摘要

  • LACNIC 于 2022 年末着手更换 RPKI 核心，约两年后投入生产。Jorge Cano 说，保住验证器缓存的完整性是最棘手的环节之一；某些旧版本需要重启。
  • 新核心适配成员数据库后，最后一步是修改 DNS 记录。Cano 随后披露，信任锚主密钥平时离线，LACNIC 已举行三次有见证人的签署仪式。

别人的缓存不会跟着剪彩

注册机构宣布新系统上线，网络运营商的验证器却不会因为掌声就丢掉缓存。Cano 在迁移记述里把这个细节放到台前：LACNIC 测试了多个验证器的不同版本，检查核心替换时客户端缓存能否保持完整。有些旧版本必须重启。对于靠签名对象判断路由来源的运营商，这不是一条可以藏在发布说明末尾的小字。

Cano 是 LACNIC 的高级软件架构师。他把系统拆成三层：处理密码学工作的核心、预验证并准备发布内容的中间层，以及向外提供已验证内容的前端。使用 MiLACNIC 托管 RPKI 的成员负责创建 ROA；密钥和证书由 LACNIC 管理。网页上那枚方便的按钮，背后是一整间由注册机构运营的机房。

更换工程始于 2022 年末。团队选用开源的 Krill 作为新核心，把精力花在成员数据和注册机构特有功能的适配上。约两年后，生产切换的最后动作成了修改 DNS 记录。DNS 像舞台上的拉绳，轻轻一拉就换景；真正承重的是此前的系统改造与验证器测试。

Cano 在2025 年 1 月的文章里又写到另一道门：LACNIC 把信任锚主密钥放在线下，只在重签主证书时短暂启用。他说，乌拉圭 Casa de Internet 已举行三次签署仪式，不同部门的员工参与，见证人在场，清单记录步骤和异常。一次很少发生、权力却很大的操作，因而留下了可复核的轨迹。LACNIC 没公布逐版本验证器测试表；这张表会说明哪些旧缓存需要人为重启。