RPKI 路由验证
对照我们从五个 RIR 信任锚验证的 ROA 数据副本，进行路由来源验证（RFC 6811）。
2606:4700:4700::/48 · AS13335
有效
有 ROA 授权此来源 AS 宣告此前缀。
覆盖的 ROA
1
| 前缀 | 最大长度 | 来源 AS | 信任锚 | 匹配 |
|---|---|---|---|---|
| 2606:4700:4700::/48 | /48 | AS13335 | ARIN | ✓ |
指定 AS13335 的 ROA
有 5418 个 ROA 指定了此 AS。
- 1.0.0.0/24
- 1.1.1.0/24
- 1.32.192.0/18
- 2.57.240.0/24
- 5.10.214.0/24
- 5.10.215.0/24
- 5.83.149.0/24
- 5.172.33.0/24
- 5.183.206.0/24–32
- 5.226.183.0/24
- 5.252.81.0/24
- 5.253.80.0/24
- 5.253.81.0/24
- 5.253.82.0/24
- 5.253.83.0/24
- 5.253.236.0/24
- 9.247.25.0/24
- 9.247.27.0/24
- 9.247.29.0/24
- 9.247.98.0/24
- 9.247.140.0/24
- 16.5.144.0/20–24
- 23.133.84.0/24
- 23.135.228.0/24
- 23.136.100.0/24
- 23.145.136.0/24
- 23.145.152.0/24
- 23.145.232.0/24
- 23.145.248.0/24
- 23.153.0.0/24
- 23.167.152.0/24
- 23.179.248.0/24
- 23.180.136.0/24
- 23.227.37.0/24
- 23.227.38.0/23
- 23.227.38.0/24
- 23.227.39.0/24
- 23.227.42.0/23
- 23.227.48.0/23
- 23.227.60.0/24
- 23.235.168.0/24–32
- 25.25.25.0/24
- 25.26.27.0/24
- 25.129.196.0/23
- 25.129.198.0/23
- 27.124.0.0/18
- 31.3.64.0/24
- 31.3.65.0/24
- 31.3.66.0/24
- 31.3.67.0/24
- 2001:470:2a2::/48
- 2001:500:210::/48
- 2001:501:210::/48
- 2001:67c:2620::/48
- 2400:1c80::/32–40
- 2400:6c80::/32–40
- 2400:b1c0::/32–40
- 2400:c680::/32–40
- 2400:cb00:4::/48
- 2400:cb00:11::/48
- 2400:cb00:12::/48
- 2400:cb00:14::/48
- 2400:cb00:15::/48
- 2400:cb00:16::/48
- 2400:cb00:17::/48
- 2400:cb00:19::/48
- 2400:cb00:20::/48
- 2400:cb00:21::/48
- 2400:cb00:22::/48
- 2400:cb00:23::/48
- 2400:cb00:25::/48
- 2400:cb00:26::/48
- 2400:cb00:27::/48
- 2400:cb00:28::/48
- 2400:cb00:29::/48
- 2400:cb00:31::/48
- 2400:cb00:34::/48
- 2400:cb00:35::/48
- 2400:cb00:38::/48
- 2400:cb00:39::/48
- 2400:cb00:40::/48
- 2400:cb00:41::/48
- 2400:cb00:42::/48
- 2400:cb00:43::/48
- 2400:cb00:44::/48
- 2400:cb00:45::/48
- 2400:cb00:46::/48
- 2400:cb00:47::/48
- 2400:cb00:48::/48
- 2400:cb00:49::/48
- 2400:cb00:50::/48
- 2400:cb00:51::/48
- 2400:cb00:52::/48
- 2400:cb00:53::/48
- 2400:cb00:54::/48
- 2400:cb00:55::/48
- 2400:cb00:56::/48
- 2400:cb00:57::/48
- 2400:cb00:58::/48
- 2400:cb00:59::/48
资源公钥基础设施(RPKI) 让 IP 地址块的持有者可以发布经签名的 路由起源授权(ROA):声明某个 AS 可以起源该地址块,直至规定的最大前缀长度。执行路由起源验证(Route Origin Validation)的网络会据此丢弃与之矛盾的路由。
起源验证(RFC 6811)有三种结果。如果某个 ROA 覆盖该前缀、指明其起源 AS 并允许其长度,路由为有效。如果有 ROA 覆盖该前缀但没有一个匹配,路由为无效:要么是其他 AS 在起源它,要么前缀比允许的更具体。如果没有任何 ROA 覆盖它,则为无 ROA(not found),此时 RPKI 对它不作任何判断。
我们使用自己保存的已验证 ROA 数据进行验证。这些数据由 rpki-client 项目根据五个 RIR 的信任锚生成,我们每隔几小时更新一次。将 AS 栏留空,即可验证我们的 BGP 路由表中当前看到的起源。
常见问题
我的路由无效,该怎么办?
通常是 ROA 过时了:前缀已转到另一个 AS,或者宣告了更具体的前缀却没有提高最大长度。地址块持有者可以在其 RIR 的 RPKI 门户中修正。
“无 ROA”说明有问题吗?
没有。这只表示持有者没有创建 ROA。路由照常被接受,只是没有受到保护。
什么是 AS0 ROA?
针对 AS 0 的 ROA 表示任何人都不应起源该前缀。它所覆盖的路由均为无效,除非另有 ROA 使其有效。