当前 RPKI 仓库高度集中在极少数 AS 中，每个组织通常仅在单一 AS 部署。文章探讨将仓库服务器更广泛地分散部署，以缩短依赖方软件从五个信任锚点拉取全球证书链数据的延迟，从而加速 ROA 验证流程。
证书链拉取的全链路压力
RPKI 验证需从五个信任锚点证书出发，沿着下级 CA 证书链逐级向下，收集全球所有发布点的数据生成 VRP。依赖方软件必须下载每个发布点的完整证书与 ROA，数据量虽不大但更新频繁，且必须在规定时间窗口内完成同步。当前集中式部署导致跨洲际拉取延迟高，成为验证效率瓶颈。
现有分发协议与部署现状
RPKI 现用 rsync 与 RRDP 两种协议分发仓库数据。rsync 直接运行在 TCP 之上；RRDP 设计为基于 HTTP/HTTPS，便于利用现有 CDN 与缓存基础设施。然而各 RIR、NIR、LIR 多将仓库置于本组织唯一的 AS 内，缺乏地理与拓扑上的分散性，无法就近服务全球依赖方。
分散部署的可行路径
借鉴 JPNIC 仓库实践，可将仓库节点部署至更多 AS 与地理位置，配合 RRDP 的 HTTP 特性接入任播或 CDN，实现就近下载。需解决证书链完整性校验、发布点一致性同步、以及信任锚点键滚更新的协调问题。原文未给出具体部署数量或延迟对比数据。
对运维工程师而言，仓库分散化意味着可在自有或合作 AS 增加发布点镜像，利用 RRDP 降低验证器拉取耗时，减少因单点拥塞导致的 ROV 失效风险。下一步需关注多发布点一致性机制的标准化进展。
原文: APNIC Blog（2021-10-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog