摘要

  • 截至 2026 年 9 月 30 日，ARIN 记录 9673 家机构注册 RPKI，比一年前的 7612 家增长 27%；另有约 1195 家 Hosted RPKI 机构未创建任何 ROA。
  • RPKI 账户和资源证书解决的是进入与证明资源范围；ROA 才写明哪个 ASN 可以始发哪个前缀，以及最大允许前缀长度。签发后还要看仓库发布、验证结果和实际路由。
  • ARIN 报告的“94% IPv4 已分配块具备 RPKI 资格”与“59.4% 已公告的 ARIN 登记块处于 RPKI Valid”分别使用不同基数，不能相减得到所谓覆盖缺口。

ARIN 的第 58 次会议路由安全报告里，第七页像两份工作成绩单。左边是 9673：截至 2026 年第三季度，注册 RPKI 的机构从一年前的 7612 家增至这个数字，中间几季依次是 8140、8602、9106。右边是另一条线：使用 ARIN 托管服务的机构中，约 8300 家已有 ROA，约 1195 家一张都没有。报告把右边概括为约七分之一。数据日期是 9 月 30 日。

这页纸最有价值的地方，是它拒绝把“来过柜台”当成“授权已经生效”。注册 RPKI 表示机构进入了服务；一张 ROA 要由资源持有人写出始发 ASN、前缀和最大长度，再让签名对象进入仓库。账户数的增长可以是真的，零 ROA 的队列也可以同时是真的。一个机构完成前者，不会自动完成后者。

两组人数的口径必须分开。9673 是 ARIN 所称的 RPKI 注册机构总数；“七分之一”和约 1195 指的是 Hosted RPKI 用户。ARIN 还有委托式运行和仓库发布服务。幻灯片中的两个 Hosted 近似数相加，也不是 9673。拿 1195 除以 9673 再给全体用户贴上一个精确的“未保护率”，是从图表里凭空造出一个没有发布过的统计。真正扎眼的事实已经足够：一批明确可数的托管用户，签名授权仍然是空白。

ROA 究竟签什么？ARIN 的官方说明说，它是加密签名的对象，声明一个 ASN 有权始发某个 IP 前缀或一组前缀。表单里的始发 AS、前缀与最大长度，是决定验证器如何看待路由的关键输入。ARIN 的实践指南举过一个一看便懂的例子：运营者公告若干 /24，却只为 /16 聚合前缀做了不覆盖这些更具体公告的授权，/24 可能被判为 Invalid。门户登录成功并不会替运营者填好这三个值。

托管服务替用户做了大量沉重工作。ARIN 运行证书颁发机构、维护并发布 RPKI 仓库；部署选项说明也列出由持有人保留加密控制的委托模式，以及由 ARIN 提供仓库发布的组合。机器的职责可以集中，路由意图不能由登记机构猜。某个网络究竟让哪个 AS 始发、哪些更具体前缀应该被接受，只有握着运行图纸的资源持有人能决定。托管模式越方便，越容易让人误把“服务开通”听成“安全声明已做”。

同一份报告第十页还摆出一对容易被混读的百分比。ARIN 称，自己已分配的 IPv4 块中有 94% 因受协议覆盖而具备 RPKI 资格；对已在互联网路由公告中出现的 ARIN 登记 IPv4 块，59.4% 处于 RPKI Valid。前者的起点是已分配块，后者的起点是已公告块。图上的 16.46 亿已分配地址、15.48 亿受协议覆盖地址与 9.20 亿 Valid 地址，是不同阶段的量。把 94 减去 59.4，既得不到零 ROA 机构数，也得不到某种全网风险率。数字有自己的边界，不能被一个漂亮的差值赶出边界。

从管理角度看，账单应拆成几张收据：资源受协议覆盖、机构开通 RPKI、资源证书存在、ROA 写对并签名、仓库发布、验证器看到对象、实际 BGP 公告与授权吻合、网络使用验证结果。ARIN 的公开幻灯片证明前两步扩张，也暴露一批托管机构停在 ROA 之前。它没有为约 1195 家机构逐家列出停留多久、是否正在公告路由，以及为何没有签。逐户记录一旦出现，才能区分刚开户、没有路由需要授权和部署卡住的不同情形。

ARIN 58 会议材料页确认，这份报告由客户技术服务负责人 Brad Gorman 展示。ARIN 用自己的服务数据承认了两份成绩单的差距。运营者可以去仓库找应有的 ROA，再看验证器和路由；董事会可以要求这些带日期的证据，而不是只收一条向上的注册曲线。开门是登记机构的工作，签哪条路是持有人的工作。