DNS 依赖全球路由系统传递查询与响应，但 BGP 缺乏源头验证机制。APNIC 研究统计了 1,780 个顶级域与 271 个反向映射区的权威服务器路由，发现仅少数 DNS 注册机构为其名称服务器前缀部署了有效 ROA，整体签署率仍处于早期阶段。
测量范围与方法：
研究覆盖 1,780 个 TLD（含 1,201 个 gTLD、308 个 ccTLD）与 271 个反向映射区，合计 4,138 个区（含子 ccTLD 区）。检测目标为每个区的权威名称服务器解析到的 IP 前缀及其末跳 ASN，判断是否存在匹配的有效 ROA。原文未给出具体签署比例或通过率数据。
RPKI 与 ROA 的技术定位：
RPKI 通过 ROA 将 IPv4/IPv6 前缀与 ASN 绑定，经加密签名后发布至五大 RIR 托管的资源库。BGP 执行路由源验证（ROV）时，将收到的通告与 ROA 对比：匹配则标记为有效，不匹配或无 ROA 则判为无效。主流 ISP 已开始在入口策略中丢弃或降低无效路由优先级，使得持有有效 ROA 成为防止劫持与误导流量的前提条件。
注册机构类型的部署差异：
RIR 运营的反向映射区（如 128.in-addr.arpa）与 gTLD/ccTLD 注册机构面临不同激励：RIR 直接管理号码资源，理论上更易完成 ROA 签署；而域名注册机构通常不持有底层 IP 前缀，需协调托管商或上游网络代为签署。原文未给出各类机构的具体部署数量或对比图表细节。
对网络工程师而言，权威 DNS 前缀若无有效 ROA，路由验证将判定其通告无效，导致解析流量被丢弃。建议将所有对外 DNS 前缀纳入 RPKI 部署清单，并与上游明确签署责任，防止路由层拦截引发解析中断。
原文: APNIC Blog（2020-09-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog