RPKI（资源公钥基础设施）路由起源验证（ROV）部署已经达到一个重要里程碑。截至 2024 年 5 月 1 日，互联网路由安全已经实现了一个重要的突破，即全球路由表中大多数 IPv4 路由都被路由起源授权（ROAs）覆盖，这是根据 NIST RPKI Monitor 的数据得出的。IPv6 去年晚些时候已经实现了这一里程碑。
RPKI ROV 分析
RPKI ROV 是防止意外 BGP劫持和起源泄漏的最佳防御措施。要使 ROV 发挥作用，需要两个步骤：创建 ROAs 和自治系统（ASes）拒绝不一致的路由。ROA 创建是 ROV 的第一步，两年前在 NANOG 84 上，Doug 提出了他的分析，表明我们在 ROA 创建方面已经取得了比通过分析 BGP alone 可以确定的更大进展。使用 Kentik 的聚合 NetFlow，他展示了大多数流量（以 bits/sec 为单位）都指向具有 ROAs 的路由，尽管只有三分之一的 BGP 路由具有 ROAs。这是因为主要内容提供商和 eyeball 网络在近年来已经完成了 RPKI 部署，并且占据了互联网流量量的不成比例的份额。
ROV 部署更新
ROV 部署的第二步是拒绝无效路由。通过分析路由的 RPKI 评估结果，可以看出无效路由的传播程度不超过 50% 的 BGP 源。这种传播程度的减少主要归功于 Tier-1 主干提供商拒绝无效路由。这些提供商对互联网路由有着巨大的影响力。ROA 创建更新显示，超过 50% 的 IPv4 路由在全球路由表中都有 ROAs 并被评估为有效（IPv6 为 52%）。
结论
RPKI ROV 部署达到重要里程碑，这对运维和网络工程师来说具有重要意义。通过创建 ROAs 和拒绝不一致的路由，可以有效地防止意外 BGP劫持和起源泄漏，确保互联网路由的安全性。因此，网络运维人员应该继续推进 RPKI ROV 的部署，以进一步提高互联网路由的安全性。
原文: APNIC Blog（2024-05-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog