文章介绍数据中心采用BGP on the host架构（spine-leaf），主机运行BGP守护进程宣告前缀（如2001:db8:cc::/64），虽可扩展但存在前缀劫持风险。提出利用RPKI（RFC 6480）的路由源授权（ROA）验证源AS，参考RFC 7454最佳实践。引用Cloudflare事故与Amazon DNS劫持案例。展示bgpq3生成Apple（AS-APPLE）IPv6 ACL示例，及RIPE验证器显示85.190.88.0/21 ROA。
原文: APNIC Blog（2019-09-24）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog