摘要

  • 2026 年 9 月 20 日发布的一份个人 Internet-Draft，建议在 ROA 中加入区域标识，再让路由器把它与路由入口推断出的区域进行比较。
  • 这种信号可以公开资源持有者的地域意图；它不能把 RIR 来源、国家代码、对等点、geofeed、入口标签和路由许可变成同一个事实。

现行 ROA 的力量来自克制。它证明地址空间持有者授权哪个 AS 宣告哪些前缀，以及允许多长的更具体前缀。它不证明路径安全，不证明服务在线，也不规定流量必须从哪片土地进入。

draft-geng-sidrops-regionalized-roa-00 希望再回答一个问题。草案设想，同一合法 Origin AS 可能在未经授权的地区重新宣告前缀；传统 ROV 仍会判为 Valid。为此，草案提出 Regionalized ROA：在签名对象中写入 RegionIdentifier，经 RTR 扩展送到路由器，再与收到 UPDATE 时推导的 Region_Ctx 比较。不一致时返回 RegionMismatch 或 Invalid_Region。

问题是真实的，结论却不能提前写进字段名里。不一致证明两份记录不一致；它还没有证明哪份记录描述了现实，更没有证明攻击已经发生。

“区域”在草案里至少有三种含义

草案允许 RegionIdentifier 采用 RIR 代码、ISO 3166-1 国家代码或 UN M49 区域代码。这三套体系的管理对象不同。

RIR 代码表示资源登记和认证链的来源。RFC 7020 说明 RIR 按大区承担号码资源登记职能，也明确指出跨区运营的 LIR 可以同多个 RIR 建立关系。国家代码描述主权或行政地域。UN M49 则是统计分区。它们都不能自动回答一条路由可以在哪里发布、一个远程对等会话位于哪里、某个客户由哪个机房服务。

因此，“由 APNIC 认证”不能直接推导为“只能在亚洲入口出现”。资源持有者当然可以另行声明运营范围，但这是一份新的政策声明，不是从证书里恢复出的天然属性。

把这一点写清，反而能让草案更坚固。签名可以证明谁作出声明；只有运行证据才能检验声明是否适合拿来改变路由。

另一半事实由本地路由器拼出来

要产生 RegionMismatch，路由器还必须给每条入口路由确定 Region_Ctx。草案给出三种办法：对入口 peer 进行配置、使用 BGP/Large Community、或把入口与拓扑和遥测关联。

这些办法都能工作，也都可能过期。远程对等会话的物理接入点与商业市场不一定相同；一个接口搬迁后可能仍带着旧标签；Large Community 按 RFC 8092 只是命名空间中的不透明运营信息，其含义依赖发布方约定；BGP-LS 描述拓扑，也不会替设备签发地理身份证。

草案自己承认，错误或被伪造的入口上下文会制造假阳性和假阴性。这个限制不应只留在 Security Considerations。它应进入数据模型和操作日志：保留入口观察、映射规则、映射版本、签名区域、比较结果、采取的策略、备选路径和最终可达性。

如果界面只留下一个红色“区域无效”，事故发生后将无法判断到底是宣告异常、地域映射错误、社区标签陈旧，还是一次合法的灾备切换。

geofeed 的签名不等于对地面的测量

在无法立刻修改 RPKI 对象时，草案允许 RP 或本地管理平面根据 delegated stats 与地理位置数据合成增强数据库，并引用 RFC 9632。

RFC 9632 的边界十分清楚。它提供可选的 RPKI 认证方式，用来验证有权覆盖该地址范围的密钥签署了 geofeed；同时又要求消费者用其他来源交叉核验，并警告第三方处理所带来的信任风险。签名证明声明来源和保管链，不会自动证明服务器、用户或入口路由器真的在表格所写地点。

所以，本地合成表可以是重要风控输入，却不能伪装成原有 ROA 的密码学结论。若某条错误记录导致合法路由被丢弃，运营商需要知道是谁把哪些来源转换成该记录，并能在不等待全球认证链更新的情况下撤回它。

“向后兼容”还需要协议细节

草案同时提到新 RTR PDU 和扩展现有 Prefix PDU，并称旧路由器会忽略区域字段或继续普通 ROV。现行 RFC 8210 会协商协议版本，并把未知 PDU 类型列为致命错误。版本 00 尚未给出完整的能力协商、降级、混合缓存和状态收敛流程。

这不构成对草案的否定。早期草案本来就用来暴露这些问题。但在编码、状态机和互操作测试出现之前，“完全兼容”只能是待验证假设。静默丢失区域语义与直接终止 RTR 会话，是两种不同的故障，也必须留下不同收据。

让最后一票继续留在运营商手里

草案提出三种本地动作：硬丢弃、显著降低 LOCAL_PREF、或告警和记录。这里最值得保留的是“本地”。签名对象提供证据，接收网络决定后果。

合理的第一步应是可追溯告警，而非全球默认丢弃。先测量它抓到了多少同源异常，又把多少 anycast、远程对等、跨境转接和灾备路由标成不一致。只有在备选路径存在、错误成本可观察、回滚条件明确时，才逐步试验偏好调整。硬丢弃必须由独立政策授权，不能被塞进 RegionMismatch 的定义里。

区域化 ROA 指出了 Origin-only 验证的真实空白。它接下来需要证明的，不是“地理也能被加密”，而是每种区域由谁声明、彼此如何比较、何时失效、谁承担误判成本，以及运行网络是否真的因这条新信号而更安全。

来源