在 2020 年的 APRICOT 2020 RPKI Deployathon 活动中，参与者们亲身体验了安装和部署 RPKI 验证器的过程，将路由器连接到验证器，并配置基础设施以实现 ROV。去年，我参加了一个 APNIC 关于如何部署 RPKI 的工作坊，虽然它为我提供了关于该技术的坚实基础，但在将 RPKI 部署到我们的网络之前，我还有一些悬而未决的问题需要解答，特别是关于 RPKI 验证器的使用。这就是我报名参加 2020 年 APRICOT RPKI Deployathon 的原因。在这篇文章中，我将分享我的 RPKI 经验，并从我的角度提出可能的一些改进之处。值得注意的是，我使用的是 EVE-NG 环境作为本博客中示例的测试平台。我必须指出，我对任何验证器都没有偏见，以下文字和思想都是我个人的。
测试验证器和路由器
在 Deployathon 的实验室部分，我们安装了以下四个验证器，并在我们的实验室设置中使用这些验证器，这些验证器运行在 Ubuntu18 桌面镜像上，如图 1 所示的左侧：RIPE NCC 的“RPKI Validator 3”与“RTR Server”捆绑包、Cloudflare 的“OctoRPKI”与“GoRTR”捆绑包、NLnetLabs 的“Routinator 3000”、LACNIC 和 NIC.MX 的“FORT Validator”。图 1 — 我的网络拓扑有一个基本的互联网突破，用于 RPKI 服务器更新和通过 vIOS 路由器在两个子网之间进行路由。在右侧，我使用了来自三个厂商的四个路由器：Juniper vMX 14.1、Cisco XRv 5.3.0、Cisco IOS-XE 16.03.02 和 VyOS Project 的 VyOS 1.3。在安装验证器时，我记录了一些我认为很棒的点。我使用 deb 软件包安装了所有验证器，除了 Routinator 300。Routinator 是最简单安装并迅速投入运行的。文档和安装说明简单明了，软件包大小适中。我很高兴不需要单独下载 ARIN Trust Anchor Locator (TAL)；我只需包含“–accept-arin-rpa”参数即可。RIPE Validator 3 也不是什么麻烦事。我记得我们在 Deployathon 中使用了 Ubuntu 16 服务器镜像，这些镜像在升级某些软件包时确实有一些问题，这真的很麻烦；这也是我一开始就选择 Ubuntu 18 的原因之一。使用 deb 软件包使安装变得超级简单和直接。在 Deployathon 中，我们遇到了一些关于查找最佳和最准确信息的文档不一致的问题，但看起来现在这些问题已经得到了解决。
安装验证器的体验
OctoRPKI 和 GoRTR 同样容易安装。使用 Ubuntu，我不得不去找出文件在哪里。对于所有这些验证器，我使用了 Ubuntu 18，因为它提供了更好的兼容性和稳定性。安装过程对于所有验证器来说都很顺利，没有遇到任何重大问题。对于 Routinator，我特别印象深刻，因为它提供了详细的文档和安装指南，使得安装过程非常简单。
总结
通过参加 RPKI Deployathon 和对各种 RPKI 验证器的实际测试，我获得了宝贵的经验。这些验证器各有特点，但都为 RPKI 的部署提供了可靠的解决方案。对于运维和网络工程师来说，了解这些验证器的特性和安装过程对于确保网络的稳定性和安全性至关重要。通过这次体验，我更加确信 RPKI 是网络安全领域的一个重要工具，值得进一步研究和应用。
原文: APNIC Blog（2020-04-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog