摘要

  • RIPE RIS 在 10 月 8 日 00:00 UTC 列出 91 条 AS24940 起源的 IPv4 前缀；rpki-client 的 AS24940 数据页生成于同日 02:35:34 UTC。
  • 交叉核对发现 63 条路由有可接受其长度的同源 VRP；其中 49 条路由至少对应一项允许更具体前缀的授权。这里按路由计数，不按唯一 ROA 对象计数。
  • 当前验证器对三个收紧前缀内的测试 /24 返回 invalid_length，对 78.46.0.0/15 内测试 /24 返回 valid。这不证明存在实际公告、流量或普遍的 ROV 过滤。

路由才是核对授权的计量单位

这两组快照来自不同系统，时间相隔 2 小时 35 分：RIS 路由数据时间为 00:00 UTC，rpki-client 页面生成于 02:35:34 UTC。该页列出 AS24940 的 73 个 IPv4 VRP 前缀条目，其中 53 个允许比条目本身更具体的前缀：52 个允许到 /24，另有一个 /24 条目允许到 /32。按前缀覆盖关系、起源和最大长度交叉核对后，91 条 RIS 路由中有 63 条匹配到允许该路由长度的同源 VRP；其中 49 条的最大长度仍宽于 RIS 观察到的路由。49 是路由前缀数，不是 49 个不同的 ROA 对象。另有 28 条路由未在这次跨快照比对中匹配到允许其长度的 AS24940 授权；在没有时间对齐的逐前缀验证前，不能把它们定为 unknown、invalid_asn 或 invalid_length。Madory 的 50 项统计来自更早的另一种口径，因此数字差异不能证明数量增加或减少。

10 月 8 日的两次路由验证查询，为 Hetzner Online 的 AS24940 给出不同结果。当前 162.55.0.0/16 ROA 将最大长度限制为 /16，因此测试的 162.55.80.0/24 得到 invalid_length。另一条 78.46.0.0/15 的最大长度仍是 /24，所以对 78.46.0.0/24 的测试仍得到 valid。RIPEstat 的 network-info 接口目前也把该网段中的地址映射到 AS24940 起源的 /15 路由。

这一区别之所以重要，是因为 162.55.80.0/24 属于 8 月针对 Softaculous 的 BGP 劫持事件。Softaculous 是 Virtualizor 更新服务背后的公司。互联网分析师 Doug Madory 在 9 月 22 日发表的 APNIC Blog 客座文章中称，Hetzner 已将 162.55.0.0/16 的 ROA 上限收紧为 /16。他还记录了两条变化：213.133.96.0/19 和 213.239.192.0/18 的 ROA 上限分别从 /24 收至对应的 /19 与 /18。

当前 Routinator 的测试结果与这三项变更一致。在这三个前缀内分别测试 /24，结果都是 invalid_length，上限依次为 /16、/19 和 /18。这些是验证器对假设路由的测试，并不表示三个 /24 曾被广播；它们回答的是：如果出现相同起源 AS24940 的对应公告，当前 ROA 会给出什么状态。

这个边界决定了安全含义。RPKI 起源验证把公告的前缀与起源 ASN 同已发布的 ROA 比较。它不验证 AS_PATH 的每一跳，也不证明路由安全。较宽的最大长度可能让更具体的公告在出示授权起源时通过起源检查。因此，valid 仅表示公告符合一条 ROA，不能被当作路由可信的标签。

三条 ROA 的收紧仍然是有意义的控制变化：它改变验证器对这些具体前缀的判定。但修好三个前缀，并不能证明所有活跃路由都具有同样严格的授权。有效的后续审查单位应是全部公告路由与 ROA 的对应关系，并记录例外和时间，而不是只数已经修改的对象。

来源