01 · 国内治理主体结构：CNNIC与APNIC框架
1.1 CNNIC的NIR角色
中国互联网络信息中心（CNNIC）作为国家级互联网注册管理机构，在亚太互联网络信息中心（APNIC）框架下承担国家互联网注册管理机构（NIR）职能：负责中国境内IP地址与AS号资源的分配管理、注册数据维护，并作为连接国内网络运营者与APNIC体系的桥梁。在路由安全治理中，该角色意味着：
- 注册数据权威性：境内AS与前缀的WHOIS/RDAP记录是"全球验证"行动（MANRS第四项）的国内权威来源；注册数据质量直接决定下游过滤与验证的有效性。
- RPKI落地支点：境内资源持有者通过APNIC平台（及CNNIC服务体系）申请RPKI证书与签发ROA；CNNIC具备推动境内ROA签署的独特的触达渠道。
- 协同枢纽：公共互联网反网络钓鱼工作组等协调机制依托CNNIC运行，为"路由安全—域名安全—钓鱼治理"的跨域协同提供了现成的组织基础（本课题第7章协同机制设计的国内锚点）。
1.2 区域资源格局
中国境内AS号与IPv4/IPv6地址资源经APNIC体系分配（历史上部分早期资源直接由APNIC分配，后期经CNNIC层级分配）。这决定了国内路由安全治理的两个结构性特征：其一，RPKI信任锚与证书链归属APNIC信任域，国内部署与国际体系天然互通；其二，治理动作需兼顾APNIC区域政策与国内监管要求双重视角，合规框架设计须两者兼容（见§03）。
02 · CERNET标杆实践解析
中国教育和科研计算机网（CERNET/CERNET2）是国内路由安全学术研究与标准化产出最活跃的网络之一，其SAVA源地址验证体系是写入IETF标准的代表性成果（以下仅引用可查证公开资料，具体部署范围以官方发布为准）：
| 实践维度 | 内容 |
|---|---|
| MANRS参与 | 中国电信（AS4134）于2020年加入MANRS（Du/Testart等IMC 2022独立研究证实），显著提升了APNIC区域MANRS成员宣告地址空间的规模，是国内大型商用网络参与全球路由安全治理的标志性事件 |
| RPKI部署 | 国内骨干与教育科研网络正逐步推进RPKI/ROA签署；学术测量（2025年4月）显示中国ROA覆盖率在大型经济体中处于低位，提升空间显著（详见本节参考来源[10]） |
| 源地址验证 | SAVA（Source Address Validation Architecture，源地址验证体系结构）由清华大学等团队提出并完成测试床部署验证，已标准化为IETF RFC 5210（2008年，实验性标准）——对应MANRS"反欺骗"行动 |
| 路由监测 | 开展路由劫持监测与可视化分析，具备对国内教育网前缀的安全事件发现能力 |
借鉴要点：①"科研教育网先行验证—积累运维经验—向商用网络扩散"是国内可行路线；②"RPKI起源验证+SAVA源地址验证"双轨互补，分别覆盖"全球验证"与"反欺骗"两项行动的技术面；③学术产出标准化（RFC 5210）降低了采用门槛；④大型商用网络的参与（中国电信2020年加入MANRS）才是规模化关键——治理重心应从"标杆"转向"长尾"。
03 · 合规框架与政策环境
3.1 国内相关法规与标准体系
| 法规/标准 | 与路由安全的关联点 |
|---|---|
| 《关键信息基础设施安全保护条例》（2021年施行） | 电信网络作为关键信息基础设施，其运营者负有网络安全保护义务；路由层作为电信网基础承载能力，其安全配置（含路由来源验证）可视为"必要安全措施"的合理组成部分 |
| 网络安全等级保护制度2.0（GB/T 22239-2019等） | 第三级以上系统要求具备通信网络安全防护能力；路由劫持导致的流量劫持属于通信网络典型威胁，等级保护测评中可关注相关控制项 |
| 《网络安全法》（2017年施行） | 第21条网络运行安全义务的一般性条款为路由安全实践提供上位法依据；第25条应急预案要求与路由事件处置闭环衔接 |
| GB/T 36643-2018《网络安全威胁信息格式规范》 | 威胁情报的结构化报送标准；本课题情报产出国内侧对标（见第4页§03） |
| 《数据安全法》《个人信息保护法》 | 态势数据与情报共享中的数据分级、出境合规约束（见§3.2） |
3.2 合规要点
- 数据分级：路由宣告数据本身属公开信息，但汇聚分析产物（如某关键行业的网络拓扑画像）可能构成重要数据；态势平台数据资产须完成分级备案，共享策略与分级结果绑定。
- 出境合规：向国际协同渠道（MANRS、境外CSIRT）共享含境内网络信息的情报前，评估是否触发数据出境合规程序；TLP:AMBER及以上级别的境内事件情报原则上在境内渠道闭环。
- 关键信息基础设施运营者义务：关基运营者参与路由安全协同（如接收本课题情报）应与自身监测预警、应急处置制度建设统筹，形成制度性衔接而非临时性响应。
表述严谨性说明：本节对法规与标准的关联性解读属研究性分析，不构成法律意见；具体合规义务应以主管部门正式解释与最新法规文本为准。涉及CERNET等机构的实践数据均来自其公开资料，具体部署细节以官方发布为准。
04 · 国内态势基线与差距研判
基于公开数据可观察到的国内路由安全态势特征（注意第2页观测偏差原则，以下为方向性研判而非精确统计）：
| 维度 | 现状研判 | 改进方向 |
|---|---|---|
| ROA签署 | 境内资源ROA覆盖水平整体仍有较大提升空间，与RIPE区域（2024年IPv4约68%、2025年接近80%的口径）存在差距；学术测量（2025年4月）显示中国在大型经济体中ROA覆盖处于低位，签署集中于部分大型运营商与科研教育网 | 依托CNNIC触达渠道开展签署促进；将ROA签署纳入行业最佳实践宣传 |
| ROV启用 | 部分骨干网络已具备RPKI验证能力，但"验证-拦截缺口"同样存在；全网Invalid丢弃策略启用情况缺乏公开测量 | 借鉴国际主动测量方法（公告探针法）建立国内ROV启用率基线测量 |
| 源地址验证 | 科研教育网SAVA实践领先；运营商侧uRPF等部署受多归属场景制约，策略化部署复杂 | 推广策略化uRPF与SAVA类技术结合；在IXP路由服务器侧强化过滤 |
| 协同机制 | 境内跨运营者的路由安全事件通报渠道相对分散，缺乏类似MANRS的常态化自律机制 | 依托反钓鱼工作组等既有协调机制，试点"国内路由安全协作组"（见第7页§05） |
| 态势可见性 | 境内缺乏公开的路由安全态势观测平台；运营者对针对自身前缀的异常宣告感知滞后 | 建设面向境内的路由安全监测服务（本课题平台架构的国内落地形态） |
05 · 国内态势感知建设的组织模式建议
| 模式 | 适用对象 | 优点 | 局限 |
|---|---|---|---|
| 自建自用 | 大型运营商、CDN/云 | 数据主权完整、深度可定制 | 投入大、周期长（参考第3页平台架构） |
| 行业共建 | 运营商联盟、行业协会主导 | 分摊成本、口径统一、天然形成协同网络 | 治理复杂，需中立秘书处（响应KQ-3） |
| 服务订阅 | 中小运营者 | 零建设成本、快速获得监测能力（BGPalerter自保＋第三方托管监测） | 依赖服务商质量，自定义受限 |
| 混合模式 | 关基运营者 | 自有监测＋外部情报互补，符合等保2.0与关基条例对"监测预警能力"的制度要求 | 需处理好内外数据口径一致性 |
选择建议：中小运营者从"服务订阅＋BGPalerter自保"起步（成本最低、见效最快）；大型网络以自建平台为主、行业情报为校验；协调者角色优先推动"行业共建"以解决公共品供给问题。模式选择本身应写入立项材料，避免建设中途因定位摇摆而返工。
本节参考来源（第6页）
中国互联网络信息中心（CNNIC）：cnnic.cn（NIR职能与注册数据服务）。
中国教育和科研计算机网（CERNET）：cernet.edu.cn；MANRS官网成员名录：manrs.org/participants（CERNET参与及RPKI部署公开口径）。
APNIC：apnic.net；APNIC RPKI服务文档：apnic.net/community/security/rpki。
IETF RFC 5210《A Source Address Validation Architecture (SAVA) Testbed and Deployment Experience》（2008年，实验性标准）：rfc-editor.org/rfc/rfc5210（清华大学等团队的SAVA测试床部署经验）。
《关键信息基础设施安全保护条例》（国务院令第745号，2021年9月1日施行）：gov.cn发布。
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（标准全文公开系统：std.samr.gov.cn可查）。
公共互联网反网络钓鱼工作组：fandiao.org.cn（跨域协同机制组织基础）。
RIPE NCC《RPKI and the Future of BGP Security》等区域部署统计公开资料：ripe.net（区域对比基线数据来源）。
Du B., Testart C., Fontugne R., Akiwate G., Snoeren A., Claffy K.《Mind Your MANRS: Measuring the MANRS Ecosystem》（ACM IMC 2022），全文：caida.org（中国电信AS4134于2020年加入MANRS的独立研究证实）。
Testart C.等《Are we RPKI ready? Measuring the deployment of RPKI ROV and ROA》（IMC 2025），faculty.cc.gatech.edu（2025年4月全球ROA覆盖51.5%、IPv6地址空间61.7%；中国在大型经济体中覆盖最低的学术测量）。