Number Resource Society
RPKI 与 IRR：差异在哪里，为什么两者都需要
RPKI 用密码学确认谁可以发起一个前缀，IRR 记录网络如何计划交换流量。两者解决的是不同问题；把它们放进同一套路由治理和运营流程，才能减少误配、泄露和劫持留下的空间。
本页内容
先看清两种信任机制
这篇文章解释 RPKI 与 IRR 的边界、配合方式和治理含义。它保留了原始文章的技术论证，并把需要重新核验的行业统计与引述单独标出。
路由安全不是某个按钮，而是一组需要持续维护的判断。RPKI 提供可验证的授权，IRR 提供策略语境；它们都不能替代运营者对数据和决策负责。
为什么路由安全仍然是基础问题
电子邮件、网站和云服务都依赖 BGP 在网络之间传递可达性。BGP 建立在运营者彼此信任的年代，协议本身并不会自动证明一条公告是否得到授权。
误配置、路由泄露和蓄意劫持都可能造成中断或流量偏转。互联网越具有经济和政治重要性，越不能把“通常不会出错”当作安全机制。
IRR 记录什么，为什么仍然有用
IRR 是运营者公开登记路由意图的一组数据库。通过 RPSL，网络可以描述自己发起哪些前缀、与哪些自治系统交换流量，并据此生成前缀过滤器。
IRR 的价值在于表达较丰富的策略关系，但它依赖人工维护。过时、重复或互相矛盾的对象会让过滤器建立在错误的前提上，所以 IRR 不是自动可信的事实库。
RPKI 改变了什么
RPKI 以密码学方式把 IP 前缀和被授权的自治系统联系起来。资源持有人签发 ROA，声明哪个 AS 可以作为某个前缀的起源；验证器据此生成 VRP，路由器可以执行 ROV。
它能帮助运营者识别和拒绝一大类起源不合法的公告。但 ROA 证明的是起源授权，不等于完整的所有权证明，也不描述所有路径、对等关系或商业安排。
为什么 RPKI 不能取代 IRR
RPKI 回答一个很具体的问题：这个 AS 是否获准发起这个前缀。IRR 则描述更广泛的路由意图和交换关系。只使用其中一种，都会留下运营判断缺口。
RPKI 的覆盖和验证实践仍然不一致；在没有 ROA 或结果为 NotFound 的环境里，IRR 仍然承担过滤和排障所需的上下文。
运营者如何把两者放在一起
成熟的流程通常用 IRR 建立基础过滤和策略，再用 RPKI 对起源进行独立校验。ROV 判为 Invalid 的公告可以被拒绝；NotFound 则应按本地政策处理，不能被简单当成合法或恶意。
当记录冲突时，团队需要预先写明处理顺序、例外和人工复核路径。把规则写进流程，才能避免一次更新同时破坏公告和过滤器。
路由安全也是治理问题
IRR 和 RPKI 的效果取决于谁维护数据、谁能够纠错、谁承担错误后果。地址资源责任不清，技术控制就会被不完整的记录拖累。
NRS 关注的不只是部署工具，而是透明的资源责任、可追溯的决定和运营者参与治理的能力。把 IP 地址当作需要持续管理的基础设施资产，才有可能让授权与策略记录保持可靠。
组织最常见的错误
有些团队创建了 ROA，却在网络变更后没有更新；合法公告因此可能变成 Invalid。另一些团队只部署 RPKI，却没有清理 IRR，导致过滤器仍然引用错误的策略。
更稳妥的做法是把前缀、起源 AS、ROA、IRR 和验证结果纳入同一份变更清单，定期检查，并保留能够解释每次改变的记录。
为什么必须采用分层防御
全球路由高度分散，参与者、设备和政策各不相同，没有单一系统能够完全保护它。IRR 提供意图和可见性，RPKI 提供授权校验；分层并不意味着盲目叠加工具，而是让每一层回答不同问题。
分层防御还需要监控、回滚和人工判断。控制越多，越要清楚它们各自的边界，否则“有安全工具”会变成新的错误自信。
结论
RPKI 与 IRR 解决不同的薄弱点。IRR 的范围和策略语境很有价值，但数据准确性需要维护；RPKI 的密码学授权更强，却只覆盖起源验证。
把两者结合起来，是目前更务实的路由安全方式。真正的安全还取决于资源责任、公开记录、持续测试以及运营者能否对影响自己的决定提出异议。
常见问题
RPKI 比 IRR 更安全吗？
在起源验证这个问题上，RPKI 通过签名提供更强的证明；它并不提供 IRR 的完整策略信息，因此不能替代 IRR。
运营者为什么仍然使用 IRR？
IRR 能表达更广的路由策略和交换关系，而且在 RPKI 尚未覆盖的范围内仍能提供运营上下文。
RPKI 能阻止所有 BGP 劫持吗？
不能。它主要降低起源型劫持和部分误公告的风险；路径操纵、错误配置和未覆盖资源仍需要其他控制。
IRR 与 RPKI 冲突时怎么办？
应按事先公布的本地政策处理。许多网络会优先拒绝 RPKI 判定为 Invalid 的公告，同时复核 IRR、ROA 和实际变更。
NRS 与路由安全有什么关系？
NRS 推动透明的 IP 资源责任和可参与的治理。更可靠的责任记录会改善 IRR 与 RPKI 的维护，但不会替运营者作出技术决定。
编辑说明：哪些内容需要重新核验
原文发表于 2026 年 1 月 1 日，更新于 2026 年 6 月 12 日。原文中的行业覆盖率、研究结论和人物引述按历史文章内容保留；它们不自动代表 2026 年当前统计。读者应查看 RFC 2622、RFC 6811、APNIC 和相关 RIR 的最新资料。
从理解风险到选择行动
先理解 IRR、ROA 与 ROV 的边界，再决定是否需要运营支持。NRS Shield 是支持路径；POA 与代表授权是另一项明确、可撤销、应写明范围和期限的决定。阅读文章或加入讨论不会自动产生授权。