RPKI 依赖分布式发布点分发证书与签名对象，依赖方需定期拉取更新。早期采用 rsync 做增量同步，但经 APNIC 实测其算法易被误导、服务端客户端均存在安全隐患，IETF 89 会议明确判定“低效、不安全、危险”。现行标准 RFC 8182 定义的 RRDP 基于 HTTPS 传输增量文件，解决了传输安全与同步效率的双重问题。
分布式发布点带来的同步难题
RPKI 使用 X.509 证书承载公钥，必然形成分布式发布点架构。每个依赖方必须定期遍历信任锚起始的证书链，收集所有签名产品并载入本地缓存。若逐字执行“每次全量抓取”，客户端会反复下载未变更的对象，造成极大带宽与计算浪费。实际需求仅为获取新增、变更与撤销三类差异，随后按差异更新即可。
rsync 为何在互联网环境下失效
rsync 曾凭借“镜像远端状态”特性成为便捷的差异同步工具。然而 APNIC 的 George Michaelson 与 Byron Ellacott 在 2014 年 IETF 89 的 SIDR WG 报告中指出：rsync 同步算法可被恶意误导，服务端与客户端均易遭攻击，幻灯片直指“在互联网上运行 rsync 服务或客户端均属危险”。结论明确：不要在互联网环境部署 rsync。
RRDP 以 HTTPS 与增量文件替代 rsync
RFC 8182 规定的 RPKI 仓库增量协议（RRDP）采用常规 HTTPS 传输子系统。通道本身具备 TLS 安全性，增量文件直接指导同步流程，服务端与客户端暴露面不超过普通 HTTPS 事务端点。相比 rsync，RRDP 在安全性与效率上均更贴合 RPKI 仓库同步的实际需求。
运维层面，依赖方软件应完成从 rsync 到 RRDP 的迁移，确保通过 HTTPS 拉取增量快照与增量文件；网络工程师需在防火墙与访问控制中放行 RRDP 所用的 HTTPS 端口，并废弃 rsync 相关规则，以消除已知攻击面并降低同步开销。
原文: APNIC Blog（2020-10-27）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog