这是Geoff Huston关于BGP路由安全系列问答的第三篇。文章对比DNSSEC验证模式：存根解析器依赖递归解析器验证，仅通过单比特指示验证状态。RFC 8097引入BGP扩展团体属性标记验证状态，但为非传递属性。探讨交换点运营商验证路由并标记社区属性的可行性。指出"外包安全"与"传递信任"的矛盾。DNSSEC中EDNS(0)检查禁用标志允许客户端拒绝外包验证，但BGP无法请求邻居发送未验证路由。当前RPKI验证通常丢弃无效路由，这种"无效丢弃"机制实质强制外包验证模式。
原文: APNIC Blog（2020-10-30）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog