摘要

  • 2026 年 ARIN 57 会上，John Curran 明确说 ARIN 作为机构无权自行命令客户部署 RPKI；外部主体的要求或经社区政策程序通过的规则，另有其权限来源。
  • 前一天，他把 RPKI、ROA 和 ASPA 放在运营商的成本与选择中讨论，并同意让 ARIN 的培训更清楚地介绍 ASPA。

一张采用率图表最容易勾出一句话：既然这个安全工具有用，干脆规定人人都用。ARIN 57 第二天的逐字稿里，Altie Jackson 就问能否通过强制手段推动 RPKI，尤其是加勒比地区的客户。Brad Gorman 说服务登记是自愿的，还用了近乎永久的口气。John Curran 随后站起来把话说准：ARIN 的员工负责运营注册局和 RPKI 服务，没有自行向资源持有人下达部署命令的依据。外部主体可以提出要求；社区也可以走政策程序制定规则。关键不是技术上能不能按按钮，而是谁有资格签发命令。

这番话出自 ARIN 的 CEO，因此分量不小。注册局可以发证书、提供 ROA 工具、完善界面、培训人员，也可以把误操作的代价讲透。这些都能推动使用。若把服务选项直接变成客户义务，权力就从政策程序滑到了后台管理界面。Curran 用一句很短的话概括身份：注册局属于用户，ARIN 只是负责运行它。钥匙在手，不等于会议已经举手。

前一天的发言说明他并不想让 ARIN 袖手旁观。Kevin Blumberg 担心培训只讲 RPKI，运营商做完 ROA 才发现后面又冒出 ASPA 这门功课。Curran 承认新协议会增加部署和维护成本，也不愿把未经明确指示的做法包装成所有人的必选项。他答应让培训提到 ASPA 的后续位置。把路标立好，是服务；把路封成单行道，要有别的手续。

这两场问答没有产生一条强制 RPKI 的新政策。它们留下了更可核对的分工：工具由注册局做好，采用成本由网络承担，强制义务必须找到公开可追溯的授权过程。安全目标越诱人，这道签字线越值得保留。