BGP 协议仍易受劫持攻击，RPKI 通过路由源验证（ROV）可授权 AS 宣告前缀，但部署中存在三大认知盲区。本文梳理人为错误与 MaxLength 误用两大核心风险，给出界面预警、DISCO 替代等工程对策。
人为错误：错误配置导致合法路由被丢弃或防护失效
RPKI 仓库中超 5% 记录与长期合法 BGP 宣告冲突，约 30% 记录存在误配。冲突会导致启用 ROV 的 AS 丢弃合法路由，使数千合法目的地断联；误配则让签发方失去防劫持保护。特别风险在于经验不足工程师在 RIR 门户创建 ROA 时，将前缀仅关联至无业务关系的 AS（如 AS0），导致前缀在部署“拒绝无效”策略的网络中停止传播，工程师随即无法连回 RIR 服务器修正。建议界面提供特殊 AS 类型风险预警、显示目标 AS 组织名称，或采用 DISCO 系统绕过 RPKI/ROV 采用障碍。
MaxLength 属性：简写授权引入的过度授权风险
MaxLength 允许单条 ROA 授权 AS 宣告一组前缀而非逐个列举。原文未给出具体滥用数据，但机制上若设置过大 MaxLength，等效于授权该 AS 宣告更细粒度前缀，扩大劫持面。运维需在授权粒度与管理便利间权衡，避免默认使用最大前缀长度。
对网络工程师而言，RPKI 部署核心在于：严控 ROA 创建流程防人为误操作，审慎设定 MaxLength 避免过度授权，并在界面层引入组织名校验与特殊 AS 预警。若 RPKI 落地阻力大，可评估 DISCO 等替代方案，在不降级安全性前提下简化运维。
原文: APNIC Blog（2021-04-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog