Summary

  • Nathalie Trenaman 在 RIPE Labs 的 2019 年记录说，RIPE 78 社群要求会场网络丢弃 RPKI 无效路由，也希望从使用端验证。文章同时列出 Emile Aben、Jasper den Hertog 和 Job Snijders 三位参与者。
  • 测试把网页分别放在一条 ROA 有效、另一条故意无效的前缀后面。有效网页能打开、无效网页打不开，是用户所在网络实施过滤的有力迹象。RIPE Labs 工具页和RIPE NCC 的 RPKI 指南仍保留这一类自查入口。

会场说“已经过滤无效路由”，听上去很踏实。坐在会场里的人却只看得到自己的浏览器和网络连接，路由器内部的决定藏在机柜里。于是问题变得朴素：我的电脑现在到底能不能走上那条故意出错的路？Trenaman 的原始文章把这个问题写成了一个小实验。

团队准备两条测试前缀，每条后面都有网页服务器。一条前缀拥有有效的路由来源授权，另一条故意做成无效。浏览器先试能否打开有效目标，再试无效目标。第一题很关键：要是好路由也打不开，第二题的失败就可能只是断网，谈不上证明过滤。

这个设计把看不见的路由判断搬到用户眼前。它测的是用户当时所在网络的一条实际路径。Trenaman 把结果称为“有力迹象”，措辞很准。浏览器报告眼前的结果，随后由运营者检查路径、策略和设备，找出结果究竟在哪里产生。

时间也给实验添了点急迫感。团队想赶在 RIPE 78 结束前完成，文章明确说首版只有 IPv4。署名里的三位同事提醒读者：把网络拉进考场，是一项团队工作。Trenaman 把技术操作翻译成每个人都能提出的问题：你所在的网络真的丢弃无效公告吗？

今天，RIPE Labs 的工具目录仍把 Webtest 介绍为快速检查；RIPE NCC 的 RPKI 总览也保留“检查网络是否丢弃无效路由”的入口。目录延续了那个提问。2019 年的两条路由，则解释了这个问题为什么能从一台普通电脑开始。

路由器不会主动交卷。Trenaman 和同事给它准备了两道刚好能从浏览器批改的题。答卷出来以后，下一步就是找到真正掌握路由策略的人，把题做对。