针对远程触发黑洞（RTBH）请求缺乏意图证明、易被滥用或需过度依赖更具体 ROA 的问题，IETF 113 SIDROPS 工作组提出 DOA 提案，利用 RPKI 为地址委托方提供明确、可认证的意图证明，改进现有黑洞路由信令机制。
RTBH 机制与现有信令缺陷：
RTBH 通过 iBGP 向边缘路由器下发黑洞路由，再经 eBGP 向上游邻居传播，将攻击流量在汇聚点丢弃。RFC 3882 与 RFC 7999 定义了知名社区属性用于跨 AS 传递黑洞请求，但缺乏加密绑定的意图证明。接收方无法验证请求是否真由地址持有者发起，导致两难：若轻信请求，易遭伪造黑洞攻击；若要求更长前缀 ROA 证明，又增加全球路由表压力与运维负担。
DOA 提案的核心思路：
DOA（Delegated Origin Authorization）在 RPKI 框架内新增授权对象，由地址委托方对特定前缀的黑洞意图进行签名。该对象与现有 ROA 并行，不改变源地址验证逻辑，仅在需要触发 RTBH 时提供可验证的授权凭据。上游 AS 可通过验证 DOA 确认请求合法性，再决定是否转发黑洞路由，从而在不扩展 ROA 前缀长度的前提下建立信任链。
部署考量与标准化进程：
提案仍在 IETF SIDROPS 讨论阶段，需解决 DOA 对象的分发方式、撤销机制、与现有 RPKI 发布基础设施的兼容性等问题。原文未给出具体部署时间表、实现代码库或测试网络数据。工程师需关注后续草案对 BGP 社区属性与 RPKI 校验器交互接口的定义，评估对现有路由策略引擎的改造成本。
对运维团队而言，DOA 若成标准，将把“信任黑洞请求”从人工协商、邮件确认转为自动化密码学校验，降低误封风险与跨 AS 协调延迟；短期内仍需依赖现有社区属性与双边协议，并预留 RPKI 校验器升级窗口。
原文: APNIC Blog（2022-04-05）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog