摘要

  • Randy Bush 撰写的 RFC 7115 要求运营者在给父级大网段签发 ROA 前，确认由其他 AS 宣告的所有子分配都有正确授权。漏掉客户的小网段，验证结果可能变成 Invalid。
  • 这条警告沿着实际运行链条展开：授权数据进入缓存，缓存把验证结果送到路由器，运营者再用本地路由策略处理 Invalid。Bush 也写下缓存冗余与同步的操作要求。

一枚大章，楼下许多门牌

假设你管理一大块 IP 地址，决定为它签发 ROA。安全工作看起来只差最后一个按钮。可这块地址里有客户获配的小段，正由客户自己的 AS 对外宣告。父级授权一旦传到验证缓存和路由器，客户线路仍在 BGP 里，旁边却可能出现一个刺眼的新词：Invalid。按钮在你的桌上，红字在客户门口。

RFC 7115 是 Randy Bush 于 2014 年撰写的 RPKI 源验证运营最佳实践。文件说得很硬：签发覆盖大网段的 ROA 前，运营者必须确认由其他 AS 宣告的子分配都有正确 ROA。若客户子段尚无相应授权，它们的宣告会被视为 Invalid。Bush 还给出过渡办法：在客户逐个登记 ROA 期间，可以用实时 BGP 数据为这些授权先建立代理记录。重点是先数门牌，再锁总门。

这个红字有明确算法。RFC 6811规定路由来源验证要比较宣告前缀、来源 AS 与已验证的 ROA 数据，得出 Valid、NotFound 或 Invalid。父级 ROA 进入数据集后，更具体的客户宣告若来源或允许长度对不上，状态就可能从缺乏覆盖信息走向冲突。接下来由每个网络的本地策略决定如何使用这个状态；采用 Invalid 拒收规则的网络，会把这张纸上的遗漏带进连通性。

证书和路由器之间还有一段路。RFC 6810由 Bush 与 Rob Austein 合著，规定验证缓存向路由器传送来源数据的协议。RFC 7115 建议路由器同时连接多个缓存，至少一个在本地；用这些数据做路由决策时，本地缓存之间至少每四到六小时同步。若接收上游提供的缓存数据，下游还应自行复核。授权、缓存、策略，任何一环的状态都影响那枚父级签名何时真正发力。

RIPE NCC 的 Randy Bush 人物介绍记载他长期参与路由安全、RPKI 与路由来源验证工作。这也解释了 RFC 7115 的写法：它关心密码学，更关心谁先按按钮、谁随后收拾后果。本篇肖像的面容参照 RIPE NCC 署名照片；背景中的两座路由设备柜为编辑性想象。

这一页标准里最像人的东西，是客户子分配清单。它需要准确列出那些由别的 AS 对外宣告的小块地址，以及每块的授权状态。清单少一行，路由器就可能给一个真实运营中的客户打上不同标签。Bush 把整理清单写成前置控制，让安全动作先照顾到依赖它的人。