Route Origin Validation（ROV）通过 RPKI 中的 Route Origin Authorization（ROA）在路由器接收前校验 BGP 前缀-源 AS 对，能显著降低劫持风险。但截至 2018 年 9 月 14 日，全网已存在 6700 多个 INVALID 前缀-源对（IPv4+IPv6），这些多为早期无人验证时遗留的错误 ROA，现阻碍 ROV 大规模部署。本文通过过滤真正导致前缀不可达的 INVALID，定位高影响 ROA 与责任实体，为批量清理提供操作依据。
无效对分布与高影响 ROA 识别：
作者按五大 RIR 区域统计 INVALID 分布，发现少数 ROA 产生了大量失效对。通过聚合分析，仅修改极少数 ROA 即可消除成百上千个 INVALID。原文未给出具体 RIR 维度数字，但指出集中度极高——头部 IP 持有者修正几条记录，覆盖面远超长尾实体。这种“少数 ROA 造成多数失效”的幂等分布，使得定向联络、批量整改成为最高投入产出比策略。
可达性过滤：剔除被覆盖的失效前缀：
并非所有 INVALID 都会导致流量黑洞。作者构建两层过滤：一是存在 VALID/UNKNOWN 的 less-specific 覆盖（如 5.1.0.0/23 因 ASN 错误标记 INVALID，但 5.1.0.0/19 为 VALID，流量仍可达）；二是存在 VALID 的 equally-specific 替代路径。经过滤后，真正导致 IP 空间不可达的 INVALID 规模大幅收敛，原文未给出最终数字。这一步骤避免对无害记录浪费联络成本，聚焦真正影响转发的异常。
联络实体最小集与清理路径：
基于上述聚合，作者计算需联络的最小实体集合以解决所有不可达 INVALID。结果显示，联络数量远低于 INVALID 总数，验证了“修少数 ROA、治多数失效”的可行性。清理完成后，RPKI 验证结果将更干净，运营者才能在看到 INVALID 时高置信度判定为劫持，而非配置错误。这为推进全网 ROV 强制落地扫除数据层障碍。
对运维工程师而言，核心启示是：部署 ROV 前先用公开数据集自查自家 ROA，重点修正聚合度高的错误记录；监控平台应引入 less-specific/equally-specific 覆盖判定，避免对被合法路由覆盖的 INVALID 误报；联络 RIR 或上游清理遗留 ROA 时，携带聚合分析证据可大幅缩短工单周期。
原文: APNIC Blog（2018-10-16）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog