01 · 部署障碍的归因分析
基于RIR社群调查、MANRS实践总结与学术访谈研究的交叉证据，组织不部署RPKI（尤其不执行ROV）的障碍可归为五类：
| 障碍类别 | 具体表现 | 破解思路 |
|---|---|---|
| 认知障碍 | 低估劫持风险（"我们不会被劫持"）；混淆RPKI与BGPsec，误以为部署成本极高 | 用本事件库中的真实案例（第6页）做风险教育；明确"签署ROA=网页操作、执行ROV=成熟开源工具" |
| 流程障碍 | 资源持有者内部申请/审批链长；前缀归属与网络运营分属不同部门 | 把ROA签署纳入IPAM变更流程的强制环节；高层合规背书 |
| 恐惧障碍 | 担心Invalid误伤合法路由导致可达性事故——这是执行ROV最大的心理门槛 | 灰度上线（log-only→de-prefer→discard）、SLURM本地例外、先做自有前缀回环验证 |
| 复杂度障碍 | 多归属、任播、CDN场景的ROA策略复杂；IPv6前缀量大难以逐一管理 | 按"宣告粒度"自动生成ROA建议（第3页质量维度数据可直接生成整改清单） |
| 治理障碍 | 跨境资源代管场景决策链不清；区域RIR平台可用性与语言支持参差 | NIR（如CNNIC）政策工具、托管模式默认化、区域社群培训 |
02 · 风险面：部署不当引发的次生事故
2.1 高风险错误模式
| 错误模式 | 后果 | 检测与处置 |
|---|---|---|
| maxLength设置过宽 | 授权范围大于实际宣告需求，攻击者可在授权长度内以任意子前缀劫持而不触发Invalid | 子课题03质量扫描标记；按实际宣告长度收紧maxLength |
| 证书/ROA过期未续 | 合法宣告退化为NotFound（失去防护），或在部分验证器实现中被异常处理 | 有效期健康度监控（第4页CHI维度）；设置到期告警 |
| 前缀转让后旧ROA残留 | 新归属者的合法宣告被判Invalid，被严格ROV网络丢弃——可达性事故 | 转让流程强制撤销旧ROA；跨RIR迁移双签过渡 |
| 只签主前缀漏子前缀 | 部分宣告处于NotFound，形成局部暴露面 | 宣告与ROA的自动差异比对，每日生成缺口清单 |
| 验证器单点故障 | RTR断供导致路由器VRP库停滞，防护静默消失 | 双RP冗余+RTRTR聚合；监控VRP新鲜度（last-update时间戳） |
| 激进discard无回退 | 对配置错误方（含自己过去的错误）形成无差别拦截，争议与投诉成本高 | 遵循RFC 7115渐进建议；保留log-only观察期与快速回退预案 |
严格声明：本节错误模式均来自公开学术文献（Testart IMC 2019等）、RIR运营文档与社区已知事件的经验总结，用于防御与整改指引；不构成对任何具体组织的指认。
03 · 最佳实践体系
3.1 持有者侧（签署ROA）
- 全覆盖：对所有实际宣告的前缀签署ROA，含IPv6与备份链路前缀；多归属场景对每个合法起源AS分别授权。
- 最小授权：maxLength与实际宣告最长长度一致，不为"将来可能"预留宽度——可随时追加ROA，收紧则需全网验证器刷新。
- 流程内建：ROA签署/变更/撤销纳入IPAM与变更管理流程，人员离职、前缀转让、业务下线为强制触发点。
- 年度审计：宣告与ROA的完整比对（本课题CHI工具直接可用）；Ghostbusters记录保持联系方式有效。
3.2 运营侧（执行ROV）
- 渐进策略：遵循RFC 7115的部署建议——先以log-only运行观察数周，再对Invalid降权，最终对Invalid执行discard；全程保留SLURM本地例外能力（RFC 8416）。
- 自有前缀先行：先验证自身ROA配置的正确性（用BGPalerter监测自身前缀的Invalid判定），再开启对外discard。
- 双RP冗余：生产环境至少两套独立RP软件栈（如rpki-client+Routinator），前端RTRTR聚合，监控VRP新鲜度与一致性。
- MANRS对标：按MANRS行动#4（全局验证）要求执行；在PeeringDB与RIR注册数据中公开ROV执行状态，便于上下游与社群感知。
3.3 治理侧（区域与行业）
- 托管默认化：推动RIR托管平台成为新成员默认选项（RIPE NCC等已有成熟实践），把"是否签署"从主动决策变为默认状态。
- 事件驱动促进：重大劫持事件后72小时内向受影响经济体定向推送签署指南（本课题"事件→签署弹性"参数支撑时机选择）。
- 监管协同：在国内场景中，通过CNNIC的NIR职能将ROA签署与IP地址备案、年审等既有治理环节挂钩；推广CERNET式"按现网宣告策略签署ROA"的可复制经验。
