RPKI 路由验证
对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。
2a01:111:f000::/36 · AS8075
有效
有 ROA 授权此来源 AS 宣告此前缀。
覆盖的 ROA
2
指定 AS8075 的 ROA
有 1624 个 ROA 指定了此 AS。
- 1.186.0.0/16
- 2.58.103.0/24
- 4.128.0.0/12
- 4.144.0.0/12
- 4.160.0.0/12
- 4.176.0.0/12
- 4.192.0.0/12
- 4.208.0.0/12
- 4.224.0.0/12
- 4.240.0.0/12
- 5.23.34.0/24
- 5.144.153.0/24
- 9.129.0.0/16
- 9.130.0.0/16
- 9.131.0.0/16
- 9.132.0.0/16
- 9.133.0.0/16
- 9.135.0.0/16
- 9.136.0.0/16
- 9.140.0.0/16
- 9.141.0.0/16
- 9.143.0.0/16
- 9.145.0.0/16
- 9.146.0.0/16
- 9.149.0.0/16
- 9.157.0.0/16
- 9.158.0.0/15
- 9.160.0.0/16
- 9.163.0.0/16
- 9.164.0.0/16
- 9.166.0.0/16
- 9.167.0.0/16
- 9.169.0.0/16
- 9.173.0.0/16
- 9.177.0.0/16
- 9.185.0.0/16
- 9.190.0.0/16
- 9.192.0.0/15
- 9.198.0.0/16
- 9.205.0.0/16
- 9.220.0.0/16
- 9.223.0.0/16
- 9.228.0.0/16
- 9.229.0.0/16
- 9.231.0.0/16
- 9.234.0.0/15
- 9.248.0.0/16
- 13.64.0.0/11
- 13.104.0.0/14
- 13.107.14.0/24
- 2001:678:2a4::/48
- 2001:67c:4f8::/48
- 2001:67c:d1c::/48
- 2001:698::/47–48
- 2001:df0:7::/48
- 2001:df0:d7::/48
- 2001:df0:d8::/48
- 2001:df0:d9::/48
- 2001:df0:59c0::/48
- 2001:df2:51c0::/48
- 2001:df6:5180::/48
- 2001:3bc0:b1d::/48
- 2400:f520::/32
- 2401:ef40::/48
- 2402:7d80::/48
- 2402:7d80:8888::/48
- 2404:f800::/32
- 2404:f801:8030::/48
- 2404:f802::/31
- 2407:30c0:184::/48
- 2407:30c0:186::/48
- 2601:9200:d000::/36–48
- 2602:28c:2181::/48
- 2602:28c:2182::/48
- 2602:28c:2337::/48
- 2602:28c:3059::/48
- 2602:801:600a::/47–48
- 2602:812:200a::/48–64
- 2602:814:900f::/48
- 2602:81c:d0ff::/48
- 2602:f36c:fff::/48
- 2602:f387:20::/48
- 2602:f4d2:b00::/48–64
- 2602:f4d2:b01::/48–64
- 2602:f4d2:b02::/48–64
- 2602:f4d2:b03::/48–64
- 2602:f4d2:b04::/48–64
- 2602:f4d2:b05::/48–64
- 2602:f4d2:b06::/48–64
- 2602:f4d2:b07::/48–64
- 2602:f4d2:b08::/48–64
- 2602:f4d2:b09::/48–64
- 2602:f4d2:b0a::/48–64
- 2602:f4d2:b0b::/48–64
- 2602:f4d2:b0c::/48–64
- 2602:f4d2:b0d::/48–64
- 2602:f4d2:b0e::/48–64
- 2602:f4d2:b0f::/48–64
- 2602:f4d8::/48
- 2602:f5c8:b0::/44–48
资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。
起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。
我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。
常见问题
我的路由无效,该怎么办?
通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。
“无 ROA”说明有问题吗?
没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。
什么是 AS0 ROA?
针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。