在孟加拉国，超过75%的 prefixes 已具有有效的 RPKI ROAs，而低于2%的 ROAs 无效。这一巨大改善主要归功于国家数据中心（NDC）发起的旨在提高 RPKI 验证意识和使用的社区宣传活动。NDC 开始 RPKI 验证和删除无效 ROAs 的主要动机与其对用户和利益相关者的承诺有关，即实施最佳当前安全实践，并致力于为全球路由基础设施安全做出贡献。多年来，NDC 观察到许多国内路由事件，这些事件直接和间接影响了其服务和运营，包括看到其 prefixes 被他人宣布，导致其服务在一段时间内部分不可用。此外，还观察到 prefix 劫持、路由泄露以及本地运营商在全球 BGP 表中宣布不可路由的 prefixes。由于 NDC 的用户大多数位于孟加拉国，因此必须首先考虑减少 RPKI 验证对当地的影响。
实施验证的动机
NDC 通过识别具有无效和未知 prefixes 的 ASNs 并联系每个 ASN 以帮助他们修复 ROAs 来开始这一过程。他们联系了超过 600 个 ASN，帮助他们为超过 3,500 个未知 BGP prefixes 创建新的 ROAs，并修复了大约 100 个无效的 ROAs。这一过程始于 2019 年 10 月初，并在 2019 年 12 月 1 日开始验证之前，ROAs 的有效数量显著提高。
提高社区意识
在软实施期间，NDC 开展了广泛的宣传活动，以确保每个人都能理解 NDC 的 RPKI 验证的影响以及它如何影响他们。这包括：用当地语言（孟加拉语）发布博客文章，解释 RPKI 和 ROA 的基本信息和好处，NDC 为什么要进行验证，它将如何影响孟加拉国的 ISP 和用户，以及如何创建和验证 ROAs。向 bdNOG 邮件列表发送电子邮件，提及 NDC RPKI 部署计划的关键日期。在不同的社交媒体上发布类似的文章，包括 bdNOG 的 Facebook 页面和 BGD e-GOV CIRT 的 Facebook 和 Twitter 页面。提供创建 ROAs 的详细步骤和验证它们的好几种方法。他们还分享了他们的联系方式，以便任何人在遇到问题时都可以联系他们。创建了一份包含孟加拉国所有 ASNs 的列表，包括每个 ASN 的 IPv4 和 IPv6 prefixes 数量。
数据与取舍
原文未给出具体数据，但通过这些努力，孟加拉国的 RPKI 验证有效 ROAs 的比例从五个月前的29%提高到了现在的75%以上，无效 ROAs 的比例从2%降低到了不到2%。这一显著改进表明，通过社区领导的本地宣传活动，可以有效地提高 RPKI 的采用率和网络安全性。
结尾：对于运维和网络工程师来说，这一案例表明，通过提高本地社区对 RPKI 的认识和参与，可以显著提高网络的安全性。通过实施有效的宣传和协助措施，可以减少无效 ROAs 的数量，从而降低路由攻击和中断的风险。这对于确保网络稳定性和可靠性至关重要。
原文: APNIC Blog（2020-04-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog