Number Resource Society
ROA 覆盖率与 ROV 采用率：2026 年数据告诉了我们什么？
有了路由授权，为什么还没有同等广泛的保护？从 APNIC 的测量数据出发，分清授权、验证与实际过滤，并落实到自己的资源审计。
本页内容
授权已经写下，路由是否真的会检查？
发布 ROA，是说明哪个 ASN 可以发出某个前缀；部署 ROV，是让网络用这些授权检查收到的路由，并采取相应措施。APNIC 2026 年 2 月的样本中，IPv4 和 IPv6 路由的 Valid 比例分别为 60.3% 和 60.9%，但测得具备 ROV 保护的观测点约占 26.6%。两者分母不同，不能相减得出一个精确的“安全缺口”。真正需要关注的是：授权数据的增长，还没有自动变成同等广泛的实际过滤。
ROA 覆盖率在衡量什么？
ROA 是经过数字签名的 RPKI 对象，声明资源持有者允许哪个 ASN 宣告哪些 IP 前缀。RFC 9582 定义了这种授权。覆盖率通常从可见路由出发，统计它们与有效授权的对应关系。Valid、Invalid、Not Found 是校验结果，不等于网络已经执行了过滤。以下地址与 ASN 均为示例。
Prefix: 203.0.113.0/24
Origin ASN: AS64500
ROV 如何影响路由？
网络将收到的 BGP 路由与验证后的 RPKI 数据比较，再把结果交给本地路由策略。示例中，AS64500 的起源与授权一致；若只有这一条授权，换成 AS64501 就不匹配。网络可以拒绝 Invalid 路由，也可以先观察或降低优先级。判断必须检查所有覆盖该路由的有效授权，不能随意挑一条 ROA 作结论。
203.0.113.0/24 → AS64500
203.0.113.0/24 → AS64500
203.0.113.0/24 → AS64501
2026 年 2 月的全球快照
下面两张表记录的是 APNIC 当时观测到的路由状态，不是今天的实时读数。相较 2025 年 2 月，IPv4 的 Valid 比例提高约 6 个百分点，IPv6 提高约 7 个百分点。这说明授权记录正在增加，不能据此推断所有网络都已经使用这些记录过滤路由。
IPv4：60.3% 为 Valid
同一批观测中，仍有 37.7% 的 IPv4 路由没有找到覆盖授权，另有 2.0% 不匹配已有授权。
| RPKI 状态 | 观测路由占比 |
|---|---|
Valid | 60.3% |
Not Found | 37.7% |
Invalid | 2.0% |
IPv6：60.9% 为 Valid
IPv6 的 Not Found 为 36.1%，Invalid 为 3.0%。使用 IPv6 并不天然免于起源错误，同样需要维护授权和验证策略。
| RPKI 状态 | 观测路由占比 |
|---|---|
Valid | 60.9% |
Not Found | 36.1% |
Invalid | 3.0% |
ROV 数据必须连同测量方法一起读
APNIC 2 月测得全球 ROV 约为 26.6%；其印度分析引用的 7 月下旬全球数值为 26.92%。这些数字来自特定观测方法，不能直接理解成相同比例的 ASN 都亲自配置了过滤。上游网络的过滤也可能保护下游观测点。表中地区数据属于 2 月快照，不应与 7 月读数混为一批。
| 地区 / RIR 测量范围 | 测得 ROV |
|---|---|
ARIN | 61.3% |
RIPE | 35.3% |
全球 | 26.6% |
APNIC | 13.2% |
为什么发布授权比实施验证更容易？
制作 ROA 主要是确定前缀、起源 ASN 和允许的长度。ROV 则要进入生产路由策略，影响来自客户、对等网络、上游和路由服务器的通告。拒绝、降优先级、观察或临时例外，都会改变运行结果，因此需要明确责任、测试和异常处置。
运营团队为什么谨慎？
误丢合法流量、客户验证不完整、旧有开通系统、过期 ROA、自动化不一致和例外管理，都是部署障碍。这不是放弃 ROV 的理由，而是要求把授权维护纳入变更流程。例如起源从 AS64500 迁到 AS64501，旧 ROA 未更新，真实业务路由也可能变成 Invalid。
Original routing:
203.0.113.0/24 → AS64500
ROA:
203.0.113.0/24 → AS64500
203.0.113.0/24 → AS64501
让登记、授权与实际路由保持一致
资源由谁管理、哪个 ASN 被授权、BGP 实际宣告什么、近期是否换了服务商或前缀长度，是四个相关但不同的问题。ROA 不是 BGP 通告，登记信息也不能证明当前授权正确。把资源管理、RPKI、路由配置与变更记录连起来，才有办法及时发现偏差。
东南亚的增长说明了什么？
APNIC 2 月的 IPv4 数据中，东南亚 Valid 达 92.4%，东亚为 31.0%。技术已经存在，并不意味着各地采用速度相同。运营社群、培训、激励、大型网络参与和基础设施政策都会影响落地。表中比例按原报告保留，四舍五入后不一定恰好合计 100%。
| 亚太子区域 | Valid | Not Found | Invalid |
|---|---|---|---|
东南亚 | 92.4% | 7.2% | 0.4% |
南亚 | 89.9% | 9.8% | 0.3% |
大洋洲 | 73.6% | 26.3% | 0.2% |
东亚 | 31.0% | 68.4% | 0.6% |
IPv6 的地区差异同样明显
大洋洲和南亚的 IPv6 Valid 比例已接近完整覆盖，东亚仍明显偏低。较新的地址协议并不会替运营者完成授权维护，也不会自动建立过滤策略。
| 亚太子区域 | IPv6 Valid 占比 |
|---|---|
大洋洲 | 97.1% |
南亚 | 96.6% |
东南亚 | 78.7% |
东亚 | 21.9% |
印度尼西亚：协作可以加速部署
APNIC 报告指出，印度尼西亚 IPv4 ROA 覆盖率从略高于 60% 增至 2025 年末约 90.6%；2026 年初测得 ROV 约为 22%。IIX 在路由反射器环境采用丢弃 Invalid 的策略，让正确维护 ROA 成为参与网络的现实需要。授权覆盖与过滤实施仍是两项进度不同的工作。
印度：高覆盖不等于广泛验证
2026 年 8 月的 APNIC 分析引用了 7 月下旬数据：印度 IPv4 的有效 ROA 覆盖为 88.04%，IPv6 为 97.91%；测得 ROV 为 0.99%，同口径南亚为 3.14%，全球为 26.92%。这不能用来断言印度每家网络的安全状况，却清楚说明发布授权并不保证授权被广泛使用。
授权信号如何变成保护？
资源持有者发布 ROA，验证器取得并验证数据，网络再据此校验路由、执行策略。任何一环缺失，都可能让正确的授权无法影响某条路由的处理。下面的流程是概念示意，不表示所有网络都采用完全相同的部署方式。
资源持有者
↓ 发布 ROA
取得并验证 RPKI 数据
↓ 提供有效授权
网络校验路由起源
↓
执行路由策略Valid 能证明什么？
只要至少一条覆盖该路由的有效授权允许其起源 ASN 和前缀长度，路由就可判为 Valid。它不能证明路径最优、完整 AS 路径可信、没有路由泄漏、地址信誉良好，或整个网络安全。
ROA:
203.0.113.0/24 → AS64500
BGP:
203.0.113.0/24 → AS64500
Invalid 为什么不等于攻击？
存在覆盖授权，但没有任何一条允许当前起源与长度组合，才是 Invalid。原因可能是未获授权的通告，也可能是迁移后遗留的 ROA、错误 ASN、过窄的 maxLength 或配置失误。应当调查原因，不能仅凭状态认定恶意。
Not Found 留下了什么空白？
没有经过验证的覆盖授权，就无法完成这项授权核验。Not Found 本身不说明路由恶意。2 月样本中 IPv4 的 37.7% 和 IPv6 的 36.1% 仍属此类，说明提高覆盖率与部署 ROV 都有必要。
过期授权也会中断正常业务
更换服务商、ASN 迁移、地址转移、网络合并、前缀拆分和灾备切换，都可能让实际路由与 ROA 脱节。资源转移登记完成，不代表路由安全交接也完成；接收方开始宣告之前，还要核对新起源、原授权和撤销时序。
maxLength 要按真实需要设置
maxLength 限制授权允许的最具体前缀长度；没有填写时，只允许 ROA 中的确切前缀。示例授权到 /24，随后宣告 /25，即使 ASN 不变也可能成为 Invalid。把范围放得很宽虽然减少某些误报，却也授权了原本无意允许的更具体通告。应明确需要哪些前缀，随网络变更更新授权。
Prefix: 203.0.113.0/24
Origin: AS64500
maxLength: /24
203.0.113.0/25
起源验证没有验证整条路径
ROV 回答的是“这个 ASN 能否宣告这个前缀”，并不逐段认证完整 AS 路径。路径中的泄漏、操纵、异常属性和策略错误仍需其他控制措施。起源为 Valid，也不能据此断言一条路由不存在任何劫持风险。
AS64510 → AS64520 → AS64530 → AS64500
RPKI 与 IRR 各自解决什么？
RPKI 提供可加密验证的起源授权；IRR 记录更广泛的路由策略与关系。两者可以共同支持过滤生成和审计，但任何一个数据库都不是运行中网络的完整镜像。要把登记、授权、策略和 BGP 观测放在一起核对。
ROV 最终是一项运行决策
验证放在哪里，验证器如何向路由器提供数据，Invalid 如何处理，例外由谁批准，数据过期或故障时怎样处置，都需要明确安排。路由、安全和资源管理团队必须共同维护这条链路，不能把发布 ROA 当作项目结束。
网络所处的位置也很重要
大型上游、主要 ISP 和交换中心可以影响大量用户看到的路由。部署价值不能只看采用验证的 ASN 数量，还要看这些网络在拓扑中的位置。因此，少数关键网络实施过滤，也可能带来广泛的下游影响。
交换中心如何降低部署门槛？
IXP 的路由服务器可以集中验证并按策略处理通告，减少参与网络重复建设的成本。印度尼西亚的经验说明，共享基础设施与运营协作可以推动采用。不过，成员仍要理解自身路由、授权与例外，不能完全依赖交换中心替自己承担责任。
先审计自己的资源
全球比例提供背景，真正影响业务的是自己的前缀、授权、实际通告和控制权限。以下八个问题应能找到记录、责任人和核验结果。
1. 我们宣告哪些前缀？
列齐重要的 IPv4 和 IPv6 前缀，覆盖常态运行与灾备路径，避免只审计最容易看到的一部分。
2. 每个前缀应由谁发起？
建立前缀与预期起源 ASN 的对应表。以明确的运行意图为基准，才能判断后续观测是否异常。
Prefix → Intended Origin ASN
3. 授权是否匹配？
检查覆盖 ROA 的前缀、起源 ASN、maxLength 以及验证有效性。需要同时检查全部相关记录，避免漏掉另一条允许当前路由的授权。
4. 公网实际看到什么？
核对实际可见的 BGP 通告，而不只看内部配置或已经提交的变更单。
5. IRR 信息是否一致？
查找过期、冲突或仍指向旧起源的 route、route6 等对象，核对它们是否符合当前运行意图。
6. 谁能管理 RPKI？
确认管理权限、备用负责人和恢复流程。不能让授权控制依赖某一位员工仍能登录。
7. 变更会触发授权复核吗？
更换上游、ASN、前缀长度和网络架构时，把 ROA 检查安排在变更前后，并明确发布与撤销的顺序。
8. Invalid 会被及时发现吗？
持续监测 Invalid 和意外起源，明确告警接收者、排查方式与例外关闭时间，不让异常长期无人处理。
把检查落实到每一层
这张清单把登记、前缀、ASN、授权、路由策略、权限和连续性放在同一张工作表中。逐项留下证据，比只报告“已启用 RPKI”更有用。
| 层面 | 核查内容 |
|---|---|
注册登记 | 资源与组织信息正确 |
IP 前缀 | 宣告资源完整列入台账 |
ASN | 预期起源有记录 |
ROA | 前缀与起源授权正确 |
maxLength | 不超出实际运行需要 |
BGP | 实际通告符合预期 |
ROV | 在适当位置落实验证策略 |
IRR | 路由对象反映运行意图 |
监测 | 能发现 Invalid 与意外起源 |
访问权限 | RPKI 管理权限可恢复 |
变更管理 | 路由变更触发 ROA 复核 |
连续性 | 人员或服务商变化后文档仍可用 |
这些数据带来的七点判断
2026 年的资料同时显示进展和缺口。它们支持分层改进，不能替任何单一网络作安全结论。
1. 授权采用跨过了一个门槛
2 月全球样本中，IPv4 和 IPv6 的 Valid 都超过 60%，说明越来越多持有者提供了可验证授权。
2. 未覆盖部分仍然很大
超过三分之一的观测路由仍为 Not Found。没有授权数据，就缺少起源核验所需的依据。
3. 验证实施仍需推进
有授权不等于会使用授权。需要推动验证策略进入生产，并处理配置、监测和例外管理中的实际难题。
4. 各地不存在统一进度
东南亚与东亚的 IPv4 差距说明，全球平均值会掩盖地区差异。部署方式需要回应当地运营条件。
5. 高覆盖没有自动兑现为过滤
印度的数据把这种区别表现得很清楚。评估成果时，应分别报告授权状态与测得的过滤行为。
6. 准确性与数量一样重要
过期 ROA 可能让合法业务变成 Invalid。增加记录的同时，必须保证它们及时反映真实授权。
7. 运维纪律无法被替代
准确台账、正确 BGP 配置、持续维护 ROA、合适的策略、监测和变更管理，需要一起工作。
授权应服务于运行中的网络
强加密并不能挽救错误的授权关系。前缀、ASN、长度、资源关系和实际变更都准确，授权才有运行价值。这也指向 NRS 关注的治理问题：谁有权修改这些记录、运营者如何理解并参与相关决策。技术状态、行政控制和成员授权应分别说明，不能混为一种权利证明。
下一步：让正确授权真正发挥作用
建立准确 ROA，与 BGP 保持同步，谨慎部署验证，监测 Invalid，并在转移和迁移时重新核对。目标不是增加对象数量，而是让授权持续支持真实网络。遇到资源层风险可了解 Shield；委托 NRS 代表参与治理，则应另行理解 POA 的范围、期限、决策权与撤回方式。
常见问题
ROA 覆盖率与 ROV 采用率有什么区别？
前者看路由有没有相应的授权数据，后者通过测量推断网络是否利用这些数据验证和处理路由。分母与方法不同，不能相减得出精确的保护缺口。
2026 年有多少 IPv4 路由为 Valid？
APNIC 2 月的全球观测中约为 60.3%；Not Found 为 37.7%，Invalid 为 2.0%。这是当时的样本。
IPv6 的 Valid 比例是多少？
同一次分析报告为 60.9%，另有 36.1% Not Found 和 3.0% Invalid。
ROV 到底普及到什么程度？
2 月全球测量约为 26.6%；后续分析引用的 7 月 29 日数据约为 26.92%。上游过滤会影响观测，不能把比例当作自行部署 ROV 的 ASN 数量占比。
这两个指标能直接比较吗？
可以一起观察部署进展，但不是同一指标：一个描述路由授权状态，一个推断过滤行为。需要保留时间、样本和测量方法。
数据口径与阅读说明
编辑说明，2026 年 10 月 13 日：本文数值来自 APNIC 2026 年 2 月与 7 月下旬的历史观测，不是实时读数。路由覆盖率和测得的 ROV 行为使用不同分母；上游过滤也可能保护下游观测点，不能据此统计哪些 ASN 亲自配置了 ROV。地区表保留原始四舍五入结果。作者与原始发表、更新日期沿用原文。
资料来源与延伸阅读
理解风险之后，再选择支持与代表方式
NRS Shield 提供成员支持。POA 则是另行作出的明确授权，需要了解范围、期限、委托的决策和撤回方式。阅读本文或寻求帮助，都不代表已经授予 NRS 代表权。