RIPE Labs 长期推动运营商部署 RPKI ROV，但实测发现：仅在本地做路由源验证，无法保证数据包最终到达合法源 AS。文章剖析 BGP 与 RPKI 交互机制，揭示验证通过与转发路径一致之间的鸿沟，指出 ROV 部署率上升不等于劫持风险消失。
ROA 与三态分类机制：
RPKI 通过 ROA 让合法持有者声明前缀授权源 AS 与最大聚合长度。例如 RIPE NCC 对 193.0.0.0/21 签发 ROA 指向 AS3333，max length 设为 /21 仅允许 /21 宣告；若预期存在 193.0.1.0/24 等更具体宣告，需相应调整 max length。验证器据此将收到的 BGP 宣告分为 valid、invalid、not found 三类。最佳实践建议丢弃 invalid、接收 valid 与 not found，即为 ROV 策略。原文未给出具体部署比例数据。
验证通过不等于转发可控：
即使边界路由器执行 ROV 拒收 invalid 宣告，数据包转发仍依赖 BGP 路径向量。本地策略无法指定端到端完整路径，上游或对等体若未部署 ROV、或仍宣告 invalid 路由，报文仍可能被引向非授权源 AS。RIPE Labs 测量显示 ROV 采用率上升，但原文未给出具体采用率数字，也未量化报文偏离比例。文中以 AS1133（特文特大学）错误宣告 193.0.0.0/21 为例，说明单侧验证
原文: APNIC Blog（2022-09-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog