RPKI 路由验证
对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。
2620:119:35::/48 · AS36692
有效
有 ROA 授权此来源 AS 宣告此前缀。
覆盖的 ROA
1
| 前缀 | 最大长度 | 来源 AS | 信任锚 | 匹配 |
|---|---|---|---|---|
| 2620:119:35::/48 | /48 | AS36692 | ARIN | ✓ |
指定 AS36692 的 ROA
有 1113 个 ROA 指定了此 AS。
- 46.255.40.0/21–24
- 67.215.64.0/24
- 67.215.65.0/24
- 67.215.66.0/24
- 67.215.67.0/24
- 67.215.68.0/24
- 67.215.69.0/24
- 67.215.70.0/24
- 67.215.71.0/24
- 67.215.72.0/24
- 67.215.73.0/24
- 67.215.74.0/24
- 67.215.75.0/24
- 67.215.76.0/24
- 67.215.78.0/24
- 67.215.79.0/24
- 67.215.80.0/24
- 67.215.81.0/24
- 67.215.82.0/24
- 67.215.83.0/24
- 67.215.84.0/24
- 67.215.85.0/24
- 67.215.86.0/24
- 67.215.87.0/24
- 67.215.88.0/24
- 67.215.89.0/24
- 67.215.90.0/24
- 67.215.91.0/24
- 67.215.92.0/24
- 67.215.93.0/24
- 67.215.94.0/24
- 67.215.95.0/24
- 80.254.144.0/24
- 108.171.128.0/24
- 108.171.129.0/24
- 108.171.130.0/24
- 146.112.0.0/24
- 146.112.1.0/24
- 146.112.2.0/24
- 146.112.3.0/24
- 146.112.4.0/24
- 146.112.5.0/24
- 146.112.6.0/24
- 146.112.7.0/24
- 146.112.8.0/24
- 146.112.9.0/24
- 146.112.10.0/24
- 146.112.11.0/24
- 146.112.12.0/24
- 146.112.13.0/24
- 2603:5000:30::/44
- 2603:5000:60::/44
- 2603:5000:70::/44
- 2603:5000:80::/44
- 2603:5000:90::/44
- 2603:5000:1030::/44
- 2603:5000:1070::/44
- 2603:5000:2030::/44
- 2603:5000:2070::/44
- 2603:5000:3000::/44
- 2603:5000:3010::/44
- 2603:5000:3020::/44
- 2603:5000:3030::/44
- 2603:5000:3053::/48
- 2603:5000:3060::/44
- 2603:5000:3070::/44
- 2603:5000:3080::/44
- 2603:5000:3090::/44
- 2603:5000:4030::/44
- 2603:5000:4060::/44
- 2603:5000:4070::/44
- 2603:5000:4080::/44
- 2603:5000:4090::/44
- 2603:5001::/44
- 2603:5001:10::/44
- 2603:5001:20::/44
- 2603:5001:30::/44
- 2603:5001:40::/44
- 2603:5001:1020::/44
- 2603:5001:1030::/44
- 2603:5001:1040::/44
- 2603:5001:2020::/44
- 2603:5001:2030::/44
- 2603:5001:2040::/44
- 2603:5001:3000::/44
- 2603:5001:3010::/44
- 2603:5001:3020::/44
- 2603:5001:3030::/44
- 2603:5001:3040::/44
- 2603:5001:4000::/44
- 2603:5001:4010::/44
- 2603:5001:4020::/44
- 2603:5001:4030::/44
- 2603:5001:4040::/44
- 2603:5002::/44
- 2603:5002:10::/44
- 2603:5002:10::/48
- 2603:5002:30::/44
- 2603:5002:40::/44
- 2603:5002:50::/44
资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。
起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。
我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。
常见问题
我的路由无效,该怎么办?
通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。
“无 ROA”说明有问题吗?
没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。
什么是 AS0 ROA?
针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。