Кратко

  • В 2020 году Ching-Heng Ku сообщил, что 98% держателей IP-адресов на Тайване подписали ROA в рамках RPKI. Однако валидатор TWNIC только переходил к тестированию: 46 участников согласились подключиться. Широкая фильтрация маршрутов описывалась как следующий этап.
  • В июне 2026 года TWNIC со ссылкой на данные APNIC Labs за май указала покрытие ROA на уровне 97,60% и фильтрацию ROV на уровне 57,83%. Это показатели с разными формулировками и, возможно, разными знаменателями; прямого сравнения с 2020 годом они не дают.
  • Значимость Ku связана с тем, что он публично описывал последовательность от публикации авторизации до проверки маршрутов и решения оператора. Его должности и подтверждённые публикации не доказывают, что он один обеспечил общенациональный результат или представляет всех операторов.

Подпись ROA не включает фильтр

Заголовок статьи Ching-Heng Ku, опубликованной APNIC в октябре 2020 года, звучал как итог: 98% держателей IP-адресов на Тайване подписали ROA для RPKI. Но текст описывал не повсеместно внедрённую защиту, а последовательность этапов. TWNIC запустила валидатор; 46 участников, работающих с IP-ресурсами, согласились подключиться и проверить его работу, готовясь включить проверку происхождения маршрутов (ROV). Полная фильтрация оставалась последующей фазой, зависящей от результатов тестирования и участия операторов.

ROA (Route Origin Authorization) — это подписанное разрешение, связывающее IP-префикс с автономной системой, которой разрешено объявлять этот префикс, с учётом максимальной длины. Сеть может сопоставить объявление BGP с таким разрешением и проверить, соответствует ли источник опубликованным данным. Однако ROA не предписывает другим сетям отклонять несовпадающий маршрут и сама по себе не меняет политику маршрутизации.

Контроль распределён между разными участниками. Держатель адресного ресурса выпускает и обновляет ROA. Программное обеспечение валидирует данные и классифицирует маршруты как действительные, недействительные или неизвестные. Затем оператор сети решает, что делать с результатом: наблюдать, применять политику к отдельным соседям или отклонять недействительные маршруты в рабочей сети. Подключение к валидатору для испытаний не означает постоянную фильтрацию всех маршрутов во всех точках.

Это различие имеет практический смысл. Недействительный маршрут может исходить от неуполномоченной системы, но причиной также бывают устаревшая ROA, изменившийся номер автономной системы или неверно заданная максимальная длина префикса. Классификация выявляет несовпадение, но не объясняет его источник. Фильтрация способна ограничить некоторые ошибки происхождения, однако ошибочная авторизация может сделать легитимный маршрут недоступным для сетей, которые ей следуют. Поэтому расширение фильтрации требует инвентаризации, тестов, наблюдаемости, связи с держателем ресурсов и возможности отката.

Почему показатели нельзя выстроить в одну линию

В публикации июня 2026 года TWNIC сообщила, что, согласно данным APNIC Labs на май, покрытие ROA на Тайване составляло 97,60%, а показатель фильтрации ROV — 57,83%. На 2026 год организация установила две цели: 98% покрытия и устойчивый уровень фильтрации выше 65%. Так она разделяет публикацию разрешений на происхождение и их применение операторами в действующей маршрутизации.

Можно соблазниться вычитанием: 97,60 минус 57,83 — и назвать 39,77 процентного пункта «разрывом внедрения». Но указанная публикация не подтверждает, что у показателей один знаменатель. Покрытие ROA может описывать префиксы или пространство адресов; фильтрация ROV может оцениваться по сетям или пользовательским путям, на которых встречается отклонение недействительного маршрута. Без общего определения разность создаёт точность, не подтверждённую исходными данными. Нельзя и переводить показатель 57,83% в «долю операторов, применяющих фильтрацию», если источник так не определяет его.

Показатель 2020 года также не является сопоставимой базой. Ku говорил о держателях IP-адресов, подписавших ROA за предыдущие два года. В 2026 году TWNIC использует термин «покрытие ROA». Другая публикация APNIC за март 2026 года приводит отдельные доли действительных префиксов IPv4 и IPv6. Число держателей, объявляемые префиксы, покрытое адресное пространство и наблюдаемая фильтрация — разные объекты измерения. Источники не позволяют утверждать, что значение снизилось с 98% до 97,60%.

Методическое объяснение APNIC Labs показывает, почему единицы важны. Измерение ROA сопоставляет проверенные объекты с наблюдаемыми по BGP префиксами и их источниками, относит маршруты к действительным, недействительным или неизвестным и отдельно оценивает диапазон охваченных адресов. Точки сбора маршрутов видят разные участки сети. Для фильтрации ROV также нужно указать, измеряется ли доля сетей, видимых префиксов или пользовательских путей и как именно фиксируется «фильтрация».

Надёжный вывод ограничен, но существенен: TWNIC со ссылкой на APNIC Labs сообщает о высокой доле авторизаций и более низком показателе фильтрации, устанавливая отдельные цели. Организация утверждает, что примерно 2% IP-пространства остаётся без покрытия ROA; прежде всего это ресурсы, настройки которых держатели должны запрашивать напрямую у APNIC, и небольшие организации с ограниченными техническими возможностями. В числе своей поддержки TWNIC называет учёт ресурсов, проверку настроек, уведомления об аномалиях, консультации и обучение. Это описание самой организации, а не независимая оценка влияния каждой меры.

Публичная работа Ku и общие результаты

В публикации 2020 года Ku пишет, что TWNIC продвигала RPKI после подписания соглашения о центре сертификации с APNIC в 2018 году. Он упоминает техническую помощь и обучение участников, а запуск валидатора описывает как следующий этап. Отдельный отчёт APNIC о Taiwan RPKI Day подтверждает запуск и подключение примерно 46 интернет-провайдеров, а также передаёт оценку около 98% подписанных адресов IPv4 и IPv6. Это подтверждает контекст события, но не уравнивает формулировки «держатели адресов» и «адреса».

Согласие 46 участников протестировать сервис — конкретный операционный шаг, но не обязательно репрезентативная выборка всех операторов. Открытые материалы не перечисляют, какие тесты завершились, какие префиксы охватывались и сколько сетей позднее включило отклонение недействительных маршрутов в рабочем режиме. Не следует домысливать ни успех, ни провал. Факт запуска и тестирования документирован; последующий масштаб внедрения в этом источнике количественно не раскрыт.

Страница кандидатов APNIC 62 указывает Ku как директора IP-департамента TWNIC. В собственной кандидатской декларации он говорит, что отвечает за исследования IP-политики и сервисы номерных ресурсов и руководил проектом внедрения и продвижения IPv6 и RPKI на Тайване. Это следует атрибутировать как его самоописание. Публикация 2020 года — более конкретный публичный результат: Ku подписал объяснение этапов и планов программы.

Его работа в региональной политике — отдельная линия. APNIC указывает Ku одним из авторов prop-127 вместе с Aftab Siddiqui и Yen-Chieh Wang. Предложение уменьшало максимальный размер выдачи из блока APNIC IPv4 103/8 до /23, чтобы продлить срок использования остатка и дать новым участникам возможность получить адресное пространство без покупки на рынке трансферов. APNIC отмечает, что решение было реализовано в апреле 2019 года. Это совместное авторство и результат общественного процесса, а не личное достижение Ku в одиночку и не часть RPKI-проекта Тайваня.

В сентябре 2026 года на APNIC 62 Ku переизбрали сопредседателем Policy SIG. Это подтверждает выборную роль в региональном форуме. Она не даёт ему полномочий говорить от имени каждого держателя ресурсов, оператора или пользователя Тайваня. Различие между участием и всеобщим представительством помогает точнее оценивать его работу, а не умаляет её.

Что должно быть в следующем отчёте

Будущая отчётность должна вести две отдельные серии. Для ROA важно назвать единицу — держатели ресурсов, объявляемые префиксы или адресное пространство, — а также числитель, знаменатель, дату наблюдения и правила учёта более специфичных префиксов. IPv4 и IPv6 следует показывать отдельно, если расчёты различаются. Для ROV нужно определить «фильтрацию», перечислить точки наблюдения, сети или пользовательские пути, отличать испытания от рабочего режима и раскрывать пропуски и изменения метода. Старые значения должны оставаться доступными; пересмотр методики следует отмечать как разрыв ряда.

Операторам нужны собственные опережающие показатели: доступность и свежесть данных валидатора, локальные префиксы без актуальной ROA, расхождения между видимым источником и разрешением, исследованные недействительные маршруты, доля политик в режиме наблюдения и фактический охват фильтрации в рабочей сети. Рост региональной доли фильтрации должен вести к проверке того, отражает ли он реальные изменения конфигурации или только изменение выборки. При снижении нужна та же симметричная проверка, прежде чем говорить об откате.

У целей есть два противоположных риска. Если считать только наличие ROA, можно поощрить публикацию авторизаций без проверки их актуальности и точности. Если считать только фильтрацию, команды могут расширить отклонение маршрутов до того, как подготовят мониторинг ложных срабатываний и откат. Но бесконечная осторожность тоже откладывает полезную защиту. Разумное решение — определить область применения, тестировать поэтапно, наблюдать ошибки и закрепить ответственных за корректировку разрешений и сетевой политики.

Публичная история Ku показывает цепочку совместной работы: TWNIC координирует и поддерживает участников, APNIC предоставляет ресурсную и измерительную основу, члены тестируют сервисы, каждая сеть решает свою политику, а региональные форумы вырабатывают общие правила. Процент не заменяет карту этих полномочий. Следующая оценка должна отвечать не только на вопрос, выросло ли значение, но и на вопросы: кого оно охватывает, какие маршруты отфильтрованы, когда проведено измерение и кто исправит ошибку, не превратив защитную меру в перебой связи.

Источники