RPKI 路由验证
对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。
151.101.64.0/22 · AS54113
有效
有 ROA 授权此来源 AS 宣告此前缀。
覆盖的 ROA
2
指定 AS54113 的 ROA
有 6962 个 ROA 指定了此 AS。
- 16.5.61.0/24
- 23.154.64.0/24
- 23.185.0.0/24
- 23.235.32.0/20
- 23.235.32.0/24
- 23.235.33.0/24
- 23.235.35.0/24
- 23.235.36.0/24
- 23.235.37.0/24
- 23.235.38.0/24
- 23.235.39.0/24
- 23.235.40.0/24
- 23.235.40.128/26
- 23.235.42.0/24
- 23.235.43.0/24
- 23.235.44.0/24
- 23.235.45.0/24
- 23.235.46.0/24
- 23.235.47.0/24
- 43.249.72.0/24
- 43.249.73.0/24
- 43.249.74.0/24
- 43.249.75.0/24
- 45.56.195.0/24
- 45.58.212.0/22–24
- 45.58.232.0/21–24
- 45.58.240.0/22–24
- 50.2.48.0/24
- 63.141.63.0/24
- 63.245.216.0/21–24
- 64.251.201.0/24
- 66.43.1.0/24
- 66.211.168.0/24
- 69.91.151.0/24
- 69.91.154.0/24
- 69.91.156.0/24
- 69.91.160.0/24
- 69.91.168.0/24
- 85.236.106.0/24
- 87.81.224.0/19–24
- 103.244.50.0/24
- 103.245.222.0/24
- 103.245.223.0/24
- 103.245.224.0/24
- 104.156.80.0/20
- 104.156.80.0/24
- 104.156.81.0/24
- 104.156.82.0/24
- 104.156.83.0/24
- 104.156.84.0/24
- 2001:df0:45f::/48
- 2001:df0:460::/48
- 2001:df0:461::/48
- 2001:df0:462::/48
- 2401:7c60:1::/48
- 2602:816:5001::/48
- 2606:2cc0::/32–48
- 2606:50c0:8000::/46–48
- 2607:71c0:fff0::/44–48
- 2607:8940:4000::/44
- 2607:8940:4010::/44
- 2607:8940:4020::/44
- 2607:8940:4030::/44
- 2607:8940:4040::/44
- 2607:8940:4050::/44
- 2607:8940:4060::/44
- 2607:8940:4070::/44
- 2607:8940:4080::/44
- 2607:8940:4090::/44
- 2607:8940:40a0::/44
- 2607:8940:40b0::/44
- 2607:8940:40c0::/44
- 2607:8940:40d0::/44
- 2607:8940:40e0::/44
- 2607:8940:40f0::/44
- 2607:8940:4100::/44
- 2607:8940:4110::/44
- 2607:8940:4120::/44
- 2607:8940:4130::/44
- 2607:8940:4140::/44
- 2607:8940:4150::/44
- 2607:8940:4160::/44
- 2607:8940:4170::/44
- 2607:8940:4180::/44
- 2607:8940:4190::/44
- 2607:8940:41a0::/44
- 2607:8940:41b0::/44
- 2607:8940:41c0::/44
- 2607:8940:41d0::/44
- 2607:8940:41e0::/44
- 2607:8940:41f0::/44
- 2607:8940:4200::/44
- 2607:8940:4210::/44
- 2607:8940:4220::/44
- 2607:8940:4230::/44
- 2607:8940:4240::/44
- 2607:8940:4250::/44
- 2607:8940:4260::/44
- 2607:8940:4270::/44
- 2607:8940:4280::/44
资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。
起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。
我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。
常见问题
我的路由无效,该怎么办?
通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。
“无 ROA”说明有问题吗?
没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。
什么是 AS0 ROA?
针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。