RPKI 路由验证
对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。
172.253.152.0/24 · AS15169
有效
有 ROA 授权此来源 AS 宣告此前缀。
覆盖的 ROA
2
指定 AS15169 的 ROA
有 1848 个 ROA 指定了此 AS。
- 8.8.4.0/24
- 8.8.8.0/24
- 34.0.0.0/15
- 34.0.0.0/20
- 34.0.16.0/20
- 34.0.32.0/20
- 34.0.48.0/20
- 34.0.64.0/19
- 34.0.96.0/19
- 34.0.128.0/19
- 34.0.160.0/19
- 34.0.192.0/19
- 34.0.224.0/24
- 34.0.225.0/24
- 34.0.226.0/24
- 34.0.227.0/24
- 34.0.228.0/24
- 34.0.229.0/24
- 34.0.230.0/24
- 34.0.231.0/24
- 34.0.232.0/24
- 34.0.233.0/24
- 34.0.234.0/24
- 34.0.235.0/24
- 34.0.236.0/23
- 34.0.238.0/23
- 34.0.240.0/20
- 34.1.0.0/20
- 34.1.16.0/20
- 34.1.32.0/20
- 34.1.48.0/20
- 34.1.64.0/24
- 34.1.65.0/24
- 34.1.66.0/24
- 34.1.67.0/24
- 34.1.68.0/24
- 34.1.69.0/24
- 34.1.70.0/24
- 34.1.71.0/24
- 34.1.72.0/24
- 34.1.73.0/24
- 34.1.74.0/24
- 34.1.75.0/24
- 34.1.76.0/24
- 34.1.77.0/24
- 34.1.78.0/24
- 34.1.79.0/24
- 34.1.80.0/24
- 34.1.81.0/24
- 34.1.82.0/24
- 2001:4860::/32
- 2001:4860:4820::/48
- 2001:4860:4821::/48
- 2001:4860:4822::/48
- 2001:4860:4823::/48
- 2001:4860:4824::/48
- 2001:4860:4825::/48
- 2001:4860:4826::/48
- 2001:4860:4827::/48
- 2001:4860:4828::/48
- 2001:4860:4829::/48
- 2001:4860:482a::/48
- 2001:4860:482b::/48
- 2001:4860:482c::/48
- 2001:4860:482d::/48
- 2001:4860:482e::/48
- 2001:4860:482f::/48
- 2001:4860:4830::/48
- 2001:4860:4831::/48
- 2001:4860:4832::/48
- 2001:4860:4833::/48
- 2001:4860:4840::/48
- 2001:4860:4841::/48
- 2001:4860:4842::/48
- 2001:4860:4843::/48
- 2001:4860:4844::/48
- 2001:4860:4845::/48
- 2001:4860:4846::/48
- 2001:4860:4847::/48
- 2001:4860:4848::/48
- 2001:4860:4849::/48
- 2001:4860:4864::/48
- 2404:6800::/32
- 2404:6800:4001::/48
- 2404:6800:4002::/48
- 2404:6800:4003::/48
- 2404:6800:4004::/48
- 2404:6800:4005::/48
- 2404:6800:4006::/48
- 2404:6800:4007::/48
- 2404:6800:4008::/48
- 2404:6800:4009::/48
- 2404:6800:400a::/48
- 2404:6800:480e::/48
- 2404:f340::/32
- 2600:1902::/31
- 2600:1902::/44
- 2600:1902:10::/44
- 2600:1902:20::/44
- 2600:1902:30::/44
资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。
起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。
我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。
常见问题
我的路由无效,该怎么办?
通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。
“无 ROA”说明有问题吗?
没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。
什么是 AS0 ROA?
针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。