随着互联网的快速发展，网络攻击手段也日益复杂。为了防止IP地址范围被错误地关联到自治系统号，从而避免大规模的BGP特定路由异常，CNNIC于2017年公开发布了其RPKI（资源公共密钥基础设施）服务。RPKI是一种通过加密签名将IP地址范围与自治系统号关联的验证机制，旨在防止路由劫持和其他针对互联网的攻击。
RPKI部署历程
CNNIC在2014年开始研究RPKI技术，并在IETF SIDR工作组和中国通信标准化协会（CCSA）的支持下进行标准化工作。2015年，CNNIC开始与APNIC及其社区中的专家紧密合作，进行RPKI的部署。2015年底，RPKI试点服务成功上线。基于试点平台，CNNIC的成员可以创建自己的证书颁发机构（CA），并与CNNIC的RPKI父系统接口，然后通过自己的CA管理路由起源证明（ROAs）。2016年底，CNNIC开始建立正式的RPKI服务系统。与试点相比，新的生产系统更加复杂，带来了一些技术挑战。但在APNIC的技术和研究团队的帮助下，CNNIC最终克服了困难，现在提供了一种简单的托管系统和基于Web的用户界面，使成员可以轻松管理他们的ROAs。
RPKI服务优势
使用RPKI，CNNIC的成员（资源持有者）可以获得一份列出他们持有的互联网号码资源的资源证书。凭借这份资源证书，成员可以创建关于他们授权发布的路由公告的加密证明。通过这种方式，成员可以增加其路由公告的安全性，以防止可能的劫持、不必要的去聚合和人为错误。然而，由于生产服务仅向成员推出一个月，因此采用率仍然很低。CNNIC计划进一步探索系统功能，以提高成员的采用率。
RPKI的实际意义
对于运维和网络工程师来说，CNNIC的RPKI服务部署经验具有重要的实际意义。通过RPKI技术，网络工程师可以更有效地管理路由，提高网络安全性，减少人为错误和攻击风险。此外，RPKI的部署也有助于提高网络的可信度，为用户提供更稳定、可靠的网络服务。
总结：CNNIC的RPKI服务部署经验为网络工程师提供了宝贵的参考。通过采用RPKI技术，可以有效地防止路由劫持和其他网络攻击，提高网络安全性，为用户提供更优质的服务。
原文: APNIC Blog（2017-09-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog