APNIC Labs 持续发布互联网关键技术的部署度量数据，本文解释其如何测量路由源授权（ROA）签名的生成情况，以及路由源验证（ROV）对无效路由的过滤效果。ROA 是资源公钥基础设施（RPKI）框架下的数字凭证，用于在域间路由层面绑定 IP 前缀与合法源自治系统（AS），从而解决 BGP 缺乏源认证的根本缺陷。
BGP 与域间路由的信任模型：
互联网由独立管理的自治系统（AS）组成，域间路由靠边界网关协议（BGP）维护。BGP 属于 Bellman-Ford 距离矢量算法，每个 BGP 发言人将从邻居学到的可达性信息再次宣告给所有邻居，类似社交谣言传播。发言人收到更新后，若新路径更短，便更新本地转发表并继续宣告；若路径失效，则发送撤销通知，触发备选路径选择。这种机制天然假设所有参与者诚实，不验证前缀真实归属，导致前缀劫持、路由泄露屡见不鲜。
RPKI 与 ROA 的签名部署度量：
原文未给出具体数据。APNIC Labs 通过采集全球 RPKI 发布点的证书库，统计已签发 ROA 的数量、覆盖的 IPv4/IPv6 前缀总数、最大长度限制分布，以及各 RIR 区域的签名率变化趋势。同时对比 BGP 表中实际宣告的前缀，计算已被 ROA 覆盖的比例，识别未签名或签名不匹配的前缀。测量还会追踪 ROA 的生命周期：创建、吊销、过期时间，评估运维者的密钥滚换与续签及时性。
ROV 无效路由过滤的观测：
原文未给出具体数据。APNIC Labs 在多个观测点接收完整 BGP 喂流，对每条宣告按 RFC 6811 执行 ROV 状态判定：Valid（有匹配 ROA）、Invalid（前缀或源 AS 与 ROA 冲突）、NotFound（无 ROA）。通过长期时间序列，量化 Invalid 宣告在全网传播的衰减速度，对比部署 ROV 的 AS 与未部署 AS 的路由表差异，推算过滤部署率对劫持事件影响范围的压制作用。
对网络工程师的意义在于：掌握 ROA 签名覆盖率与 ROV 过滤部署的实测基线，可在申请资源、配置路由策略、评估上游供应商安全能力时做数据驱动决策。持续关注 APNIC Labs 的公开仪表盘，能在新前缀上线前确认签名就绪，在事故发生时快速判断是否为 RPKI 可防范的无效宣告。
原文: APNIC Blog（2023-11-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog