摘要

  • 2023 年的日本 ROV 实证围绕三项确认展开：引入后能否正常运行、能否防护 Invalid 路由、发生问题时运营者能否处置。
  • 公开材料支持的是一条有限的“实证—指南”链条；它没有证明 18 家 RPKI 参与企业都在生产网络拒绝路由，也没有证明零故障，更没有把各 AS 的策略权交给 JANOG 或 JPNIC。

路由安全控制最难的治理问题，往往不是如何打开，而是打开以后谁能看见异常、谁能改变策略、谁负责把网络带回一个已知状态。日本这次实证的价值，就在于没有把失败当成项目结束后的解释，而是把它提前放进了测试条件。

项目使用“三项确认”来组织结果：引入 ROV 后通常不应影响正常运行；控制应当对 Invalid 路由产生防护作用；如果发生故障，运营者应当能够响应。这个设计没有宣称 ROV 没有风险。它只是提出一个更负责任的门槛：安全控制必须同时接受恢复能力的检验。

2023 年 7 月 5 日，JANOG52 让这项工作进入公开讨论。JANOG 召集会议，并发布了来自 JPNIC 的木村泰司、BIGLOBE 的山口胜司，以及庆应义塾大学/WIDE 的中村修所用材料。但会议平台的角色并不等于项目所有权，也不让 JANOG 成为监管者或参与网络的运营者。

实际授权链有多个层次。日本总务省资助项目；NTT Communications 是主承包方；Mitsubishi Research Institute 与 JPNIC 以分包和支持角色参与。JPNIC 规划了 RPKI 和 DNSSEC 实证的一部分，设计并运行测试环境、汇总结果，后来又正式发布指南。庆应义塾大学、大阪大学/Cyber Kansai Project 与长崎县立大学承载测试设施。参与机构执行测试。至于是否丢弃一条路由，决定权仍属于各自的自治系统。

JPNIC 2023 财年报告记录，RPKI 项目有 18 家企业参与，DNSSEC 为 8 家，DMARC 为 10 家。这些数字只是项目参与数，不能改写成生产部署数、成功上线数或独立认证通过数。

实证分为三种路径：体验型课程、使用项目环境的实验课程，以及在参与者自身环境进行的导入验证。这个区分很重要，因为它阻止我们把所有活动一概称为生产测试。现有公开记录没有列出企业身份与课程分配，也没有说明哪些测试改变了正在承载流量的 BGP 会话或路由策略。

项目环境能够有意注入 Invalid BGP 路由，并配合 ROA 数据观察 ROV 行为。设备包括 Arista、Cisco、Juniper 与 Nokia 的虚拟或硬件路由器。多厂商覆盖扩展了学习面，却不证明功能完全一致、不证明任何规模下都安全，也不证明生产网络不会出现缺陷。

JPNIC 现行指南保留了这套分阶段思路。第一步先启用验证，但继续接受 Invalid 路由，用来观察设备负载和受影响路由；第二步核验刻意构造的 Invalid 示例；第三步确认当路由被意外标成 Invalid 时，运营者可以通过 SLURM 或路由器策略恢复它。

所以恢复不是安全控制之外的补丁。指南还写明如何移除 ROV 策略、检查路由器重启后的行为、观察缓存重新连接，以及处理非预期 Invalid。若缓存断开可能超过保持时间，方案包括在邻居或路由器上暂停 ROV，或使用 SLURM，避免直接丢弃 Invalid 或 NotFound 路由。

可逆并不等于没有治理成本。SLURM 产生的是本地定制的 RPKI 视图，不会修正全球系统。一个本地例外可以维持可达性，也会形成一项单独的信任决定。公开材料没有说明谁批准例外、例外持续多久，或之后如何与全球仓库状态对账。

RFC 6811 划清了策略边界。验证状态是路由的本地属性；除非明确配置，验证本身不应顺带排除路由。过滤或调整优先级是运营者自己的策略动作。该标准也警告，验证数据遭操纵时，拒绝 Invalid 可能被利用为拒绝服务手段。ROV 验证的是前缀与起源 AS 的关系，不是完整 AS 路径；一个技术上正确的状态也不会自动给出唯一正确的处置。

中村修的材料提供了一个暴露面快照：2023 年 3 月 8 日 09:00，AS2500 的 RIB 中有 905,690 条 IPv4 路由，其中 77 条 Invalid；另有 170,405 条 IPv6 路由，其中 231 条 Invalid。这只是一个 AS 在一个时点保存的路由视图，不测量数据包、客户或可达性损失，也不能代表日本全国拒绝这些路由后的影响。

项目随后进入制度化整理。JPNIC 财年报告记录了 JANOG52.5 的“实证实验与指南”后续讨论。JPNIC 后来正式发布指南；截至 2026 年 3 月 27 日，1.1 版由专家团队维护。这说明经验被保存和更新，却不等于所有运营者已经采用。

因此，最稳妥的成功标准并不是“没有出事”，而是运营者能否发现非预期结果、保有处置权，并回到已知状态。实证把这个问题公开化了；现有材料尚未告诉我们，有多少参与者真正需要这样做、用了多久、造成何种影响。