OpenBSD 在 rpki-client 7.0 中实现了 RPKI 仓库增量协议（RRDP），解决了 RPKI 数据同步的传输效率与协议多样性问题，验证器现可同时支持 rsync 与基于 HTTPS 的 RRDP 两种单向同步机制。
传输协议与威胁模型：
RPKI 威胁模型允许签名对象经任意信道传输，协议栈不绑定特定传输层。当前 IETF 规范认可 UDP（HTTP/3）、TCP 443（HTTP/TLS）与明文 TCP 873（rsync），均支持 IPv4/IPv6；TCP 80 明文 HTTP 被明确禁止。这种设计仅要求双方共享 RPKI 信任锚并具备互联网连接，即可跨地缘政治边界实现全球规模的数据交换。
rsync 与 RRDP 的工程权衡：
同步文件集合的两种标准化方案各有侧重。rsync 依赖专用客户端/服务端，优势在于可用标准 UNIX 工具直接调试；RRDP 同样需要专用软件，但可复用成熟的 HTTPS 实现库，减少协议层维护负担。两种机制并存使 RPKI 社区受益：当某协议不可用时，另一条路径仍可完成获取。
rpki-client 7.0 的 RRDP 集成挑战：
原文未给出具体数据。实现过程中面临的技术难点包括：处理增量通知文件的解析与完整性校验、管理基于 HTTPS 的会话重试与证书验证、以及在保持代码简洁安全的前提下兼容 rsync 现有工作流。OpenBSD 邀请运营者协助测试 7.0 版本，以暴露潜在边界条件。
对网络工程师而言，rpki-client 7.0 提供了开箱即用的双协议验证器，部署时可按运维习惯在 rsync 与 RRDP 间切换，降低单点故障风险，同时保持代码库可审计性。
原文: APNIC Blog（2021-05-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog