Comcast 在 2021 年 5 月前完成全网 RPKI 部署，通过签发 ROA 与启用 ROV 双向防护，在不影响用户性能前提下抵御 BGP 劫持与泄露，验证了大规模异构网络可平滑落地路由安全。
部署模型选择：托管、授权或混合
签发 ROA 前须确定 RPKI 运作模式。托管模式由 RIR（如 ARIN）代管私钥与证书，运维最简但灵活性受限；授权模式自建 CA 并向 RIR 申请资源证书，完全掌控密钥生命周期，适合多 RIR 跨区资源；混合模式对核心前缀授权自管、边缘前缀托管，平衡安全与运维成本。Comcast 采用混合策略，核心 /24 以上前缀自建 CA 签发，其余前缀托管 ARIN，单台虚拟机即可运行开源 Krill CA，无需新增硬件。
增量推进与风险控制
ROV “写/读” 两功能可独立、分阶段上线。Comcast 先在实验室复现 2019 年以来典型劫持案例，验证 ROA 覆盖率对拦截效果的影响：NIST 数据显示全球有效 IPv4 前缀占比从 2019 年初 11% 升至 2022 年初 33%，ROA 总数三年翻三倍。生产侧按 PoP 灰度开启 ROV，首批 5% 流量观测 2 周无异常后全量放开；签发侧按前缀重要级分批提交 ROA，每批次间隔 48 小时监控 BGP 收敛。全程仅用现有监控平台，未引入专用设备。
高层决策与跨团队协作
技术可行性之外，向高管阐述“为何现在部署”是关键。Comcast 以 2017 年俄罗斯 AS13335 事件、2018 年中国电信泄露案为背景，量化劫持可能造成的 SLA 违约与品牌损失，配合分阶段投入预算（仅需数台 VM 与人力），获批专项预算。网络、安全、法务、客服四部门建立周例会，统一 ROA 变更流程、异常升级矩阵与客户通知模板，确保回滚窗口可控。
对运维工程师的启示：RPKI 部署不再是“全有或全无”的大工程，选对模型、按前缀与 PoP 双维度增量推进、复用现有监控与开源组件，即可在可控风险内为网络加上密码学级别的路由防护。
原文: APNIC Blog（2022-04-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog