01 · 工具生态全景（截至2026年中）
1.1 分层工具清单
| 层级 | 工具/服务 | 用途与ASPA相关能力 |
|---|---|---|
| 签署侧 | RIPE NCC RPKI Dashboard | 生产级ASPA创建/管理（2025-11-26上线），适用于RIPE区域成员 |
| ARIN Online | 生产级ASPA管理，含自动续期（2026-01上线） | |
| Krill（NLnet Labs）/ APNIC演示实现 | 自托管CA的ASPA签署；APNIC演示实现（GitHub: APNIC-net/rpki-aspa-demo）可供流程预研 | |
| 验证侧 | rpki-client（OpenBSD） | ASPA对象校验与验证数据仓构建（2023年起支持） |
| Routinator（NLnet Labs） | ASPA验证与RTR扩展下发 | |
| FORT Validator等 | 后续版本加入ASPA支持 | |
| 分发侧 | RTRTR（NLnet Labs） | ASPA验证数据的中继与缓存 |
| StayRTR、rpki-prover | 社区RTR实现，支持ASPAs PDU处理 | |
| 路由侧 | OpenBGPD 7.8+ | 内置AS_PATH验证执行（开源，试验首选） |
| BIRD | 已实现ASPA验证（实现分支/近期版本，具体以BIRD官方文档与发行说明为准） | |
| Cisco IOS-XR | 早期现场试验（EFT）；商用生产支持需与厂商确认路线图 | |
| NIST BGP-SRx / BRIO | 参考实现与互操作测试框架（BRIO于2025年8月发布） | |
| 监测侧 | 自有脚本/验证器API、RIR统计页 | ASPA覆盖率、对象有效期、声明-真实上游一致性监控；BGPalerter等监测工具的ASPA支持可关注其版本更新，不作预设 |
选型建议：验证侧优先选择 rpki-client 或 Routinator（社区成熟、ASPA支持完整）；路由侧试验可用 OpenBGPD/BIRD 搭建平行验证环境，与生产转发隔离；所有组件部署时锁定aspa-verification草案版本并记录，升级前做回归（见§03 Phase 1）。
02 · 部署前评估清单
| 项 | 检查内容 | 通过标准 | 佐证材料 |
|---|---|---|---|
| A1 | 自有AS的全部上游（含IPv6、单栈转接）已盘点成册 | 必备 | 上游清单（ASN/AFI/商务合同对应） |
| A2 | 上游变更流程已预留ASPA更新步骤（含新旧声明并存窗口） | 必备 | 变更SOP文档 |
| A3 | 所在RIR已提供ASPA托管服务（或已部署Krill自托管） | 必备 | RIR服务状态/自托管环境 |
| A4 | 现有RPKI验证器支持ASPA且版本锁定记录完整 | 必备 | 验证器版本与配置导出 |
| A5 | 路由器/路由栈支持ASPAs PDU与策略执行 | Phase 2起必备 | OpenBGPD/BIRD版本或厂商确认函 |
| A6 | 重点保护前缀（自有/关键客户）清单与路径白名单草案 | 建议 | 前缀清单＋允许上游集合 |
| A7 | 告警与回退预案（误杀场景的回退开关、值班响应） | 必备 | 运行手册（Runbook） |
03 · 四阶段实施路线
Phase 0 · 准备（1—2个月）
- 完成§02评估清单A1—A4；上游清单与商务关系逐条核对（重点：单栈转接的afiLimit归属）；
- 在RIR托管系统/Krill中创建ASPA对象（先签真实的全部上游，宁全勿缺）；
- 准入标准：声明与真实上游100%一致（可用验证器数据仓自检"我的customerASID → providers"导出比对）。
Phase 1 · 验证侧离线分析（1—3个月）
- 验证器启用ASPA验证，旁路模式运行：只记录判定结果（Valid/Invalid/Unknown分布与样本），不改变任何路由策略；
- 建立回归基线：选取不少于1000条历史已知合法路径（覆盖多归属、sibling、prepending场景），记录判定结果，作为后续升级回归基准；
- 统计自家宣告被他人路径引用的形态，识别"自家为上游的关键客户是否已签署"（影响自家路由被误判面）；
- 准出标准：连续4周Unknown占比趋势平稳、无未解释Invalid基线路径、回归基线全部符合预期。
Phase 2 · 路由侧灰度（3—6个月）
- 选择非关键边缘会话（如备用上游、试验peer）启用策略：Invalid→降格（depref），Unknown→采纳＋统计，不丢弃；
- 对重点保护前缀（A6清单）启用"Invalid→丢弃"的严格策略（范围小、可控）；
- 每周复盘Invalid样本：逐一确认是真实路径事件还是声明错配；任何误杀案例回退并修订声明；
- 准出标准：累计处置Invalid不少于20条且人工复核准确率≥95%、零误杀事故、回退演练通过。
Phase 3 · 严格化与常态化（持续）
- 将"Invalid→丢弃"推广至全网会话；Unknown路径按第7页决策树分级（重点前缀降格、其余采纳）；
- 将ASPA更新嵌入上游变更SOP的强制环节（变更单无ASPA更新记录不得关闭）；
- 按月输出度量报告（§05），按季度复核声明准确性；参与MANRS/社区通报渠道。
四阶段实施路线
各阶段准入/准出标准见正文；全程遵循"先降格后丢弃"纪律
说明：阶段时长为一般性建议，应结合组织规模与变更窗口调整；任何阶段出现误杀事故即回退至上一阶段。
04 · 声明运营规范（SOP要点）
- 创建原则：按真实付费转接关系逐条声明；tier-1/无上游网络签发provider-free ASPA；peer绝不写入providers；
- 变更原则：上游新增/移除/切换时，先添加新声明（并存）→ 观察窗口（不少于7天）→ 移除旧声明；禁止"先删后加"；
- 有效期管理：优先使用托管自动续期（ARIN已支持）；自托管需设置证书到期前30/14/7天三级告警；
- 自检：每月导出验证器数据仓中自家ASPA并与上游清单比对差异；对"观察到的真实路径形态与声明矛盾"告警（验证器侧可脚本实现）；
- 审计：声明变更纳入变更管理台账，保留操作者与审批记录（合规可追溯）。
05 · 监测与度量指标
| 指标 | 定义 | 用途 |
|---|---|---|
| ASPA覆盖率（自我） | 已声明上游数/真实上游数 | 声明完整性，应恒为100% |
| Unknown占比 | Unknown判定路由数/总判定路由数（按会话/前缀分组） | 过渡期核心基线；异常波动提示新事件或声明失效 |
| Invalid处置量与复核准确率 | 周期内Invalid计数；人工复核确认率 | 检测有效性与误杀风险控制 |
| 重点前缀保护率 | 启用严格策略的重点前缀数/清单总数 | 灰度推进度的量化 |
| MTTD（检测时延） | 异常宣告出现至Invalid判定的端到端时延 | 管道时效目标（分钟级） |
| 区域ASPA覆盖率（外部） | 引用RIPE Labs/APNIC年度统计与本课题测量（第5页） | 生态成熟度与激励依据 |
06 · 联动机制与交付物清单
- 与子课题02（部署测量）：上报本组织ASPA状态与度量数据，汇入全球覆盖率测量；
- 与子课题06（态势感知）：Invalid事件样本与Unknown异常波动纳入路由安全态势周报；
- 生态观察：跟踪头部云厂商（AWS已公开承诺采用ASPA）与IXP的签署/执行动态，作为覆盖率增长与策略调整的关键输入。
- 交付物：①《ASPA部署评估表》（§02清单）②《四阶段实施记录》（含回归基线与复盘纪要）③《ASPA声明运营SOP》④《月度度量报告模板》⑤工具适配验证记录（验证器/路由栈版本、判定回归结果）。
本节参考来源（第8页）
[1]
draft-ietf-sidrops-aspa-profile（v29）、draft-ietf-sidrops-aspa-verification（v28）与draft-ietf-sidrops-8210bis（v27）：datatracker.ietf.org/wg/sidrops。
[2]
RIPE Labs《ASPA in the RPKI Dashboard》（2025-12-15）与RIPE NCC RPKI文档：labs.ripe.net；ARIN ASPA文档：arin.net/resources/rpki/aspa。
[3]
APNIC Blog《RPKI's 2025 year in review》（2026-02-20，软件生态）：blog.apnic.net。
[4]
NLnet Labs文档（Routinator/RTRTR/Krill）：nlnetlabs.nl/projects；OpenBSD（rpki-client/OpenBGPD）：openbsd.org。
[5]
MANRS行动规范：manrs.org；IETF RFC 9234、RFC 8212（出口过滤）。