Кратко

  • LACNIC описывает ROA как подписанный объект, связывающий префикс с AS, которой разрешено его анонсировать. Хостинговый RPKI позволяет не эксплуатировать собственный центр сертификации.
  • Анализ BTW: контроль работает, когда ROA согласованы с BGP, последствия изменений проверяются, а несколько валидаторов обеспечивают резервирование.

Источники: FAQ LACNIC по RPKI, рекомендации, 15 лет RPKI и FAQ по RPKI и IRR.

Свидетельство об источнике намеренно ограничено

LACNIC определяет RPKI как инфраструктуру открытых ключей, позволяющую проверять право клиента использовать номерные ресурсы. ROA связывает IP-префиксы с автономной системой, которой разрешено объявлять их в BGP.

Это не сертификат всего пути. По данным LACNIC, RPKI не заменяет IRR, где остаются функции вроде регистрации политики по ASN. Обзор 2026 года также отделяет проверку источника от проверки других элементов пути.

Хостинговая модель снижает технический порог

LACNIC поддерживает хостинговый и делегированный режимы. В первом случае участнику не требуется собственный центр сертификации. Но именно владелец ресурсов решает, какие префиксы и исходные ASN должны входить в ROA.

Анализ BTW: инфраструктура реестра и исполнение в сети остаются разными полномочиями. LACNIC обеспечивает сертификацию и рекомендации; владелец отвечает за точность ROA, оператор — за использование результата в маршрутизации.

Точность зависит от управления изменениями

LACNIC рекомендует согласовывать ROA с фактическими объявлениями BGP, не расширять maxLength без необходимости, проверять появление недействительных маршрутов после изменений и использовать несколько валидаторов. Внедрение ROV предлагается начинать с наблюдения, затем применять метки или предпочтения и лишь после проверки конфигурации отбрасывать недействительные объявления.

Анализ BTW: RPKI дает структурированный способ отличать авторизованный источник от неавторизованного, но ценность контроля зависит от постоянного обслуживания, наблюдаемых изменений и путей восстановления. Устаревшая или чрезмерно широкая ROA может ослабить контроль, даже если криптографические подписи остаются действительными.

Источники не доказывают полное покрытие ROA у всех участников, повсеместное отбрасывание недействительных маршрутов, достижимость маршрута с действительным источником или его сквозную безопасность. Они подтверждают более узкий механизм проверки авторизации источника маршрута.