RIPE报出37% ROA定义未见BGP，备用与旧授权待区分

摘要

RIPE NCC把两种口径摆在同一场报告里：已被ROA覆盖且能在BGP中观测到的公告，近100%通过ROV；ROA中的ASN—前缀定义约37%没有对应的BGP观测。
这些安静的定义里，既有故障时要切换的备用路，也可能有路由停发后继续留存的旧许可。删错会伤到备援，放任旧授权则可能让伪造起源通过ROV。

路由停了，授权还在

ROA的创建有明确的工作场景：网络准备公告一条路由，需要声明哪个ASN获准起源这个前缀。路由停发后，授权留在公开记录里通常不会马上触发工单，也不会让业务当场中断。创建动作有即时回报，清理动作却很少得到注意。

10月28日，RIPE NCC RPKI负责人 Tim Bruijnzeels 在 RIPE 93 Routing 工作组把这个差距拆成两种数字。全球约73%的前缀已有ROA，IPv4和IPv6合并计算；在已经公告且被ROA覆盖的前缀中，近100%通过了ROV。他说，运营商会很快修正或过滤 Invalid 公告，因此收集器能看到的路由很快变得干净。

转到授权清单，图景就不同了。Bruijnzeels说，全球约37%的ROA ASN—前缀定义没有在BGP中观测到。统计单位是授权定义；一个ROA可以覆盖多个前缀，不能把这37%套到路由条数或流量上。

这项统计缺少分子、分母构成、样本日期、观测窗口和计算方法。补上这些字段，才能判断其中多少是已退役授权，多少仍在承担备用职责。

备用路由有自己的时钟。资源持有者可以先签发ROA，等网络准备好再公告；也可以保留备用起源，等待故障时切换。RIPE NCC的仪表板把ROA与RIS路由收集器观测到的公告相比较，官方RPKI Management API说明RIS数据每八小时更新。一个时间点的观测描述收集器看见了什么；授权用途要由持有者标注。

另一类定义可能在路由停发后继续留着。Bruijnzeels指出，运营商开始公告时有很强的动机创建ROA，停止公告后却少有动力把它删除。旧许可因此容易积在仓库里，维护成本被推给下一个值班人。

风险落在ROV的边界上。BGP起源验证检查公告的前缀和起源ASN是否匹配ROA，它不检查整条AS路径。若有人冒用仍获旧ROA许可的起源ASN公告该前缀，验证器可能把公告判为Valid。曾经准确描述真实路由的签名，可以在运营理由消失后继续替这个起源背书。

RIPE NCC说，当前界面已经显示这类差异，只是入口难找；团队想让提示更醒目，并把相关情况纳入告警。Bruijnzeels还提到，让持有者把有意保留的备用路由标出来，系统就能停止重复提醒。这个标签能给“沉默”补上用途，免得运维把备援和残留都塞进同一张红色告警里。

值得做的是逐条复核清单：列出前缀、起源ASN、最后观测时间和RIS数据更新时间，再由持有者选择“现用、计划、备用、退役”。运营商据此更新路由、记录备用授权，或撤掉已退役许可。仪表板负责把差异摆出来，资源持有者负责说明授权为何存在。

RIPE NCC的37%把维护欠账照亮了。接下来应公布各状态的占比、未处理记录的年限，以及被持有者确认退役后真正撤回的授权数量。