当骨干网收到一条来自 AS 65001 的 BGP 路由时，仅看前缀和 AS_PATH 末段，仍无法确认该网络是否获准发起这段地址空间。RPKI 路由来源校验用带签名的 ROA 把地址资源授权与 origin AS 绑定：合法路由可被信任，授权冲突的无效路由应过滤，清单缺失则按策略处理。难点常在缓存过期、maxLength 误配、AS 迁移与策略叠加后，状态为何偏离预期。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：datapasa（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
ROA 如何进入路由器的判断链
ROA 声明某个前缀可由指定 ASN 发起。RIR 分配地址资源，资源持有者通过证书逐级委托授权；验证器检查信任链、撤销列表和清单时效，产出 VRP。它校验的不是 BGP 报文，而是路由前缀与 origin AS 能否被 VRP 覆盖并授权；也不证明前缀可达，不校验完整 AS_PATH。
路由器将 BGP 路由与 RPKI 缓存比对，最长匹配 VRP 决定授权边界，maxLength 限定可覆盖的子前缀。结果分为三类：Valid（合法）表示前缀获得授权，且 origin AS 与 ROA 中的 ASN 一致；Invalid（无效）表示授权冲突，如 ROA 允许 AS 65001，路由却来自 AS 65002；Not Found（缺失）表示没有覆盖该前缀的 VRP，不等于恶意路由。
从状态判断到监控排障
上线时，在 RPKI 客户端配置信任锚和至少两个验证源，确认同步完成、证书有效、缓存新鲜；再在 BGP 进程启用 origin validation。策略可将 Invalid 映射为 reject、Not Found 映射为 pass 并打标；验证会话、缓存年龄和状态变化均应告警。若业务只接受已授权来源，两者均应拒绝。ServLlama 可跟踪前缀、来源 AS、验证状态及变化时间，发现授权更新后策略未同步的问题。
排障按证据链推进：先查验证器连接、最后更新时间和 VRP 数量，再确认前缀是否被 ROA 覆盖；随后核对 maxLength、ROA 的 origin ASN 与 AS_PATH 末段，并检查 ROA 是否刚撤销或新增。最后排查策略是否隐藏 Invalid，以及其他路径是否引入同一前缀。Not Found 先查漏收 ROA 或 AS 迁移，不宜直接封禁来源；Invalid 则辨别真实冲突与缓存异常。
从RPKI验证到无效路由过滤
ROA授权清单把路由源授权落实为“前缀最大长度起始ASN”三元组。RPKI验证先确认ROA签名、有效期及信任锚，再检查被宣告前缀是否落在授权范围内，且BGP路径中的起始ASN与ROA一致。前缀或ASN任一不符，路由即被标记为Invalid。
无效路由过滤通常按验证状态执行：Valid可按业务策略放行，Invalid进入拒绝或隔离路径，Not Found表示没有匹配的ROA，不能直接等同于恶意路由。对Not Found设置策略时，应结合是否默认接受、地址是否由已知运营商分配以及是否涉及内部前缀，避免一刀切造成可达性事故。
过滤器必须作用在实际接收路由的会话、地址族和VRF上。若只检查全球表，私有VPN或IPv6会话仍可能接收无效路由；策略变更后还要执行soft-reconfiguration或route-refresh，确认既有路由已重新计算。MOAS场景则需结合ROA的maxLength与本地起源策略判断，不能看到多个ASN就立即丢弃。
常见误区与BGP安全机制检查清单
最常见的坑有四类：把Not Found当作Invalid；只校验前缀、不校验起始ASN；忽略ROA的maxLength导致过度过滤；以及把路由器缓存、验证节点故障误判为全网失效。ROA发布、撤销或密钥轮换存在同步时差，短时间内状态抖动不应触发不可逆封禁。
另一个坑是只看当前BGP表。路由泄漏、默认路由和聚合路由可能绕过人工预期，尤其需要核对IRB、IXP会话和Transit链路。验证状态还应纳入持续监控，让BGP安全机制覆盖策略发布、变更审批、异常告警与回滚，而不只是配置一条拒绝规则。
可执行检查清单：①确认所有验证器使用同一信任锚，签名仓库同步正常且最近更新时间符合SLA；②导出ROA清单，与现网前缀、maxLength和起始ASN逐项比对；③在IPv4、IPv6、全球表、VRF及关键对等会话抽查Valid、Invalid、Not Found分布；④验证Invalid拒绝规则生效，同时确认误封回退方案；⑤为验证器停机、ROA撤销、路由数量突增和状态变化建立告警；⑥保存策略、配置与回滚步骤，并定期演练。执行时先在测试环境或低风险会话灰度，再观察丢包、收敛时间和业务探测结果。
喜欢 
顶
难过
囧
围观
无聊
