运行，适用于偏远机柜。开放式设计还将硬件与软件分离：硬件可加载开放网络安装环境（ONIE），以支持安装兼容的网络操作系统（NOS）软件，因此同一台设备可以运行不同的网络软件。蜂窝路由器（以移动网络作为上行链路）、工业路由器，以及相互中继流量的无线网状网节点，填补了上述未涵盖的细分领域。运行在普通服务器或云平台上的路由软件，则是这一谱系中完全虚拟化的一端。

其他网络功能

除了选择路径，大多数面向家庭、办公室和分支机构销售的路由器还在网络边界提供各种服务。其中影响最大的是网络地址转换（NAT）。路由器改写外发数据包中的地址，使众多私有主机能够共用一个公网地址，同时维护一张转换表，以便将回复准确送回对应的内部主机。端口地址转换（PAT，也称 NAPT）在此基础上利用端口号区分不同会话，使单个公网 IPv4 地址就能为整个家庭或公司提供服务。NAT 从来不是 IPv4 地址耗尽问题的永久解决方案。它破坏了互联网的端到端模型，而且每个公网地址的端口数量有限，流量较大时端口可能被耗尽。与现有映射都不匹配的入站连接会被丢弃，这也使点对点应用变得更加复杂。

面向消费者和小型办公室的路由器通常还捆绑了若干其他服务。内置的 DHCP 服务器会为客户端设备分配地址、默认网关设置和 DNS 服务器地址。许多路由器还会把 DNS 查询转发给上游解析器，或直接用本地缓存作答。数据包过滤主要有两种形式。访问控制列表（ACL）是无状态的，它依据地址、协议和端口号等首部字段进行匹配，并对每个数据包单独作出允许或拒绝的决定，因此返回流量必须被明确放行。有状态防火墙则跟踪每个连接的状态，允许内网发起的会话所对应的回复通过。许多现代路由器同时结合这两种方式，而过滤正是本文其他部分所讨论的更广泛的网络安全措施的基础。

服务质量（QoS）用于应对拥塞，即提供的流量超过了外发链路的容量。路由器对数据包进行分类、标记、放入队列并调度发送，使对延迟敏感的流量优先得到服务。语音流量是一个常见例子：数据包可以被标记上区分服务代码点，并被移到优先队列的前端，从而在大量批量下载造成突发流量时减少延迟和抖动。流量整形与之相关但有所不同。它限制流量离开某个接口的速率，例如与远端链路的速度相匹配，或执行带宽策略，并且通常是将超量的数据包缓存起来，而不是直接丢弃。QoS 只有在路由器能够控制队列的地方才有效。它无法管理另一家运营商网络内部的拥塞，而且消费级设备的配置通常被简化为几个命名的应用类别。

路由器还可以充当加密虚拟专用网络（VPN）隧道的一个端点。在这种安排下，设备对发往远端站点（如分支机构）的流量进行封装和加密，并对来自该站点的流量进行解密，使两个网络看起来像是通过公共互联网直接相连一样。加密和密钥协商会占用处理器资源，因此 VPN 吞吐量是分支机构和企业机型的重要规格指标，许多设备会把这部分工作交给专用硬件来完成。一些部署还会处理组播流量，即一个发送方将相同的数据包交付给一组接收方。在本地网络上，主机使用 IGMP 等协议声明其组成员身份，路由器则借助组播路由协议在子网之间转发这些数据流。组播被用于一些视频分发和流媒体部署中，不过许多网络会限制其使用，以避免不必要的负载。

历史与商业化

商用路由器源于一个校园网络问题。1980年初，施乐公司向斯坦福大学、麻省理工学院和卡内基梅隆大学开放了其以太网技术的使用权。斯坦福的研究人员很快需要一种方法，将彼此独立的以太网网段连接起来，并接入全国性的互联网。以太网的设计（由梅特卡夫和博格斯完成）是一种更为通用的方案，因此很快被采用。这立即带来了对所谓"路由器技术"的需求。该任务交给了软件工程师比尔·耶格尔（Bill Yeager），他参与SUMEX-AIM项目，必须从零开始编写一个操作系统。他使用的机器是一台拥有56千字节内存的DEC PDP-11/05，这迫使代码必须极其紧凑。据记载，最终的系统是早期的软件驱动路由器，同时支持PUP以及后来的IP路由。第二个版本基于安德烈亚斯·贝克托尔斯海姆（Andreas Bechtolsheim）设计的一块板卡，能够路由PUP、XNS、Chaosnet和IP，并直接影响了后来基于硬件的商用路由器设计。

思科系统公司与起源之争

思科系统公司于1984年12月在加利福尼亚州门洛帕克注册成立。其创始人莱昂纳德·博萨克（Leonard Bosack）和桑德拉·勒纳（Sandra Lerner）是一对夫妇，二人都曾在斯坦福大学负责计算机相关工作：博萨克是计算机科学系实验室的负责人，勒纳则负责研究生院商学院的计算机设备。他们最初的实际工作是将校园内相距500码的两个局域网连接起来。据一种说法，斯坦福大学后来曾设法向这家新公司索取1100万美元的许可费。1987年，双方达成和解，斯坦福将路由器软件和两块计算机板卡授权给思科。思科于1986年推出了第一款产品，即一款用于TCP/IP协议族的路由器。

商用产品中有多少源自斯坦福的工作，又出自何人之手，这一点存在争议。耶格尔的支持者以他的代码为依据：一份传记资料称，新兴公司思科系统于1987年获得了该代码的授权，这些代码构成了第一代思科IOS的核心。勒纳本人的说法是，他们后来将斯坦福使用的软件改编成了日后思科IOS的基础。斯坦福工作人员汤姆·林德弗莱施（Tom Rindfleisch）撰写的观点则强调，所有这些工作都是耶格尔本人在SUMEX实验室中完成的，与博萨克或勒纳毫无关系。该观点还认为，到博萨克于1985年获得路由器源代码时，多协议路由器已经是相对成熟的技术。博萨克和勒纳的离职也有记载：1990年，勒纳被解雇，博萨克辞职。同年公司上市，到2000年互联网泡沫顶峰时，其市值达到5000亿美元，此后大部分市值蒸发。

20世纪80年代的标准化

20世纪80年代确立了路由器此后所实现的技术框架。以太网在IEEE 802委员会的工作中完成了标准化，OSI参考模型于1984年发布，作为对网络功能的分层描述。协议选择也在转变：互联网协议于1982年开始推广，用以取代ARPANET；ARPANET的军用部分在20世纪80年代初并入国防数据网，而民用的ARPANET于1990年停止运行，到那时NSFNET已成为全国的主干网。路由协议也随之改变。20世纪80年代末，美国国家科学基金会（NSF）主持了另一项具有里程碑意义的设计选择：转向以BGP取代EGP的路由协议。旧协议假定连接系统的路径是已知的，而BGP则支持完全去中心化的路由。

20世纪90年代的商业增长

随着互联网从科研用途扩展开来，市场对路由器的需求急剧上升。NSFNET的流量变化可以说明这一速度：其使用量急剧增长，从1988年1月的8500万个数据包跃升至1993年9月的370亿个数据包。1992年，美国国家科学基金会宣布计划逐步减少对互联网主干网的联邦资助，并鼓励商业实体建立私有骨干网。1995年4月30日，对NSFNET骨干网的联邦资助正式结束。此前，NSF曾资助北加州、芝加哥和纽约的交换点，骨干网运营商可以在那里交换流量。到20世纪90年代初，路由器行业已经存在，因为当时已有业界在制造符合广泛使用的软件协议的路由器。

外部路由随互联网一同增长。BGP第4版于1994年7月发布，首个版本以RFC 1654的编号发布。自治系统的数量也在增加：20世纪90年代初，互联网由仅几百个自治系统（AS）组成，它们以客户—提供商的方式相互连接，而如今已超过7万个。如此规模的增长，正是本文后续章节讨论路由表规模、收敛和安全性问题的原因之一。

标准、互操作性与安全

标准化组织与协议规范

路由器的行为主要由公开的规范定义。IETF 以征求意见稿（RFC）的形式发布这些规范。运行 BGP 的系统，其主要功能是与其他 BGP 系统交换网络可达性信息。这一行为由 RFC 4271 规定，该文件属于标准轨道文档，发布于 2006 年 1 月。OSPF 是一种链路状态路由协议，其第 2 版在 RFC 2328（1998 年 4 月）中规定，适用于 IPv4，IPv6 则有自己的路由和寻址 RFC。以太网端口的链路层行为是另一回事，由 IEEE 802.3 系列标准规定，而不是由 IETF 负责。

互操作性与厂商锁定

由于这些协议是公开的，不同厂商的设备通常可以互相交换路由。厂商文档可以体现这一点：思科的一份指南列出了其平台实现的 RFC，包括 Cisco NX-OS 所支持的 IETF RFC，而这些列表与其他厂商支持的内容基本相同。因此，运营者可以在同一网络中混用不同厂商的设备，避免把整个基础设施绑定到单一供应商。部分站点仍在使用专有协议，但据一篇关于 RFC 2328 的法语评述，OSPF 是迄今为止使用最广泛的内部网关协议，尽管 RIP 在某些地方仍在使用，IS-IS 也已有部署。

路由安全：BGP 劫持与 RPKI

路由层面最严重的威胁涉及互联网的外部路由。BGP 本身没有原生机制来验证路由公告的源头，因此任何自治系统都可以谎称自己是某个前缀的源头，即使它并不合法控制该前缀，从而将流量引向自己的网络。此类前缀劫持事件时有发生。一种相关手法是利用更具体的前缀：攻击者通过宣告更具体的前缀吸引流量，而无需从路由表中移除合法路由。意外的配置错误也很常见，因此在事件分析中，区分蓄意劫持与无意的路由泄露非常重要。

主要的应对措施是资源公钥基础设施（RPKI）。IETF 标准化了 RPKI，通过经过加密签名的路由源授权（ROA），将 IP 前缀与其合法的源自治系统绑定起来。边界路由器随后执行路由源验证（ROV），将通过 BGP 学到的每条路由划分为三种状态之一：有效、无效或未知。未通过验证的路由可以被丢弃。但这种保护有明显的局限。ROV 只检查源头，不检查路径上的其余部分，因此它无法证明路径上的每个自治系统都是可信的，也无法证明路径没有发生路由泄露。BGPsec 等路径验证扩展本可弥补这一缺口，但由于性能开销和运维复杂性，BGPsec 基本上仍未部署。采用情况也不均衡：ROA 的采用近年来增长迅速，而 ROV 的部署进展则慢得多。

设备层面的风险

许多安全问题存在于设备本身，而非协议之中。默认管理员凭据是一个长期存在的弱点。路由器的默认设置往往遵循可预测的模式，这些默认密码本身也很弱，通常有固定规律，例如 admin/admin 或 root/root。一项 2025 年针对 3,242 名用户的调查显示，81% 的人没有更改路由器的默认管理员密码。僵尸网络正是利用了这一习惯：Mirai 恶意软件家族利用弱默认凭据和漏洞入侵设备，从而获得攻击者的远程访问权限。2024 年 12 月，Juniper 警告称，在一场部署 Mirai 僵尸网络恶意软件的恶意行动中，使用默认密码的 Session Smart Router 产品正成为攻击目标。

固件维护的延迟或缺失使问题更加严重。2016 年 5 月，一种蠕虫利用了运行过时固件的 Ubiquiti Networks 路由器中的漏洞，借助默认登录凭据获得访问权限，并自我传播至其他存在漏洞的设备。有些厂商从不修复其缺陷：Quanta 决定不修补相关漏洞。一项针对嵌入式固件的大型分析发现，研究人员能够从打印机、路由器和摄像头的固件镜像中提取出 35,000 个 RSA 私钥、弱密码哈希和硬编码凭据。暴露的管理接口进一步扩大了攻击面。例如，华为的一个漏洞（CVE-2018-7900）导致凭据信息泄露，攻击者因此可以通过物联网搜索引擎找到使用默认密码的设备。常见的缓解措施包括更改默认密码、及时应用固件更新，以及限制对管理界面的访问。

软件定义网络与虚拟化

软件定义网络（SDN）并非单一产品，而是一种设计思路。它把传统路由器或交换机保存在设备本地的决策逻辑，转移到一个可以同时管理多台设备的控制器中。设备保留快速转发数据包的数据平面工作，而控制器负责为整个网络计算转发行为。两者通过南向接口通信。在经典的 SDN 模型中，控制器还会向管理、安全和编排等工具这类应用程序开放北向接口。

OpenFlow 是与 SDN 关系最密切的南向协议。开放网络基金会于 2011 年将其标准化。它使软件能够访问流表，而流表决定了交换机或路由器如何处理流量。当设备收到没有对应规则的数据流时，可以把数据包发送给控制器并等待指令。设备还会上报链路和端口的变化，并收集控制器读取的统计信息。其他南向方案也存在，包括 ForCES、OvSDB 和 NETCONF，但 OpenFlow 是应用最广泛的开放标准。许多商业产品会同时采用标准接口和厂商专有接口。

与之相关的一股潮流是网络功能虚拟化（NFV），其目标是取代执行网络功能的专用硬件设备。该理念由一组电信运营商提出，其 2012 年的白皮书促成了 ETSI 行业规范工作组的成立。NFV 用运行在通用服务器上的软件形式的虚拟化网络功能（VNF）取代专用设备，例如防火墙、负载均衡器以及部分路由功能。这些服务器通常由虚拟机管理程序管理，各功能还可以串联成服务链。在实践中，部署新服务意味着安装软件，而不是采购设备。路由和防火墙功能也可以作为虚拟机或容器运行在云计算平台中，目前大多数电信设备厂商都销售基于 ETSI NFV 标准构建的 5G 核心网产品。

白盒硬件与解耦走的是另一条路线。运营商不再购买厂商的一体化产品，而是把交换机硬件与网络操作系统（NOS）分开。白盒交换机采用多家芯片厂商提供的通用交换芯片，买家可自行选择网络操作系统，通常是基于Linux 的系统，例如 SONiC。在开放计算项目下开发的交换机抽象接口提供了一个通用层，使同一个网络操作系统能够运行在不同厂商的芯片上。业界还对几类产品作了区分：裸机交换机出厂时除引导加载程序外不带任何软件；白盒交换机由厂商预装软件；品牌白盒（brite-box）交换机则是以较低价格出售的品牌产品。其主要优势包括成本更低、减少对单一厂商的依赖，以及无需更换硬件即可更换软件。其代价则包括集成工作量、需要从两家供应商获取支持，以及故障跨越软硬件边界时责任归属不清的问题。

SDN 与虚拟化也引发了一些广为人知的设计争论。逻辑上集中的控制器可能成为单点故障：一旦它失效且没有备用，整个网络可能就无法再被管理，某些设计中甚至会导致流量中断。常见的缓解方式包括运行一对状态同步的主备控制器，或者由物理上分布的一组控制器对外呈现为一个逻辑整体。较新版本的 OpenFlow 允许交换机以明确的角色（如主控和平等角色）连接多个控制器。可扩展性是第二个问题，因为控制通道既要承载流请求，又必须保持可用和安全。OpenDaylight 和 ONOS 等开源控制器已在研究和产业中使用，但许多运营商是逐步采用 SDN 的，在网络的部分区域由控制器驱动，同时继续运行传统协议。SDN 在数据中心网络架构、大型运营商与云环境，以及有明确管理需求的校园或企业网络中应用最为广泛。用集中编程网络全面取代传统路由的进展，比早期预测要慢得多。

其他领域的"路由"

"routing"一词也用于与数据包转发相去甚远的领域。其中最活跃的是机器学习，在那里，一个经过学习的门控决定每段输入由哪些子网络处理。电路设计同样借用了在图中选择路径的思路，而木工领域有一个单独的词，只是拼写看起来相同。

专家混合模型

在专家混合（MoE）层中，若干专家子网络位于一个门控网络之后，该门控网络通常被称为路由器。对每个词元（token），门控会为每个专家打分，并且只把该词元发送给得分最高的少数几个专家。最简单的方案是 top-k 路由，即门控保留得分最高的 k 个专家。其他设计则反其道而行之：据2026年一项针对该领域的综述，在专家选择路由（expert-choice routing）下，每个专家自行挑选它要处理的词元，这样能提高专家的利用率和一致性。基于Transformer架构的语言模型通常把 MoE 层放在原本会是稠密前馈块的位置。Switch Transformer 让每个词元只交给一个专家（k=1），而 GShard 则交给两个（k=2）。

稀疏路由使模型的参数量可以远超其对任一单个词元的计算开销。每个词元只有一小部分专家参与运算，因此模型容量的增长远快于每个词元的计算成本。该方法有一个已知的失效模式：若放任不管，门控倾向于偏爱少数几个专家，而这些专家随后训练得更快，又会被更频繁地选中，研究者称之为路由崩溃（routing collapse）。常见的应对办法是加入一项辅助损失，促使词元大致均匀地分布到各个专家上。这些技术出现在大型大语言模型中，是其扩展能力的核心组成部分。

电路与印刷电路板布线

在电子设计自动化中，"布线"指铺设连接印刷电路板或集成电路上元件引脚的铜走线。这一问题本质上是网格图上的最短路径问题。C. Y. Lee 于1961年提出的迷宫算法就是早期的例子：它从一个引脚出发展开编号的波前，直到抵达目标，然后回溯出最短路线，同时绕开障碍物。此后许多工具将导线限制为水平和垂直线段，因此导线长度即其曼哈顿长度，也就是水平和垂直方向延伸长度之和。采用水平与垂直交替的布线层，即所谓的 X-Y 布线，可以减少布线面的阻塞，也非常适合自动化。

现代自动布线器采用迭代方式。PathFinder 方法最初为 FPGA 开发，其中每条边和每个节点都被视为共享资源。第一轮贪心地布通所有连线，之后各轮提高拥塞边的代价，并对问题最严重的连线重新布线，直到没有资源被过度占用。布局通常单独处理，常以半周长线长作为衡量电路板布线难易程度的代理指标。设计者还会有意用蛇形走线拉长部分走线以匹配时序，这一技术可追溯到20世纪80年代初的自动布线研究。

木工与数控路由机

木工用的 router 是一种高速手持切削工具，用于修整、成型和挖空木材及其他材料，通常配合成型刀头使用，也可安装在工作台上使用。其名称来自另一个英语动词，意为以凿削的方式挖空，因此在词源上与"路线"（route）一词无关。数控（CNC）路由机用一个由计算机控制的龙门架取代人手，沿 X、Y、Z 轴移动铣刀主轴，并遵循 CAD/CAM 软件生成的刀具路径。与金属铣床相比，数控路由机强调高主轴转速和大幅面板材的加工能力，而铣床则依赖大扭矩和刚性来加工硬质金属。这些机器都不转发数据，除了名称相同之外，与网络设备没有任何关系。

词源与发音

"router"是由"route"派生的施事名词。"route"从古法语进入英语，最终源自一个拉丁短语，意为被开辟或穿越的道路。名词"route"有两种常见读法：北美人通常将其读得与"out"押韵，而许多英国人则读得与"boot"押韵，设备名词"router"也遵循同样的读音分化。动词"to route"意为沿选定路径发送某物，其读音在每种变体中都与名词保持一致。与"router"的动词形式（几乎不用）相比，"route"的动词用法在网络和物流领域更为常见。

