RPSTIR 是一款开源的 RPKI 依赖方软件，用于从 RPKI 仓库获取、验证并向 BGP 扬声器分发经过验证的互联网号码资源数据，支撑路由源认证与 BGPsec 部署。
核心需求与解耦设计：
RPKI 依赖方需完成四项基本功能：从仓库抓取并缓存对象、处理证书与 CRL、处理签名对象、向 BGP 扬声器交付验证后的缓存。这四项功能相对独立，可异步解耦运行。当前主流开源实现包括 RPKI Toolkit、RIPE RPKI Validator 与 RPSTIR，RPSTIR 遵循 Reynolds 与 Kent 论文的设计考量，代码托管于 GitHub。
五模块架构与同步验证流程：
RPSTIR 由同步、验证、RTR、数据库、验证缓存查询五大模块组成。同步模块调用 Rsync 执行 rpstir-synchronize 命令，按预置 Trust Anchor Locators 递归下载证书与签名对象。下载完成即触发验证模块，实现同步与验证并行。验证模块构建证书链路径交由 OpenSSL 校验，通过与未通过的证书分别处理。
从验证缓存到 BGPsec 的关键作用：
验证后的缓存通过 RTR 协议模块推送给 BGP 扬声器，建立从 RPKI 到路由平面的信任链。RPKI 数据不仅确认 AS 对前缀的发源授权，还将公钥与 BGP 路由器绑定，标识路由器被授权代表的 AS 编号，这为 2017 年即将发布的 BGPsec 标准提供必要支撑。
对运维工程师而言，部署 RPSTIR 等 RP 软件可自动化完成证书链验证与缓存分发，减少人工配置错误，为路由源认证与未来 BGPsec 升级奠定基础设施基础。
原文: APNIC Blog（2017-09-18）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog