APNIC Labs 的 ROV 测量工具显示，即使 AS7018（AT&T）和 AS1221（Telstra）等已部署入向过滤、丢弃无效路由的网络，测量结果也从未达到 100%。核心原因不在于部署缺陷，而在于测量方法论中对照组的实现方式。
测量工具的工作原理
APNIC Labs 通过测量用户是否被阻止访问仅包含无效 ROA 路由的站点，来评估 ROV 保护效果。若网络正确丢弃无效路由，用户应无法到达该站点，测量值应接近 100%。但实际数据显示，所有网络均存在"泄漏"——部分用户仍能到达无效路由站点。原文未给出具体泄漏比例数据。
可能的干扰因素
Geoff Huston 排除了分隧 VPN 导致用户 IP 与实际出口不符的解释，认为该因素占比极小且难以量化。更根本的原因在于实验设计：对照组使用的单一信标机制存在固有局限。原文提到本可采用双信标设计——一固定有效 ROA、一变更为无效 ROA——但正文在解释该设计如何解决问题时中断，原文未给出完整技术细节。
方法论层面的不可达性
由于对照元素实现方式与实验本身的性质，100% 在该测量体系中本质上不可获得。这并非网络部署失败，而是测量模型的固有边界。APNIC Labs 正以此为基础探讨 RPKI 设计权衡，后续系列将继续回应运营者提问。
对运维工程师而言，该结论厘清了"部署了 ROV 却未达 100%"不等于配置失效。在评估 RPKI 部署效果时，需区分网络层面的路由过滤能力与测量工具的统计边界，避免因指标未满而误判安全态势。
原文: APNIC Blog（2020-10-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog