开放至公网的LDP（646端口）风险及暴露合理性咨询

1. LDP 646端口暴露至公网是否常见？白名单限制的假设是否正确？ #

• 这绝对不是常见操作，你的假设完全正确。LDP是MPLS架构中专用于域内标签分发的核心协议，仅需在MPLS网络内部的对等路由器之间通信。绝大多数网络管理员都会通过ACL（访问控制列表）严格限制646端口的访问范围，只允许MPLS域内已授权的LDP对等IP接入，绝不会将该端口暴露到公网。公网暴露属于严重的配置失误，完全违背了MPLS的域内通信设计原则。

2. 暴露646端口的风险及无签名/密钥破解后的危害 #

核心风险概述 #

将LDP 646端口暴露到公网，等同于直接向外部开放了MPLS网络的标签分发控制平面，攻击者可发起多种针对性攻击，直接威胁MPLS网络的可用性与数据安全性。

无签名或密钥破解后的具体危害 #

• 恶意标签注入与流量劫持：攻击者可伪装成合法LDP对等体，向目标路由器注入伪造的标签映射条目。一旦成功，目标路由器会将对应前缀的流量导向攻击者控制的设备，既可以实现数据包监听（截获敏感业务流量），也可以构建流量黑洞（直接丢弃流量导致网络瘫痪）。你描述的场景完全成立，这是LDP未授权访问最严重的危害之一。
• 路由表污染：持续注入虚假标签映射会导致路由器的LFIB（标签转发表）出现过载、冲突等异常，引发MPLS域内的路由混乱，大量流量无法正常转发，造成大面积网络中断。
• 资源耗尽攻击：攻击者可发起大量虚假LDP会话请求，耗尽路由器的CPU、内存资源，导致设备性能急剧下降甚至宕机，间接引发整个MPLS域的服务中断。

内容的提问来源于stack exchange，提问作者Justin Massey