参考来源

1. What is Broadcast Domain in Networking? - PyNet Labspynetlabs.com
2. Broadcast domainen.wikipedia.org
3. Gateway addressen.wikipedia.org
4. Broadcast domain explainedgeek-university.com
5. Exploring Broadcast Domains: Definition & Impactvteams.com
6. Layer 2 Domainlearningnetwork.cisco.com
7. BGP in 2025blog.apnic.net
8. BGP Best Current Practices ISP/IXP Workshops 1 Last updated 4th April 2025nsrc.org
9. Longest Prefix Match - an overviewsciencedirect.com
10. Network switch memory interface configurationimage-ppubs.uspto.gov
11. What will happen when the routing table hits 1024kprefixx.net
12. The Evolving Landscape Of BGP: Past Five Years, Present State, And Future Directions • PALLAS DIGITALpall.as
13. Understand Administrative Distance - Ciscocisco.com
14. Administrative Distances for Routes - Introductiondocs.defenseorchestrator.com
15. Administrative distanceen.wikipedia.org
16. What Is the Routing Information Protocol (RIP)? - JumpCloudjumpcloud.com
17. RIP and RIPng Overviewjuniper.net
18. Routing Information Protocol (RIP) - GeeksforGeeksgeeksforgeeks.org
19. Cisco Secure Firewall Management Center Device Configuration Guide, 7.6 - RIP [Cisco Secure Firewall Management Center] - Ciscocisco.com
20. Dynamic Routing Protocols: Distance Vector vs Link Statepluralsight.com
21. Link State vs Distance Vector Routing Protocolsorhanergun.net
22. Routing: Distance Vector vs. Link Statebaeldung.com
23. Link-State Routing vs Distance Vector Routing vs Path Vector Routingccna-classes.com
24. What is a Routing Information Base (RIB)? - JumpCloudjumpcloud.com
25. What is a Forwarding Information Base (FIB)? - JumpCloudjumpcloud.com
26. Network distributed programmable forwarding plane packet processorimage-ppubs.uspto.gov
27. Custom routing information bases for network devicesimage-ppubs.uspto.gov
28. Forwarding information base entry priorityimage-ppubs.uspto.gov
29. Switching and Routing - Part 1. Router Architecturenetmanias.com
30. Route Processor - an overviewsciencedirect.com
31. Issues and trends in router design - Cornell: Computer Sciencecs.cornell.edu
32. Carrier Routing Systemen.wikipedia.org
33. Cisco CRS Carrier Routing System 16-Slot Line Card Chassis System Description - Switch Fabric [Cisco Carrier Routing System] - Ciscocisco.com
34. Router and switch architectureimage-ppubs.uspto.gov
35. Mutual table for enhancing software and hardware switched packet flow forwardingimage-ppubs.uspto.gov
36. Forwarding Hardware - Networking Notesnull.53bits.co.uk
37. Method and apparatus for performing network routing with use of power efficient TCAM-based forwarding engine architecturesimage-ppubs.uspto.gov
38. Cache-aware data structures for packet forwarding tables on general purpose CPUsarxiv.org
39. GOTO action in network traffic policiesimage-ppubs.uspto.gov
40. Wireless routeren.wikipedia.org
41. 0% found this document useful (0 votes)scribd.com
42. Solved: Setting up a Branch Office - Cisco Communitycommunity.cisco.com
43. Configure a Branch Office VPN for Failover from a Leased Linewatchguard.com
44. Use a Branch Office VPN for Failover From a Private Network Link — Configuration Examplewatchguard.com
45. HPE Networking routers: High-performance, programmable, and sustainable routershpe.com
46. PE-CE Lessons - NetworkLessons.comnetworklessons.com
47. TJ1400 Aggregation & Edge Routertejasnetworks.com
48. Aggregation Routerspine-networks.com
49. COR550 - Edgecore Networksedge-core.com
50. Network address translationen.wikipedia.org
51. Prioritize your traffic: understanding quality of service (QoS) on your routertotaldefense.com
52. What Is Router Quality of Service (QoS) and Why Should You Care?sip.us
53. NAT vs. PAT: Key Differences Explainedninjaone.com
54. What is Port Address Translation (PAT)? Use Cases, Advantages and Limitations - zenarmor.comzenarmor.com
55. Access Control Lists (ACLs): Types, Placement & Examplesittsystems.com
56. Transit Access Control Lists: Filtering at Your Edge - Ciscocisco.com
57. TCR Origin of Cisco Systemsweb.stanford.edu
58. Inside the Invention of the Stanford Router That Inspired Ciscootl.stanford.edu
