本文探讨 RPKI 中为何不应将路由来源验证（ROV）外包给上游或交换点，指出“传递性信任”在 BGP 中失效，路由器默认丢弃无效路由实质上强制了外包验证模型，剥夺了对等体自主判断权。
DNSSEC 与 BGP 的验证模式差异：
DNSSEC 采用递归解析器代验证，存根解析器仅依赖单比特标志位信任结果；RFC 8097 虽定义 BGP 扩展团体标记验证状态，但明确为非传递属性，不得跨 AS 泄露。若交换点代为验证并打标记，实质引入“传递性信任”，Geoff Huston 指出这与“外包安全自相矛盾”同理，均是盲目信任的冒险。
BGP 缺乏“请勿验证”信令机制：
DNSSEC 通过 EDNS(0) Checking Disabled Flag 允许客户端拒绝代验证、要求原始数据；BGP 无同类机制。执行 RPKI 验证的路由器通常直接丢弃无效路由，不向对等体通告其存在。这种“丢弃无效”行为将验证决策强加给下游，使对等体无法获取完整路由视图、也无法在本地重新验证，形成事实上的外包验证强制模型。
运维层面的权衡与残留风险：
外包验证看似降低部署门槛，实则转移了风险控制权。交换点或上游一旦验证策略失配、密钥滚换延迟或恶意篡改标记，下游将盲目继承错误结果。原文未给出具体部署比例数据，但强调：唯有各 AS 自行维护 RPKI 缓存、在本地完成 ROV，才能保证验证结果的可审计性与可追责性。
对网络工程师而言，核心启示是：不要假设上游或交换点已替你把关。应在自有边界路由器部署 RPKI 验证器、保留完整路由表（含无效路由）供审计，并在对等协商中明确拒绝“仅接收已验证路由”的被动模式，夯实路由安全的自主基石。
原文: APNIC Blog（2020-10-30）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog