如何核查 BGP 中是谁在宣告一个 IP 前缀

先把“看见”“登记”和“获授权”分开

BGP 观察当前路由，RDAP 观察登记，RPKI 观察特定起源授权；它们不能相互替代。

示例使用保留地址与示例 ASN，展示核查方法，不是生产网络的实时观察。

先看谁在宣告这个前缀

要回答“谁在宣告一个 IP 前缀”，先记录具体前缀，再查看多个路由数据源。BGP 告诉我们此刻观察到哪个 ASN 在起源位置；它不会自动回答登记、授权或法律权利问题。

IP Prefix: 203.0.113.0/24
Observed BGP Origin: AS64500

203.0.113.0/24
AS64510 AS64520 AS64500

Origin ASN: AS64500

Prefix: 192.0.2.0/24
Origin ASN: AS64500

第一步：写下要核查的前缀

先分清单个地址、注册范围和实际路由前缀。一个 /24 可能只是注册 /23 的一部分，核查时必须写下完整 CIDR、时间和数据来源。

203.0.113.45

203.0.113.0/24

Registered range:
203.0.112.0/23

203.0.112.0/24
203.0.113.0/24

203.0.112.0/23

第二、三步：查找 BGP 数据并识别起源 ASN

在 RIPEstat、RIS、RouteViews 等路由数据服务中查找前缀，阅读 AS path 的末端。通常最右侧 ASN 是观察到的 origin ASN，但 AS_SET、联盟和数据视角都需要保留在记录里。

203.0.113.0/24
AS3356 AS1299 AS64500

AS64500

第四步：把 BGP 与 RDAP 放在一起看

RDAP 说明资源登记记录，BGP 说明当前可见的路由。两者回答不同问题；登记组织和起源网络可能不同，也不能仅凭任一记录推断所有权。

RDAP:
Prefix: 203.0.113.0/24
Organization: Example Network Ltd.

BGP:
Origin ASN: AS64500

RDAP organization:
Example Enterprise Ltd.

BGP origin:
AS64496 — Example Transit Provider

第五步：核对 RPKI 授权

RPKI 用 ROA 表达某个 ASN 是否被授权起源某个前缀以及最大长度。Valid、Invalid、NotFound 是验证状态，不是对组织品格或整条路径的判断。

ROA:
Prefix: 203.0.113.0/24
Authorized ASN: AS64500

203.0.113.0/24 → AS64500

Expected origin
        ↓
ROA authorization
        ↓
Observed BGP origin

ROA:
203.0.113.0/24 → AS64500

BGP:
203.0.113.0/24 → AS64500

Valid

ROA:
203.0.113.0/24 → AS64500

Observed BGP:
203.0.113.0/24 → AS64501

BGP:
203.0.113.0/24 → AS64500

ROA:
None found

第六步：查看 IRR 路由对象

IRR 对象可帮助检查网络运营者登记的路由意图，但对象可能过期、重复或缺失。它是辅助证据，不是实时 BGP 的替代品。

route: 203.0.113.0/24
origin: AS64500

第七步：检查更具体的前缀

更具体的路由可能只吸引一部分地址空间的流量。比较 /24 与 /23 的可见性，才能知道表面上的起源是否掩盖了更具体的公告。

203.0.112.0/23 → AS64500

203.0.113.0/24 → AS64501

第八步：理解多个起源 ASN

同一前缀出现多个 origin ASN 可能是迁移、anycast、多宿主或缓解攻击。先验证是否有预期的两个来源，再把异常与恶意行为区分开。

203.0.113.0/24 → AS64500
203.0.113.0/24 → AS64501

第九步：比较不同 BGP 视角

单个观测点可能暂时看不到路由。用不同收集器、地区和时间重复检查，并保存查询时间，避免把缓存或局部视角当作全球事实。

第十步：回看路由历史

历史序列可以把起源变化和供应商迁移、ASN 变更、配置事故或事件时间线联系起来。它提供线索，不能单独证明原因。

January:
203.0.113.0/24 → AS64500

May:
203.0.113.0/24 → AS64501

把登记、路由和授权分成三层

登记状态、实时路由状态、RPKI 授权和内部预期是四类不同事实。把它们并列记录，调查才不会把“登记了”误写成“正在使用”或“已获授权”。

Registry:
Example Company Ltd.

Expected ASN:
AS64500

RPKI:
AS64500 authorized

Live BGP:
AS64501

BGP 不能单独证明什么

BGP origin 不等于资源所有者，也不等于授权证明。RDAP 不是当前路由表，RPKI 也只覆盖匹配的起源授权；合同和适用规则仍需单独核对。

Registered organization:
Enterprise A

Origin ASN:
Transit Provider B

遇到起源突然变化怎么办

意外的起源变化可能来自供应商或 ASN 迁移、DDoS 缓解、anycast、配置错误、route leak 或未授权公告。先确认事实，再判断影响。

看起来宣告错误时如何响应

按照前缀、多个观测视角、登记资料、RPKI、IRR、近期变更、更具体路由和相关网络的顺序保存证据。联系对方时说明观察到的 ASN、预期 ASN 和时间。

Observed ASN
vs
Authorized ASN

建立自己的公告监测

维护预期前缀、预期 ASN、可见地区、RPKI 状态和未知来源的清单。监测的价值在于尽早发现偏离，而不是把每次变化都判成攻击。

资源转移期间检查路由

转移或并购期间要同时更新登记、ROA、IRR、rDNS、联系人、上游过滤器和内部清单。登记完成不代表新路由已经部署。

最重要的核查模式

最可靠的模式是把观察到的 ASN 与授权 ASN、登记组织和内部记录并排比较，再从多个视角和时间点复核。

1. Identify the prefix
        ↓
2. Check RDAP
        ↓
3. Check live BGP
        ↓
4. Identify origin ASN
        ↓
5. Check RPKI
        ↓
6. Review IRR
        ↓
7. Compare with internal records

一份可以重复使用的核查清单

这份清单把前缀、可见性、origin、AS path、more-specific、MOAS、RDAP、RPKI、IRR、历史和连续性责任放在一起，适合审计与交接。

为什么这关系到号码资源管理

号码资源是基础设施，不只是数据库里的一行。能否持续寻址、谁能变更、谁能在异常时采取行动，都会影响业务连续性和治理参与。

关于 BGP 起源核查的五个问题

1. 谁在宣告这个前缀？

在 RIPEstat、RIS、RouteViews 等数据服务中查询前缀，记录多个观测点看到的 origin ASN。

2. 什么是 BGP 起源 ASN？

Origin ASN 通常是 AS path 末端、被观察为起源的 ASN。它不是登记组织的同义词。

3. 起源 ASN 就是所有者吗？

不一定。技术起源、登记、合同和法律权利可能分别属于不同主体。

4. RDAP 能显示当前起源吗？

不能可靠地告诉你当前哪个 ASN 在宣告。RDAP 与实时 BGP 需要分开查询。

5. 如何核查宣告是否获得授权？

查看匹配的 RPKI ROA，并结合登记记录、IRR、内部预期和实际路由。

来源与证据

Ann Yong 于 2026 年 9 月 24 日发表本文，源站于同日更新。本版按中文读者的技术阅读习惯重新组织正文，保留原文的路由示例、表格和 FAQ，并把新增说明与原始论断分开。

技术参考

如何阅读 RDAP 记录 · ASN 与 IP 地址的区别 · RFC 4271：BGP-4 · RFC 6811：BGP 起源验证 · RFC 9582：ROA · RIPEstat 文档 · Route Views

从核查路由，到保护资源连续性

先记录事实，再决定是否需要支持。NRS Shield 与 POA 代表授权是两条不同路径：阅读、提问或寻求帮助不会自动产生代表权限。

了解 NRS Shield · 了解 POA 与代表授权 · 查看当前行动