跳到正文
ipaddress.fi

RPKI 路由验证

对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。

52.222.212.0/22 · AS16509

有效

有 ROA 授权此来源 AS 宣告此前缀。

覆盖的 ROA

2
前缀最大长度来源 AS信任锚匹配
52.222.128.0/17/24AS16509ARIN✓
52.222.0.0/16/16AS16509ARIN

指定 AS16509 的 ROA

有 24926 个 ROA 指定了此 AS。
  • 1.44.96.0/24
  • 1.118.3.0/24
  • 1.178.0.0/24
  • 1.178.1.0/24
  • 1.178.4.0/22–24
  • 1.178.8.0/22–24
  • 1.178.12.0/22–24
  • 1.178.16.0/20–24
  • 1.178.30.0/24
  • 1.178.64.0/23–24
  • 1.178.68.0/22–24
  • 1.178.72.0/21–24
  • 1.178.81.0/24
  • 1.178.86.0/23–24
  • 1.178.86.0/24
  • 1.178.88.0/21–24
  • 1.178.100.0/22–24
  • 1.178.104.0/21–24
  • 1.178.144.0/20–24
  • 1.178.160.0/21–24
  • 1.178.168.0/22–24
  • 1.178.172.0/23–24
  • 1.178.174.0/24
  • 1.178.180.0/22
  • 1.178.184.0/21–24
  • 1.178.192.0/20–24
  • 1.179.2.0/23–24
  • 1.179.14.0/23–24
  • 1.179.24.0/21–24
  • 1.179.32.0/21–24
  • 1.179.52.0/22–24
  • 1.179.56.0/22–24
  • 1.179.60.0/23–24
  • 1.179.64.0/21–24
  • 1.179.80.0/21–24
  • 1.179.100.0/22
  • 1.179.100.0/24
  • 1.179.101.0/24
  • 1.179.102.0/24
  • 1.179.103.0/24
  • 1.179.104.0/21–24
  • 2.37.111.0/24
  • 2.59.57.0/24
  • 2.255.190.0/24
  • 2.255.191.0/24
  • 3.0.0.0/10
  • 3.0.0.0/15
  • 3.0.8.0/24
  • 3.2.0.0/24
  • 3.2.1.0/24
  • 2001:300:fffb::/48
  • 2001:300:fffc::/48
  • 2001:300:fffd::/48
  • 2001:468:1f10::/48
  • 2001:468:1f11::/48
  • 2001:468:1f66::/48
  • 2001:4f8:2::/48
  • 2001:4f8:b::/48
  • 2001:4f8:11::/48
  • 2001:4f8:fe00::/44–48
  • 2001:506:3a::/48
  • 2001:678:264::/48
  • 2001:678:2cc::/48
  • 2001:678:890::/48
  • 2001:678:934::/48
  • 2001:678:f64::/48
  • 2001:678:f8c::/48
  • 2001:67c:b4::/48
  • 2001:67c:144::/48
  • 2001:67c:bf0::/48
  • 2001:67c:e0c::/48
  • 2001:67c:fc0::/48
  • 2001:67c:1240::/48
  • 2001:67c:12b4::/48
  • 2001:67c:2024::/48
  • 2001:67c:24b4::/48
  • 2001:67c:2c3c::/48
  • 2001:67c:2ccc::/48
  • 2001:67c:2e40::/48
  • 2001:67c:2f00::/48
  • 2001:dc1::/48
  • 2001:dcd:22::/48
  • 2001:dcd:23::/48
  • 2001:df0:219::/48
  • 2001:df0:45c4::/46–47
  • 2001:df0:45c4::/47–48
  • 2001:df0:45c6::/48
  • 2001:df0:45c8::/45–48
  • 2001:df0:5640::/48
  • 2001:df0:59c0::/48
  • 2001:df1:6e80::/48
  • 2001:df2:b740::/48
  • 2001:df2:f8c0::/48
  • 2001:df3:5580::/48
  • 2001:df3:aac0::/48
  • 2001:df3:c300::/48
  • 2001:df4:4c40::/48
  • 2001:df4:b600::/48
  • 2001:df5:1440::/48
  • 2001:df5:14c0::/48

资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。

起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。

我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。

常见问题

我的路由无效,该怎么办?

通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。

“无 ROA”说明有问题吗?

没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。

什么是 AS0 ROA?

针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。

相关内容