RPKI 路由验证
对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。
193.210.18.0/24 · AS1759
有效
有 ROA 授权此来源 AS 宣告此前缀。
覆盖的 ROA
2
指定 AS1759 的 ROA
有 103 个 ROA 指定了此 AS。
- 46.132.0.0/16
- 62.71.0.0/16
- 62.73.32.0/19
- 77.247.196.0/24
- 80.74.192.0/19
- 80.220.0.0/14–21
- 81.16.64.0/20
- 84.34.0.0/16
- 84.248.0.0/14–21
- 86.114.0.0/16–21
- 86.115.0.0/16
- 88.86.128.0/19
- 88.192.0.0/14–21
- 91.195.246.0/23–24
- 93.106.0.0/16
- 94.101.8.0/23
- 109.240.0.0/16
- 131.177.0.0/16
- 141.208.0.0/16
- 143.161.74.0/24
- 143.161.91.0/24
- 143.161.92.0/22
- 143.161.96.0/22
- 143.161.100.0/23
- 176.72.0.0/16
- 185.31.70.0/23
- 185.81.91.0/24
- 188.238.0.0/16
- 192.58.42.0/23
- 192.58.44.0/22
- 192.58.48.0/21
- 192.58.64.0/20
- 192.58.80.0/21
- 192.58.88.0/23
- 192.83.0.0/18
- 192.83.64.0/19
- 192.83.96.0/22
- 192.83.100.0/24
- 192.89.0.0/16
- 192.89.123.0/24
- 192.103.86.0/24
- 192.103.91.0/24
- 192.103.92.0/24
- 192.103.105.0/24
- 192.103.106.0/24
- 192.103.112.0/22
- 192.103.116.0/24
- 192.126.63.0/24
- 192.126.64.0/24
- 192.130.0.0/16–24
- 2001:8b8::/29
- 2001:2000:6000::/40
- 2001:2001:6000::/40
- 2001:2003::/32
- 2001:2060::/27
- 2001:2060::/32
- 2001:2061::/32
- 2001:2062::/32
- 2001:2063::/32
- 2001:2063:ff::/48
- 2a03:62a0:3501::/48
- 2a05:6747::/48
- 2a12:b440:1::/48
- 2a12:b440:100::/47
- 2a12:b440:100::/48–64
资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。
起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。
我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。
常见问题
我的路由无效,该怎么办?
通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。
“无 ROA”说明有问题吗?
没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。
什么是 AS0 ROA?
针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。