Number Resource Society
如何使用 RPKI 防止未经授权的路由公告
从 BGP 的脆弱点出发，说明 ROA、验证器、VRP 和 ROV 如何协同工作，并把创建授权、逐步部署、监控和回滚放进可执行的运营流程。
本页内容
把密码学授权变成可持续的运营控制
这篇指南面向需要保护前缀的资源持有人和需要过滤公告的网络运营者。它保留原始文章的实施路径，同时把统计和引述当作需要按日期核验的背景资料。
RPKI 的价值不在于“开启后永远安全”，而在于让资源持有人能够明确授权起源，让网络能够验证并执行这个授权。
先理解 BGP 的脆弱点
BGP 负责传播自治系统之间的可达性，却没有内建的加密授权。未经授权的 AS 可以错误地公告一个前缀，造成流量绕行、黑洞或监听；意外泄露也会把路径传播到不该看到它的地方。
RPKI 不是修补所有 BGP 问题的万能方案，但它可以为“谁能作为起源公告这个前缀”增加可验证的依据。
RPKI 如何工作
资源持有人创建 ROA，签名声明某个 AS 可以发起某个前缀，并可设置最大长度。依赖方抓取并验证这些对象，生成 VRP；路由器再通过 RTR 等机制把公告与 VRP 比对。
这条链路的每一步都需要维护：证书、发布仓库、验证器、路由器连接和本地策略任何一处出错，都可能让结果延迟或误判。
为什么它能减少未经授权的公告
若没有任何有效 VRP 覆盖该前缀，状态是 NotFound；有覆盖但起源 AS 或前缀长度不符合任何授权时，才是 Invalid；至少一个授权匹配则是 Valid。执行过滤的网络可以拒绝 Invalid，减少起源型劫持的传播。ROV 不验证整条 AS 路径，无法识别所有路由泄露。
覆盖不完整时，NotFound 仍然是现实状态。安全部署需要把 Invalid、Valid 和 NotFound 的处理方式分开记录，不把“没有证据”误写成“已证明安全”。
创建 ROA：资源持有人的第一步
先盘点所有前缀、真实起源 AS 和更具体的公告，再在所属 RIR 的会员系统创建 ROA。指定错误的 AS 或过窄、过宽的最大长度，都可能把合法公告变成 Invalid，或留下不必要的空间。
托管式 RPKI 简化了证书和发布；委托式模型给有能力的团队更多控制。无论采用哪种方式，都要保留审批、变更和撤销记录，并在网络改变时同步更新。
部署 ROV
网络运营者可以运行 Routinator、rpki-client 等验证器，并通过 RTR 把结果提供给路由器。先以监控或 shadow 模式观察，再逐步对 Invalid 执行过滤，是降低切换风险的常见路径。
验证器应有冗余和独立监控；团队还要知道仓库不可用、数据过期、RTR 中断时系统会怎样。真正的控制包括可观察性和回滚，不只是一个过滤命令。
RPKI 实施的基本做法
ROA 侧要维护前缀清单、起源 AS 和最大长度，定期复核并在变更时同步。ROV 侧要先观察、确认路由器支持 RTR、配置多台验证器，并将结果纳入值班和事件响应。
分阶段上线、让团队理解 NotFound 的含义、保留测试公告和回滚步骤，能把一次安全改造变成可控的运营变化。
现实影响：把事故影响限制在更小范围
当受害者已经发布正确 ROA，而其他网络执行 ROV 时，未经授权的起源会更容易被标记和拒绝。它不能让所有网络同时采取行动，却能减少公告在支持验证的网络中的传播。
因此，RPKI 的效果既取决于资源持有人的覆盖，也取决于运营者是否执行验证。部署率、Invalid 过滤和实际事故之间的关系需要用最新数据分别核对。
仍然存在的挑战
部分覆盖、验证器和仓库可用性、软件缺陷以及团队维护不足都会留下缺口。一个过时的 ROA 可能和没有 ROA 一样危险，只是错误的形态不同。
管理者需要把 RPKI 当作变更管理和资产治理的一部分，明确谁负责、谁复核、谁在异常时决定暂停或回滚。
路由安全的下一步
RPKI 继续扩展，路径验证等机制也在发展。ASPA 等方向可能补充起源验证无法覆盖的路径问题，但新标准不会自动消除组织责任和部署复杂度。
未来的重点应是可验证的授权、透明的运营过程和更有韧性的治理，而不是把某一个工具包装成完整答案。
常见问题
什么是 ROA，为什么需要它？
ROA 是经过密码学签名的对象，声明某个 AS 可以发起某个前缀。正确创建它能让执行 ROV 的网络识别未经授权的起源。
RPKI 与 IRR 有什么不同？
IRR 用数据库表达路由策略，RPKI 用签名验证起源授权。两者都需要维护，通常应配合使用。
部署 RPKI 有风险吗？
直接切换到严格过滤可能有风险。先盘点、监控、测试、设置验证器冗余，再分阶段执行，可以把风险变成可观察、可回滚的变更。
RPKI 能阻止所有 BGP 劫持吗？
不能。它主要解决起源授权问题；路径操纵、错误策略、未覆盖前缀和运营故障仍需要其他措施。
如何查看自己的 RPKI 状态？
可以从所属 RIR 的 RPKI 门户、验证器、路由监测服务和内部路由系统查看 ROA 覆盖与 Valid/Invalid/NotFound 状态，并核对观察时间。
编辑说明：统计需要带日期阅读
原文发表于 2025 年 12 月 25 日，更新于 2026 年 7 月 15 日。原文中的覆盖率、事故比例和专家引述是历史文章材料；在作出生产变更前，应以所属 RIR、验证器和路由监测系统的当前数据为准。
把指南接到真实责任上
先盘点自己持有和公告的资源，再决定是修订 ROA、部署 ROV，还是寻求支持。NRS Shield 可以解释风险与支持路径；如需 NRS 代表你参与政策或选举事务，必须另行审阅 POA 的范围、期限、撤销方式和适用程序。