文章记录了网络工程师搭建 RPKI 测试环境的全过程，通过模拟 BGP 前缀劫持演示 RPKI 如何阻断非法路由宣告，并给出 Krill 与 RTRTR 的部署要点。
劫持场景复现：
使用 eve-ng 互联三台路由器，分别属于 ASN 10、20、30。ASN 20 合法宣告 170.0.0.0/24，ASN 30 随后宣告更具体的 170.0.0.1/32。BGP 选路规则优先匹配更长前缀，导致 ASN 10 访问 170.0.0.1/32 时流量被引向 ASN 30 的下一跳 10.0.0.6，而非 ASN 20 的 10.0.0.2。路由器 ASN 10 的 BGP 表显示：从 10.0.0.2 学到 170.0.0.0/24（AS_PATH 20 i），从 10.0.0.6 学到 170.0.0.1/32（AS_PATH 30 i）。traceroute 确认首跳即为 10.0.0.6，劫持生效。原文未给出具体流量损耗数据。
RPKI 基础设施部署：
参考 NLnetLabs 文档，引入两款核心组件。Krill 作为证书颁发机构（CA）软件，负责生成并向父级 CA 发布路由源授权（ROA）。RTRTR 作为 RPKI-to-router（RTR）协议服务端（支持 RFC 6810 与 RFC 8210），负责从可信验证器获取经验证的 ROA 集合（VRP），再通过 RTR 会话下发给边界路由器。实验中 Krill 与 RTRTR 均以容器化方式运行，原文未给出具体版本号、硬件规格或同步间隔。
验证与调优方向：
后续计划在路由器侧启用 RPKI 路由源验证（ROV），观察 170.0.0.1/32 因 ROA 缺失或 ASN 不匹配而被标记 Invalid 并丢弃，确认流量回归合法路径。同时将测试扩展至多归属前缀、ROA 过期撤销、RTR 会话抖动等场景，评估收敛时间与控制平面开销。原文未给出收敛延迟或 CPU 占用的量化指标。
对运维工程师而言，该实验提供了可复现的 RPKI 部署范式，帮助在生产网引入路由源验证前完成机制验证与工具链选型。
原文: APNIC Blog（2021-08-11）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog