摘要

  • RIPE NCC 的现行指南要求 AS 持有人把所有上游提供商、承担提供商角色的多重关系邻居以及非透明路由服务器写入 ASPA，同时明确表示 RPKI 仪表板不会提示它在 BGP 中看到了哪些提供商。
  • 2026 年活动计划已经提出按 RIPE NCC“认为属于上游”的 AS 给出建议。这个表述承认它是推断；计划没有给出交付日期，也没有把观测结果变成合同关系的证明。
  • 安全的建议应附带数据源、观测点、时间窗口、地址族、路径位置、推断理由和局限，并要求操作者逐项接受、拒绝或说明角色。公开的 ASPA 是授权，建议单只是授权前的证据。

签名能够证明谁说了这句话，却不能证明这句话里的名单是怎么来的。

这正是 RIPE NCC 当前 ASPA 界面最值得关注的控制边界。AS 号码持有人已经可以创建 Autonomous System Provider Authorization，以加密可验证的方式声明哪些 AS 被授权充当自己的传输提供商。对象一旦发布，依赖方就能验证声明来自谁、内容是否被改动。但在点击签署之前，操作者仍要独自回答一个更难的问题：所有真正的上游是否都已列入，又是否混入了并非上游的邻居？

RIPE NCC 的公开指南给出的规则很具体。使用多个上游，就应全部列出；一个邻居同时承担多种角色，只要其中包含提供商角色，也应列入；互联网交换点的非透明路由服务器会以提供商角色出现在路径中，因此也应列入。横向对等体和客户则不得列入。对象还要随着上游组合变化同步维护。

漏掉一个提供商不是文字层面的瑕疵。指南警告，经由这个未列名提供商发送的路由可能被拒绝。接着，指南直接说明现状：RIPE NCC RPKI 仪表板不会就 BGP 中为该 AS 看到的提供商给出提示或指导，操作者必须自行保证。

于是，权力与证据出现错位。界面提供签署权和发布通道，却没有把机构可见的路由观测整理成签署前的核对材料。问题不在于多填几个 ASN，而在于谁有资格把一段路径解释成一项提供商授权。

多列和少列都会改变保护

本次冻结的 IETF ASPA Profile 为第 29 版，仍是活跃的 Internet-Draft。它要求 Customer AS 在有多个提供商时列出全部 Provider AS，包括非透明路由服务器，并建议一个 Customer AS 维护一份包含完整提供商集合的 ASPA 对象。

第 28 版验证草案进一步说明两类错误的后果。错误加入一个提供商，会削弱路由泄漏检测能力；遗漏一个提供商，则可能在以后让正常路由被错误判为 ASPA Invalid。两份文件尚未成为最终 RFC，具体规则仍可能演进，但风险方向已经足够清楚。

过宽的名单把不该授予的关系写进信任集合，过窄的名单则给未来的真实路径埋下误判。界面若只追求“推荐得多”，可能牺牲保护；若只推荐近期最常见的邻居，又可能漏掉平时沉默、故障时才启用的备用传输。

主用上游通常不难想起。真正容易遗漏的是低频关系：冷备线路、只服务某个地区的传输、只承载 IPv6 的提供商、并购后尚未统一的会话、临时迁移路径，以及是否在 AS_PATH 中显号取决于运行方式的路由服务器。这些关系恰好同时挑战人的记忆和短时窗口的观测。

BGP 看见相邻，不等于看懂关系

任何 BGP 观测都有位置。公共路由收集器只能看到参与者向它输出的路径，而且这些路径早已受过其他网络的策略选择。一个观测点频繁看到的邻接，另一个观测点可能完全看不到。IPv4 与 IPv6 可以走不同路径；一次维护或故障倒换也可能让备用提供商短暂出现。

路径本身也可能异常。路由泄漏、配置错误或过渡状态都可能把两个 AS 临时放在一起。出现次数能够支持“持续可见”这样的判断，却不能证明合同、付费方向或授权。AS_PATH 不会随身携带发票，也不会标注某个邻居在这一条会话上是客户、对等体还是提供商。

操作者自己的 BMP 数据更接近本地事实。它可以保存各路由器从各邻居收到、尚未经过本地策略过滤的路由，帮助发现公共视角遗漏的备用路径和地址族差异。不过，BMP 仍描述“发生了什么”，而不是“双方约定了什么”。更好的遥测不能取代关系分类。

因此必须保留四层分工。RIS 等收集器和本地遥测提供观测；合同、会话清单和网络设计解释角色；AS 持有人决定是否授权；RIPE NCC 签署并发布对象。之后，验证器和路由器再依照不断演进的标准和本地策略使用该对象。

把四层合并，提示就会借用注册管理机构的权威；保持四层分开，提示才是一道可以审计的问题。

2026 年计划已经留下正确的语气

RIPE NCC 的 2026 年活动计划与预算写明，将改善 ROA 和 ASPA 管理中的 BGP 信息。对 ROA，方向是更接近实时的 BGP 信息；对 ASPA，则是依据 RIPE NCC“认为是其上游”的对象给出类似建议。

“认为”很重要。它没有宣称路由观测能够决定商业关系，也没有声称 RIPE NCC 控制提供商身份。这个词为产品留下了一条克制的路径：系统可以指出疑点，却不能替持有人签署结论。

计划同时没有列出这一功能的具体交付日期。当前冻结的 RPKI 季度规划页标注为 2026 年第三季度，最后更新于 6 月 11 日，列出四项工作：长期失效的委托 RPKI CA 自动撤销、用 OpenID Connect 替代现有 API 密钥、合规工作，以及在容量允许时支持 Resource Signed Checklists API。上游建议没有出现在这四项中。

这只能证明该功能未在这份季度清单中被点名，不能证明它已经延误、取消或被放弃。给年度方向补造一个不存在的期限，会把监督写成无依据的指控。

RIPE NCC 2025 年年报提供了另一个明确日期：RPKI 仪表板在 2025 年 11 月 26 日上线 ASPA 支持。先开放签署，再逐步补充证据辅助，是一种可以理解的谨慎发布顺序；但它也意味着早期使用者必须在本地承担全部盘点成本。

空白表单有它最有力的辩护

不自动推荐，并不必然意味着服务缺位。RIPE NCC 看不到每一份传输合同、私有互联、备用安排和路由服务器配置。一个 ASN 可能在某条会话上充当提供商，在另一条会话上是对等体，甚至在不同产品中拥有不同角色。仅凭路径就把它预填为“你的提供商”，会把推断包装成机构知识。

提示出现的位置还会放大这种错觉。用户在签署按钮旁看到一份由 RPKI 服务给出的名单，很容易假定它已经通过某种正式核验。一张带有坦率警告的空白表单，可能比一个无法解释的推荐器更安全。

但克制不等于让人闭眼工作。界面可以展示它看到的证据、解释为什么看到，并要求操作者明确分类。它不需要把建议伪装成答案。

每个候选 ASN 都应有一张证据单

“可能的上游”名单不应只有号码和勾选框。每个候选都应带一份紧凑、可追溯的说明。

第一部分是来源：使用了 RIS、其他公共收集器，还是操作者授权提交的遥测；覆盖哪些观测点；快照时间和分析窗口为何；看到的是 IPv4、IPv6 还是两者；候选位于路径何处；首次与最后一次出现是什么时候；在多少相关路径和多少观测点中出现。

第二部分是例外：它是否只在故障或维护时出现，是否只存在于某一地区或地址族，是否可能是路由服务器，该服务器看起来透明还是非透明。系统还应同时指出“现有 ASPA 中未列但经常可见”的候选，以及“已经列入但长期未见”的条目。

第三部分是局限，而且必须醒目。相邻不能证明提供商身份、合同关系、授权或名单完整性。置信度只能描述观测有多稳定，不能描述商业关系有多真实。生成建议所用的规则或模型版本也要显示并保留。

操作者需要的不只是“接受”。他应能标记为提供商、拒绝为客户或对等体、说明是多重角色、注明临时或备用关系，或暂缓等待核对。内部备注可以指向会话清单或合同证据，但不需要把机密合同写入公开 RPKI。

签署时，服务应保存最初建议、逐项决定、签署前后提供商集合差异、责任用户、时间和最终对象哈希。以后更正时，新记录应链接旧记录，形成版本链。

公开 ASPA 仍然是授权本身。这张证据单只解释观测如何被转化为授权，或者为什么没有被转化。

签署后的可见性不能代替签署前的证据

2026 年 6 月 29 日，RIPE Labs 刊登了一篇社区作者文章，从另一个方向描述 ASPA 的可见性缺口：操作者难以把 ASPA 状态与自己实际收到的路由直接对照。作者构建的 RAVEN 把 BMP 路由遥测和 RTR v2 提供的 RPKI 数据结合起来，为路由标注状态并进行假设场景分析。

这不是 RIPE NCC 的产品承诺，页面明确标识其社区贡献者身份。但它揭示了两个不同的核对时点。签署前，问题是“我列对了提供商吗”；签署后，问题是“这份声明会如何影响我看到的路径”。

假设分析可以显示某条路由可能被判为 Invalid，却不能自动判断究竟是 ASPA 漏项、路由异常，还是观测覆盖不足。它展示后果，不替代关系证据。完整闭环应把路由观测、操作者意图和模拟结果并排呈现，同时拒绝让其中任何一项冒充另一项。

被忘记的备用关系会在最需要时醒来

主用上游漏项往往很快暴露，备用提供商却可能沉默数月。ASPA 发布时没有明显故障，风险因此显得不存在。直到链路中断、维护切换或路由服务器行为改变，那条稀有路径突然承担流量。

现有材料不能证明某个 RIPE NCC 成员已经遭遇这种情况，也不能证明某台路由器因某份现存 ASPA 拒绝了路由。验证标准仍在发展，执行行为取决于软件和本地策略。这里讨论的是可以推导的控制机制，不是对具体事故的归因。

把证据核对放到签署之前，正是为了避免事后猜测。一份带日期的提示可以提醒操作者检查平时不出现的提供商；一条决策记录可以说明为何接受或排除。系统最不应做的，是把“BGP 见过”写成“关系已经成立”。

RIPE NCC 不必扩大权力，就能补齐这一步。展示它看到了谁、从哪里看到、在何时看到，并明确承认不知道什么；让持有人分类；保存最终差异和哈希。注册管理机构掌握路径证据，操作者掌握关系含义。可信的 ASPA 必须让两者之间的距离始终可见。

来源