Vocus AS4826 已在全网启用 RPKI 并丢弃所有无效 ROA，文章记录了其从验证器选型、多厂商环境适配到路由签名与监控的完整落地过程，展示了如何在多验证器冗余架构下实现生产环境的安全路由过滤。
验证器选型与冗余架构
2020 年初 Vocus 并行测试 RIPE NCC 验证器与 Routinator，后因 RIPE 宣布停止开发维护，团队确立「双验证器」策略以规避单一实现的 Bug 与 RFC 理解差异。经多方测试与同业交流，最终采用 rpki-client 负责验证、Cloudflare GoRTR 提供 RTR 服务的分离架构：四组验证器集群各自面向全网路由器，实现四路冗余；GoRTR 可就近部署于国际节点并回指中央缓存，解决仅支持明文传输的老旧路由器兼容性问题。
路由签名与自动化演进
首阶段通过 APNIC 托管 CA 为所有 ASN 签发 ROA，过程「极其简单」；长期计划引入 Krill 自建 CA，配合内部自动化在 ROA 创建时自动同步，减少人工登录 APNIC 门户。监控层面部署 NTT 开发的 BGPAlerter（Docker 容器化，告警推送至 Slack），亦可选用 BGP Artemis；同时为上下游路由打上验证态 BGP Community，配合每日统计脚本与趋势图表，快速定位并协助客户修正无效路由。
该实践证明：分离验证与传输平面的多验证器冗余、托管 CA 起步再逐步自建、社区标签配合自动化巡检，三大措施可让运营商在不中断业务前提下平滑推进 RPKI 强制丢弃，显著降低 BGP 劫持与配置错误风险。
原文: APNIC Blog（2021-05-13）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog