摘要

  • BGPsec 路由器证书把一个或多个 AS 号码与公钥绑定，对应私钥可用于签署 BGPsec 更新；它并不授权这些 AS 作为源 AS 宣告某个前缀。
  • ROA 提供的是前缀与起源 AS 之间的另一项授权；私钥控制、路由器部署、验证缓存向路由器分发数据、出口策略和实际观察到的签名更新仍是彼此独立的事实。
  • 有用的运营台账应为每项事实记录签发者、有效期与观察时间，而不是把所有状态压缩成“RPKI 有效”。

两者在语法上的距离很短，在治理上的距离却很大。RFC 8209 规定了面向路由器的终端实体证书，其核心功能是把 AS 号码安全地绑定到公钥。RFC 8205 再用对应密钥形成 BGPsec 路径签名。ROA 所表达的是另一件事：指定 AS 获准作为源 AS 宣告指定 IP 前缀。

因此，签名只回答一个边界清楚的问题：对应私钥的持有者是否代表证书所列 AS 签署了安全路由通告？它不能回答该 AS 当时是否拥有有效的前缀起源授权、本地出口策略是否允许该路由，也不能证明所有系统在同一时刻看到了相同的验证数据。

证书本身也有生命周期。AS Resources 扩展限定密钥可以代表哪些 AS。RFC 8209 指出，如果一张证书覆盖多个 AS，而其中一个 AS 从上级 CA 证书中移除，那么整张路由器证书都会失效。为每个 AS 分别签发证书可以降低这种耦合，但会增加需要管理的对象与轮换次数。

证据台账应把证书签发与吊销、AS 范围、私钥持有与部署、验证后的路由器密钥分发、前缀 ROA 状态、本地出口策略，以及对端实际观察到的签名更新分成不同记录。把这些记录按时间连接起来可以形成解释；任何单条记录都不是完整解释。