BGP社区属性（Community Attribute）是一组附加在BGP路由上的标签，用于在路由器之间传递策略意图，让网络管理员可以灵活控制路由的发布、接收和选路，而不必逐条匹配前缀。
传统BGP策略往往陷入“一条条配”的困境：路由前缀动辄几十万条，逐条写策略既不现实，也难维护，社区属性就是为解决这种痛点而生的“贴纸”机制你可以把大量路由按业务、地域、客户等维度批量打上标记，在下游或上游路由器上依据标记统一执行策略，业内专家指出，社区属性是BGP策略从“蛮力配置”走向“精细化运营”的分水岭。
下面围绕大家在BGP路由策略中关于社区属性的常见疑问,逐一展开。
社区属性的工作原理是什么
想用好社区属性，先得理解它如何工作，BGP路由更新报文里有一个独立的路径属性字段，叫做COMMUNITIES，长度可变，最多可以携带数个乃至上百个社区值，传递过程中可被路由器识别、修改或删除。
社区值的编码规则
社区属性本质是一个32位数值，通常写作两个16位十进制数，中间用冒号分隔，格式为高16位:低16位，高16位一般代表自治系统号，低16位由该AS自行定义，含义自定，比如65001:100，可约定为“来自北京的客户路由”。
四种公认社区类型
- INTERNET：值
0:0，表示该路由可在全网传播，不加任何限制 - NO_EXPORT：值
0xFFFFFF01，表示该路由可发给对端AS，但禁止对端继续通告给其他AS - NO_ADVERTISE：值
0xFFFFFF02，表示该路由仅接收方自己使用，不得通告给任何邻居（包括EBGP和IBGP） - NO_EXPORT_SUBCONFED：值
0xFFFFFF03，表示该路由不得传出联盟子AS之外，通常用于联盟场景
一条路由如何带着社区值跨AS传递
AS 100 的路由器R1将路由10.1.0.0/16打上标记 65001:100 ↓ 发送给AS 200的R2 R2收到后查看COMMUNITIES属性，发现携带65001:100 R2按入方向策略处理：允许接收、拒绝接收、或修改标记 R2若将路由继续传给R3，可保留、追加或删除社区值
社区属性只在本地路由器上按需变化，不会自动“漂移”，也就是说，你是否把社区传给下一跳，完全取决于你配置的出口策略，这也是新手最常见的误区以为社区值会随着BGP路由自动一路传到底。
社区属性在路由策略中的典型应用场景
社区属性的真正价值在于“批量”和“解耦”,以下三个场景最为常见。
基于业务类型的路由过滤
运营商或大型企业经常需要区分“只在本AS内使用的路由”和“允许对外广播的路由”，给内部路由打上NO_EXPORT标签，发送给IBGP邻居时保留，但发布给EBGP邻居时自动抑制外传，这样一来，即使误配了全量路由发布,社区属性也能兜底防止内部路由泄露到公网。
基于客户等级的入方向选路
IDC服务商的典型需求是：普通客户只能通过单链路到达，VIP客户希望获得双链路冗余和最优路径，服务商可以给不同等级客户的路由打上不同社区值,如：
65001:100→ VIP客户，MED值设为5065001:200→ 普通客户，MED值设为100
对端路由器收到社区后，通过route-policy匹配社区值，统一修改MED或本地优先级，实现差异化的选路效果，相比逐条前缀配置,只需维护两三条策略即可覆盖成百上千条客户路由。
跨AS的策略协同
两个AS之间有大量互联前缀，并且希望统一管控，通过约定社区值语义，A侧打标，B侧执行，策略逻辑和路由数据分离，这样B侧管理员不必关心A侧每一个前缀的具体含义，只需要“认标不认路”。
社区属性相关配置与操作命令
不同厂商的命令风格有一定差异，这里以华为和思科为代表,给出实操层面的对照。
华为设备配置社区属性过滤
步骤1：定义Community过滤器
ip community-filter 10 permit 65001:100
步骤2：配置Route-Policy引用Community过滤器
route-policy MATCH_VIP permit node 10 if-match community-filter 10 apply med 50 route-policy MATCH_VIP permit node 20
步骤3：邻居入方向应用策略
bgp 65002 peer 10.0.0.2 as-number 65001 peer 10.0.0.2 route-policy MATCH_VIP import
华为如何修改社区值
- 在route-policy中使用
apply community 65001:300 additive，表示在原有社区列表上追加新标记 - 使用
apply community none可清除所有社区属性
思科设备配置社区属性过滤
思科通过ip community-list和route-map组合实现类似效果：
ip community-list 10 permit 65001:100 ! route-map MATCH_VIP permit 10 match community 10 set metric 50 ! router bgp 65002 neighbor 10.0.0.2 route-map MATCH_VIP in
思科的社区匹配默认是“精确匹配”（all），如需匹配列表中的任意一个，需要在community-list后加exact-match之外的参数，使用match community 10 exact-match来限定只匹配包含该社区且不含其他社区的路由。
查看路由携带的社区属性
- 华为：
display bgp routing-table community或display bgp routing-table 10.1.0.0 - 思科：
show bgp ipv4 unicast 10.1.0.0或show ip bgp community 65001:100
下表是两厂商命令的快速对照：
| 操作 | 华为 | 思科 |
|---|---|---|
| 匹配社区 | ip community-filter | ip community-list |
| 匹配并执行策略 | route-policy | route-map |
| 下发邻居策略 | peer route-policy | neighbor route-map |
| 查看社区路由 | display bgp routing-table community | show ip bgp community |
| 追加社区值 | apply community additive | set community additive |
配置社区属性时容易踩的坑
社区属性本身不复杂，但实际运维中经常出现“配了没效果”或“误传了不该传的标记”的情况,原因通常集中在以下几个方面。
默认不传递：出方向必须显式携带
BGP路由器默认不会向邻居通告社区属性，即使本地路由表里有社区值，必须在出方向策略中显式配置apply community或send-community（思科）才能保证传递，这是最容易被忽略的一步,华为设备默认也不传递社区属性。
对端入方向过滤会拦截路由本身
如果入方向策略使用了if-match community-filter deny，则匹配的路由会被直接拒绝，而不是仅仅“去掉标记”，这在过滤场景下的预期效果是一致的，但如果你只是想修改标记而保留路由，需要策略分支处理,避免把路由本身给过滤掉。
私有AS号的社区值要避免冲突
使用私有AS号（64512-65534）定义社区值时，要注意对端如果也使用相同AS号字段，可能导致含义被覆盖，跨机构协作时，建议提前约定社区值的编码规范,明确高16位的AS号归属。
EBGP和IBGP对社区值的处理存在差异
EBGP邻居之间传递时，如果路由的next-hop发生了变化，社区属性本身不受影响，但在联盟场景下，NO_EXPORT_SUBCONFED等类型的行为要特别留意，多数情况下，联盟内的子AS之间可以传递NO_EXPORT标记的路由,但不会传给联盟外的真实AS。
BGP社区属性相关的常见疑问快答
BGP community属性怎么用在现网中才效率最高
先梳理业务维度，确定哪些前缀属于同一策略组，再统一打标，建议将社区值语义维护成一份内部文档，使路由策略可被审计,也方便后续交接。
华为设备BGP社区属性配置命令到底怎么写
核心是三步：定义community-filter、在route-policy中if-match并apply、在BGP邻居视图下调用route-policy，如果只是透传社区而不做策略处理，则需要确认出方向携带additive参数,否则会覆盖原有社区值。
社区属性与AS Path过滤有何区别
AS Path过滤基于路径中的AS序列特征做匹配，属于“路径维度”；社区属性基于网络管理员自定义的标签，属于“策略维度”，AS Path无法表达“这条路由来自某个客户的某个业务”，社区属性可以。两者的关系是互补，不是替代。
无论从配置复杂度还是维护成本来看，社区属性都是BGP策略体系中“性价比”极高的一个工具，它用一串数值标签替代了成百上千条前缀级的重复配置，让路由策略从“看路配”升级为“看标配”，掌握了社区属性的原理和配置要点，再复杂的BGP路由策略也能变得清晰、可控、可扩展。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/643391.html