59. The Origins of the Stanford University SUMEX-AIM Router Technology: A Historical and Technical Overview - 300000119 - CHMcomputerhistory.org
60. Cisco Systems Incencyclopedia.com
61. FinancialContent - The Network Weaves: A History of Cisco Systemsmarkets.financialcontent.com
62. Dr. William (Bill) Yeagerithistory.org
63. Sandy Lerneren.wikipedia.org
64. Ciscoen.wikipedia.org
65. Telephony communication via varied redundant networksimage-ppubs.uspto.gov
66. The Pre-commercial Internet under DARPAnber.org
67. The History of Border Gateway Protocolmedium.com
68. Method and system to reduce a number of border gateway protocol neighbors crossed to reach target autonomous systemsimage-ppubs.uspto.gov
69. Leonard Bosacken.wikipedia.org
70. Method and system to reduce a number of border gateway protocol neighbors crossed to reach target autonomous systemsimage-ppubs.uspto.gov
71. RFC 4271 on A Border Gateway Protocol 4 (BGP-4)mailarchive.ietf.org
72. RFC 2328 - OSPF Version 2datatracker.ietf.org
73. IETF RFCs Supported by Cisco NX-OS Unicast Featurescisco.com
74. RFC 2328 : OSPF Version 2 St´ephane Bortzmeyer <stephane+blog@bortzmeyer.org>bortzmeyer.org
75. TORCH: Characterizing Invalid Route Filtering via Tunnelled Observationarxiv.org
76. BGP Security: Route Hijacking and How to Detect It - DEV Communitydev.to
77. Stalloris: RPKI Downgrade Attackarxiv.org
78. RPKI and ROAs: Preventing BGP Route Hijacksobelinf.com
79. Cyber security authentication method for displayless networking deviceimage-ppubs.uspto.gov
80. 81% of Router Users at Risk: Default Passwords Expose Devices to Hackersblogs.npav.net
81. Decoding Router Vulnerabilities Exploited by Mirai: Insights from SonicWall’s Honeypot Datasonicwall.com
82. Juniper Warns of Mirai Botnet Targeting SSR Devices with Default Passwordsthehackernews.com
83. Botnetscyber.nj.gov
84. IDIoT: Securing the Internet of Things like it's 1994arxiv.org
85. Huawei Router Flaw Leaks Default Credential Statusthreatpost.com
86. BGP Hijacking - LogicMonitorlogicmonitor.com
87. OpenFlow - an overviewsciencedirect.com
88. Software-Defined Networking: A Comprehensive Surveyarxiv.org
89. A Survey on Software Defined Networking: Architecture for Next Generation Networkarxiv.org
90. Software-Defined Networking: State of the Art and Research Challengesarxiv.org
91. (PDF) Distributed SDN Control: Survey, Taxonomy and Challengesresearchgate.net
92. ETSI White Paper No. 54 Evolving NFV towards the next decadeetsi.org
93. ETSI NFV: A Decade of Transformation - LF Networkinglfnetworking.org
94. Network Service Orchestration: A Surveyarxiv.org
95. What Is Network Functions Virtualization (NFV)?ibm.com
96. Switch Abstraction Interface (SAI) - Breaking the Network Aggregationdesign-reuse.com
97. Everything You Should Know About White Box Switch - Asterfusion Data Technologiescloudswit.ch
98. The White Box Switch: Part 1nxp.com
99. Area-Efficient In-Memory Computing for Mixture-of-Experts via Multiplexing and Cachingarxiv.org
100. Understanding Mixture of Experts (MoE) Neural Networksintuitionlabs.ai
101. Mixture-of-Experts (MoE) LLMs - by Cameron R. Wolfe, Ph.D.cameronrwolfe.substack.com
102. Mixture of Experts in Large Language Modelsarxiv.org
103. What Is Mixture of Experts (MoE) and How It Works?nvidia.com
104. Token-Based Mixture-of-Experts Modelsemergentmind.com
105. Mixture of Experts Explainedhuggingface.co
106. What is Mixture of Experts (MoE)? How it Works and Use Cases - Zilliz Learnzilliz.com
107. GitHub - bbenchoff/OrthoRoute: OrthoRoute: A GPU-accelerated PCB autorouter for KiCad · GitHubgithub.com
108. PCB ROUTERS AND ROUTING METHODSspeedingedge.com
109. Iterative method for establishing connections and resulting productimage-ppubs.uspto.gov
110. System, method, and computer program product for optimization-based printed circuit board designimage-ppubs.uspto.gov
111. PCB Routing Methodsterratel.eu
112. CNC routeren.wikipedia.org
113. Router (woodworking)en.wikipedia.org
114. CNC Router vs Milling Machine: Which Is Right for Your Shop? - Wurth Machinerywurthmachinery.com
115. Best CNC Routers for Woodworking - STYLECNCstylecnc.com