摘要

  • 转让完成时，ARIN 从转出方证书移除资源及相关 ROA；未转出资源对应的 ROA 留存。
  • 已加入 RPKI 的接收方证书会自动扩展，但新 ROA 必须自行建立；未加入者须先注册。

ARIN 能在地址转让完成时自动把资源加入接收方的证书，却不会替接收方写新的路由起源授权。这是它在转让与 RPKI 官方说明里写明的分工：转走的资源从来源方证书中移除，相关 ROA 随之移除；来源方剩余资源重新写入证书，原有相应 ROA 保留。接收方若已有 ARIN 的 RPKI 证书，证书会自动扩展。新的 ROA 仍在接收方待办单上。

证书和 ROA 回答两道不同的题。证书确认组织可以为哪些号码资源作加密签名；ROA 则写明某个前缀允许哪个起源 AS 宣告，以及最长可以宣告到什么掩码。ARIN 能从转让记录得知谁接手地址，却不能凭转让申请猜出接收方打算从哪个 AS 对外发布。机器完成的是签名资格的交接，运营声明需要人来做。这是一个明确的责任边界，也是一道必须按时跨过去的门槛。

ARIN 2025 年发布的转让操作说明把这道门说得很直。已参加 RPKI 的接收方会自动得到扩大覆盖范围的证书，但必须自己为新资源创建 ROA。尚未参加 ARIN RPKI 的接收方还要先注册服务；转让不会自动帮它开户。另一份 RPKI 操作说明补上细节：新增资源进入既有证书，不会改动既有 ROA。来源方旧授权退出之后，新持有人的起源声明只有在新持有人行动时才出现。

来源方的结果还取决于是否留有资源。部分转出时，ARIN 为剩余部分重整证书并保留相应 ROA；若把协议覆盖的所有 IP 和 ASN 都转走，现有证书被撤除，相关 ROA 从仓库删除。这使旧持有人的声明有清晰终点。接收方的起点却不能由登记机构凭空填上：起源 AS、前缀、maxLength 必须由真正负责路由的组织选择。

所以转让当天需要的不只是交易完成通知。来源方先核对受影响的 ROA；接收方提前准备 RPKI 参与状态和打算发布的起源声明；完成后检查证书是否覆盖新资源，再发布自己的 ROA。ARIN 还要求接收方查看 IRR 对象与反向 DNS 设置。注册持有人换了，并不等于围绕地址的每一项运营声明都同步换好了。

官方材料没有给出某一笔交易发生路由中断的记录；若要判断具体后果，需要带时间戳的 ROA 仓库与路由验证观察。制度的分界已经明白：ARIN 自动搬动证书，接收方自行写明网络起源。两段工作之间的时间差，值得和转让本身一样被记录。

ARIN