随着更多网络部署 RPKI 路由源验证（ROV），错误或过期的 ROA 会导致合法前缀被判定为 RPKI 无效并被丢弃。本文说明如何识别并修正 MaxLength 等常见配置错误，恢复路由可达性。
ROV 部署现状与无效路由影响：
RIPE NCC 已在 AS3333 启用 ROV 并拒绝 RPKI 无效路由；APNIC 自身网络 AS4608 暂未实施，但其多家上游已部署或正在部署。若上游或中间网络开启 ROV，持有无效路由的网络将无法访问 MyAPNIC 等 APNIC 服务。必须使用具有 RPKI 有效或未知公告的网络才能登录修复 ROA。
2021 年 4 月 27 日 APNIC 成员无效路由统计：
Routeviews SG 采集器与 Routinator 0.8.3 数据显示，IPv4 共 3526 条无效路由，IPv6 共 517 条。按原因分类：IPv4 中 Invalid AS 556 条、Invalid AS and ML 456 条、Invalid ML 2514 条；IPv6 分别为 37、24、456 条。MaxLength 错误占绝大多数，原文未给出具体占比。
MaxLength 机制与修正步骤：
MaxLength 限定 AS 可宣告的最具体前缀长度。例如持有 /23 并按聚合 /23 宣告时，ROA 设 MaxLength=/23；若后续拆分宣告 /24，该 /24 将因超出 MaxLength 判为无效。修正方法：用任一 relying-party 软件或 RIPE 网页版 RPKI 验证器定位错误 ROA，再在对应 RIR 门户更新或删除该 ROA。
运维人员应定期核对 ROA 与实际 BGP 宣告的一致性，重点检查 MaxLength 是否覆盖所有更具体前缀。及时修正可避免因配置疏漏导致服务中断，也能减少 ROV 部署网络的误判压力。
原文: APNIC Blog（2021-04-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog