网络运营商、开发人员和最终用户可能会疑惑他们的网络是否正确配置了路由起源验证（ROV）或者是否真正受到ROV的保护。为了解决这些问题并促进采用，JPNIC开发了rov-check项目——一个简单的工具，旨在快速验证网络的ROV部署情况。随着全球路由起源授权（ROA）覆盖率超过50%（适用于IPv4和IPv6），实施ROV已成为保障网络运营安全的关键步骤。
rov-check项目的工作原理
rov-check后端系统通过宣传三个不同的BGP前缀来工作，每个前缀代表与其关联的RPKI ROA配置相关的不同条件。有效前缀：一个正确配置的ROA，精确匹配BGP起源自治系统（AS）。依赖方（RP）软件将此路由识别为“有效”，并且实施ROV的路由器正常转发此前缀的数据包。无效前缀：一个故意配置错误的ROA，其中ROA中指定的起源AS与BGP中宣传的AS不同。RP软件将此路由确定为“无效”，并且实施ROV的路由器丢弃相关流量。未找到前缀：此前缀没有ROA。RP软件将此路由分类为“未找到”或“未知”，并且实施ROV的路由器正常转发相关数据包。作为控制，未找到前缀确保观察到的连接性差异确实是由于RPKI验证效果引起的，而不是受其他路由问题的影响。
rov-check的使用
当用户在rov-check上运行测试时，JavaScript客户端代码尝试连接到每个前缀中托管的特定端点。这些端点简单地返回一个JSON响应，指示成功连接。然后，客户端根据以下逻辑评估这些响应：如果无效前缀端点不可达或超时，但从有效和未找到前缀端点收到成功响应，则用户的网络被分类为“受ROV保护”。如果从所有三个端点收到成功响应，则用户的网络被认为“未受ROV保护”。任何其他响应模式都会导致网络状态被分类为“未知”。此评估独立地在IPv4和IPv6上进行，明确突出了ROV状态的区别。
实际意义
对于网络运维和工程师来说，rov-check项目提供了一个简单而可靠的方式来验证他们的网络是否正确配置了ROV。通过使用rov-check，网络运营商可以快速检查他们的网络是否受到ROV的保护，从而更好地保障网络安全。原文未给出具体数据，但随着ROA覆盖率的增加，ROV的重要性也越来越高。因此，网络运营商应该积极采用ROV并使用rov-check等工具来验证其部署情况。
原文: APNIC Blog（2025-03-25）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog