文章总结： 信关站是卫星互联网接入地面骨干网的物理咽喉，承担射频信号到IP包的转换及BGP路由对接。文章解析了透明转发与再生架构差异、星间激光链路影响、硬件设计逻辑（抛物面天线与射频链路）、多普勒频移与雨衰等物理挑战及三级应对方案。指出信关站是流量汇聚单点，BGP劫持可影响国家互联网出口，云化后安全边界转向容器与软件供应链。 综合评分： 86 文章分类： 网络安全,红队,应急响应,安全建设,云安全

信关站揭秘：卫星互联网如何接入地面骨干网？

盛邦安全WebRAY

2026年7月15日 20:20 北京

在小说阅读器读本章

去阅读

以下文章来源于盛邦安全太湖实验室 ，作者太湖实验室

盛邦安全太湖实验室 .

关注卫星互联网、星地融合网络、互联网基础设施，用通俗语言解释复杂技术与行业变化。

数以万计的低轨卫星在头顶飞过，但你的数据最终还是要”落地”。

信关站（Gateway Station）是卫星流量汇入全球互联网的物理咽喉。理解它，就理解了卫星网络真正的瓶颈、单点故障和攻击面。

数据怎么”落地”

你用星链终端打开网页，数据飞向 550 公里高空的卫星。然后呢？

卫星不是互联网。它是一个飞行中继器，不存储、不路由，只负责把信号接力到下一跳。数据要真正进入互联网，必须回到地面——穿过大气层，落到一个信关站（Gateway Station），再经光纤汇入骨干网。

（注：信关站在部分文献和工程图纸中也称”网关站”或”关口站”，本文统一使用”信关站”，文中配图标注的”网关站”与之含义相同。）

多数人只关注发射和终端。但在 Google Earth 上看一座 Starlink 信关站——一片空地上摆着 8-9 个白色球形天线罩，旁边一栋不起眼的机房——这才是决定卫星互联网能不能用、稳不稳定的关键环节。一个站的总吞吐量超过 100 Gbps，直接通过 BGP 与骨干网对接。

这篇文章不涉及射频链路预算公式，从网络工程师的视角讲三件事：信关站为什么长这样、数据怎么从电磁波变成 BGP 路由、物理极限下怎么保链路不断。

系统架构示意图

两种架构，两种信关站

低轨卫星互联网分三段：空间段（卫星+星间链路）、用户段（终端）、地面段（信关站+核心网）。信关站是地面段的核心，也是天上几千颗卫星与地下光纤之间唯一的物理接口。

但信关站的角色取决于星座采用哪种架构。

| | 透明转发（Bent-pipe） | 再生架构（Regenerative） | | — | — | — | | 卫星功能 | 只放大变频，不碰数据内容 | 星上有处理器，能解调和路由 | | 信关站功能 | 承担全部基带处理和路由 | 退化为边界网关，主要跑 BGP | | 安全含义 | 流量集中落地，单点可审计 | 部分处理在太空完成，审计边界上移 |

目前多数商业星座以透明转发为主。这意味着信关站承担了几乎所有”把射频信号变成 IP 包”的工作。但随着再生架构演进，部分处理能力正在上星——安全从业者需要留意：未来的审计点可能不在地面。

星间激光链路改变了什么

早期没有星间链路，用户和信关站必须同时处于一颗卫星的波束下。用户在太平洋中央？那太平洋上必须有信关站。

Starlink 从 v1.5 起给卫星装上了激光通信终端，星间速率 100 Gbps。数据可以在太空中接力几千公里，找到一颗能看见信关站的卫星再落地。

直接后果：信关站不必追着用户建，而是集中选在光纤密集区——靠近 IXP、靠近数据中心。Starlink 的站点高度集中在北美和欧洲，原因就在这里。

硬件：为什么是大锅

抛物面天线的物理逻辑

用户终端用相控阵——小巧、免维护。信关站用几米直径的抛物面天线配机械伺服。不是落后，是场景不同：

Ka 频段（27.5-31 GHz）乃至 Q/V 频段（40-75 GHz）的空间传播损耗大，需要极高天线增益来补偿。增益和物理孔径正比——碟越大，收到的能量越多。金属抛物面天然宽带无色散，成本也远低于同等带宽的相控阵方案。

一句话：用户端要”小轻免维护”，选相控阵；信关站要”大带宽高增益低成本”，大锅是最优解。

射频链路

高频微波在同轴电缆中衰减极快，所以天线旁必须完成放大和变频：

• • 下行：天线 → LNA（低噪声放大，决定整个链路灵敏度）→ 下变频到 L 波段中频 → 送入机房
• • 上行：基带 → 上变频 → HPA 高功率放大（数百瓦至千瓦级）→ 天线发射

Starlink V3 的规格

根据巴西 Anatel 认证数据：单台天线重 1,750 kg、峰值功耗 6.6 kW、理论带宽 16 Gbps（实测峰值约 12.8 Gbps）。

一个阵地 8+1 天线。8 面同时追踪 8 颗卫星，维持约 100 Gbps 总容量。第 9 面是热备——提前锁定即将升起的下一颗卫星，实现”先建后断”切换。低轨卫星过境速度 7.5 km/s，单颗可见窗口只有几分钟，多天线并行是唯一选择。

信关站硬件栈示意图

基带处理

中频信号进入机房后：ADC 数字化 → FPGA 信道补偿 → DVB-S2X 解调 → LDPC 纠错 → 输出以太网 IP 包。电磁波到这一步正式变成路由器认识的 0 和 1。

从电磁波到 BGP

全链路

用户终端 → Ku 上行 → 卫星 A → 星间激光接力 → 下行节点卫星 → Ka 下行 → 信关站天线 → LNA/下变频 → 解调纠错 → 剥离卫星 MAC 层 → 输出 IP 包

到这里是物理层的活。接下来是网络层。

BGP 对接

信关站通过光纤接入 IXP 或运营商 POP，运行 BGP。Starlink 用 AS27277 跑内部核心网，用 AS14593 做外部 transit 对接。

信关站的 BGP 工作：向全球宣告卫星用户的 IP 前缀；同时拉取全球路由表，决定回程路径。

公开 BGP 数据可以直接观测：

# BGP AS path 示例（公开可查）
6908 6461 14593       # Zayo → Starlink
286 3257 14593        # GTT → Starlink
9002 14593            # RETN → Starlink

# 查询 Starlink 宣告的前缀
curl -s "https://stat.ripe.net/data/announced-prefixes/data.json?resource=AS14593" | jq '.data.prefixes[:5]'

# bgp.tools 可视化 AS14593 的上下游
# https://bgp.tools/as/14593#connectivity

traceroute 也能看到卫星链路的痕迹：

# 从星链终端 traceroute
traceroute -n 8.8.8.8
 1  192.168.1.1      1.2 ms    # 本地路由器
 2  100.64.x.x       2.1 ms    # Starlink 内部（CGNAT）
 3  172.16.x.x      20.3 ms    # Starlink 接入网/地面网关方向的内部节点，RTT 已包含卫星接入段
 4  206.224.x.x     21.5 ms    # Starlink 地面出口/PoP 附近节点
 5  142.250.x.x     25.8 ms    # Google 骨干

# 第 3–4 跳约 20 ms，符合 LEO 卫星接入到地面出口的 RTT 量级；
# 但 traceroute 显示的是从终端到各跳节点的往返时间，不能直接视为 hop 3→4 的单段时延或纯卫星链路 RTT。

社区信关站：一条路由切换，一个岛国上线

Starlink 面向运营商级客户提供社区信关站（Community Gateway）：4+ 面抛物面天线、独享 Ka 频段、上下行对称最高 10 Gbps、支持完整 BGP、可对接 PON。硬件约 125 万美元，月费约 7.5 万美元/Gbps。

实际案例：太平洋岛国瑙鲁（人口约 1.2 万），传统依赖海底光缆。部署社区信关站后，本国 ISP（AS55722、AS152706）将 BGP transit 迁移到 AS14593，绕过海缆实现全国骨干回传。下游通过 vOLT 将卫星 MAC 层转为 PON 帧，直接给居民提供光纤到户。

一条 BGP 路由变更，一个岛国的网络基础设施从海底搬到了太空。

三个物理级别的麻烦

多普勒频移

卫星速度 7.5 km/s。Ka 频段的多普勒频偏可达 340 kHz，变化率超 2 kHz/s——不补偿就锁相环失锁、链路断掉。

上行靠预补偿：信关站根据星历算出频偏，发射时主动反向偏移。下行靠实时追踪：PLL 为主，卫星过顶高动态阶段切换到 FFT 前馈补偿。对 IP 层完全透明。

雨衰

Ka 频段强降雨衰减 14.5 dB/km。Q/V 频段一场暴雨可以吃掉 30 dB——信号只剩千分之一。

三级应对，逐级触发：

1. 1. 功率硬扛（UPC）：加大发射功率，余量 15 dB，轻中度雨能顶住
2. 2. 降速保活（ACM）：功率用尽就降调制阶数、加纠错冗余，带宽打折但链路不断
3. 3. 异地切换（站间分集）：50-100 km 外有冗余站，光纤互联。暴雨是局部的，两站同时被盖住的概率很低，可用性 99.9%+

对网络工程师来说这套逻辑很熟悉：自动扩容 → 服务降级 → 异地灾备。

三级防御对比图

高速切换

单颗卫星可见窗口几分钟。切换方案：第 9 天线热备提前锁定新卫星（Make-before-break）；算法按信号质量 + 剩余可见时间综合决策，避免乒乓；基带层双播保证 TCP 无感。

公开论文数据：引入稳定度惩罚后，无效切换减少 64%，可用性保持 90.2%+。

值得注意的一点：双播期间数据同时走两条链路，信令密度骤增。这是一个短暂但真实的攻击窗口。

下一步：虚拟信关站

传统信关站有个硬约束：模拟信号在电缆中衰减快，解调器必须紧挨天线。扩容要加机房，灾备要在另一个偏远地点复制一套。

Digital IF 打破了这个绑定：在天线旁用 ADC 直接数字化，封装成 IP 包，通过光纤送到几百公里外的数据中心处理。天线阵地只剩天线和一个光纤口。

更进一步，硬件解调器变成跑在通用服务器上的 VNF 软件，催生了 GSaaS（地面站即服务）模式。弹性伸缩、远程升级、成本大降。

但攻击面也跟着迁移了。传统信关站要物理接近才能攻击；云化后面对的是容器逃逸、供应链投毒、API 暴露——标准 IT 安全问题。信关站正在从通信工程师的地盘，变成 IT 安全团队的防护范围。

架构演进对比图

全球布局

| 维度 | Starlink | 千帆星座 | 国网星座 | | — | — | — | — | | 定位 | 商业全球化 | 商业+国家战略 | 国家基础设施 | | 卫星规模 | 6,000+ 在轨 | 200+ 在轨，年内 300+ 试商用 | 规划 13,000 颗 | | 信关站 | 150+（全球） | 松江、抚远、漠河等 + 海外测试 | 一期 7+ 节点 | | 选址逻辑 | 靠近 IXP | 核心城市 + 边境 + 海外 | 国土战略纵深 |

Starlink 的 AS14593 接入了 72 个 IXP、部署在 52 个数据中心。从网络拓扑看，它更像一个全球 Tier-2 运营商，而不仅仅是卫星公司。

千帆星座（上海垣信）已完成松江信关站与香港终端的对接验证，海外在马来西亚、蒙古、哈萨克斯坦测试。正寻求最高 150 亿元融资加速组网。

国网星座（中国星网）一期信关站覆盖乌鲁木齐到深圳的七个节点——横跨东西、贯穿南北，目标是自主可控的天地融合骨干网。

对安全从业者的三个判断

物理层：信关站是流量汇聚的物理单点。雨衰致区域中断、切换窗口有双链路暴露、供电和光纤都是打击目标。站间分集提供冗余，但站点数量和间距决定了真实抗毁能力。

路由层：AS14593 已经是多个太平洋岛国的主要 transit provider。对这个 ASN 的 BGP 劫持，影响的不是某个用户，而是某个国家的互联网出口。

架构层：GSaaS 云化后，安全边界从”物理围栏 + 专用固件”变成”容器隔离 + 软件供应链”。这是能力要求的根本转变。

信关站的形态在变，但它作为天地间物理桥梁的本质不会变。只要卫星互联网还需要接入骨干网，这个节点就绕不过去。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：盛邦安全WebRAY 《信关站揭秘：卫星互联网如何接入地面骨干网？》