- 失效对象治理：RIPE NCC政策ripe-847《Revocation of Persistently Non-functional Delegated RPKI CAs》已于2026年实施，授权撤销长期不可用的委托CA资源证书以降低RP负载——区域治理已开始直接处置"僵尸委托"类质量风险，本课题CHI的"有效期健康度"维度应与该治理通道对接。
04 · 演进展望：从ROV到路径验证
- RFC 9234（2022）：通过BGP OPEN协商角色（provider/peer/customer/rs-server/rs-client）并在UPDATE中携带Only-To-Customer标记，为泄露防护提供轻量机制——可在现有ROV体系上叠加，无需新对象类型。
- ASPA（标准化冲刺阶段，截至2026年1月）：IETF SIDROPS工作组按新章程推进ASPA对象规范与验证程序（draft-ietf-sidrops-aspa-profile、draft-ietf-sidrops-aspa-verification，状态以Datatracker实时为准）；据RPKIViews年度回顾（2026年1月），规范已接近工作组最后召集，乐观情形下2026年内可发布RFC。ASPA允许AS声明其合法上游提供商集合，为AS_PATH提供"逐跳授权"验证，补齐ROV的路径盲区。签发侧已经启动：2025年ASPA对象量同比增长约5倍（年末556个唯一客户AS，约占全球路由AS的0.5%），RIPE NCC于2025年在RPKI Dashboard开放ASPA签发，ARIN于2026年1月上线。其部署复用RPKI既有信任锚与存储库体系，本课题测量框架可直接扩展出"ASPA覆盖率"新口径。
- BGPsec的现实定位：RFC 8205虽已标准化，但签名开销、密钥轮换与运营复杂度导致全球部署极其有限；当前产业共识是把ASPA视为通往路径验证的更务实路线，BGPsec长期看仍是完整方案的理论参照。
- 对测量体系的影响：路径验证类机制上线后，"执行测量"的方法学（控制实验+行为分析）基本可复用；本课题将跟踪SIDROPS标准化进展并预研ASPA覆盖/执行指标。
- SIDROPS持续维护信号：RFC 9829（2026年1月发布，规范RPKI CRL序号扩展的处理）等澄清性RFC持续打磨实现一致性；SIDROPS新章程要求规范进入RFC发布前须具备多个互操作实现——这对测量意味着"实现多样性"本身将成为可观测的部署健康度指标。
版本与状态声明：ASPA相关RFC编号在撰写本页时仍处于标准化流程中，为避免引用过期编号，本页仅引用IETF Datatracker上的草案名称；读者查阅时请以 datatracker.ietf.org/wg/sidrops 的实时状态为准。本课题全篇涉及的RFC状态均按此原则核实。
05 · 中国场景落地要点
- 入口：境内资源持有者经CNNIC（APNIC框架下的NIR）进入RPKI体系；托管模式是绝大多数机构的现实选择。
- 标杆：CERNET的RPKI+MANRS实践（IPv6 ROA签署率84%）提供了"科研网先行、策略清晰"的样板；其按现网宣告策略签署ROA的做法可直接借鉴。
- 洼地：商业网络的签署与ROV执行显著落后于科研网；重点障碍在流程与恐惧两类，对应的破解抓手是"IPAM内建签署环节"与"灰度上线手册"。
- 协同：将本课题测量产出的NotFound高风险前缀清单、CHI质量报告接入CNNIC与反钓鱼工作组的协同处置通道，形成"测量—通报—整改"闭环。
本节参考来源（第7页）
IETF RFC 7115《Origin Validation Operation Based on the RPKI》（2014）：rfc-editor.org/rfc/rfc7115。渐进部署与运营实践的标准依据。
IETF RFC 8416（SLURM，2018）：rfc-editor.org/rfc/rfc8416；RFC 9234（2022）：rfc-editor.org/rfc/rfc9234。
IETF SIDROPS工作组文档状态（ASPA草案实时状态）：datatracker.ietf.org/wg/sidrops。
Testart C. 等《RPKI is Coming of Age》（ACM IMC 2019，错误模式实证）；Sermpezis P. 等《Are We There Yet?》（NDSS 2021，部署障碍与收益模型）。
MANRS行动清单与实施指南：manrs.org；RIPE NCC RPKI最佳实践文档：ripe.net；NLnet Labs Routinator部署文档：nlnetlabs.nl。
CERNET路由安全实践公开资料：cernet.edu.cn；CNNIC：cnnic.cn。
Snijders J.《RPKI's 2025 Year in Review》（2026年1月）：ASPA标准化进度（接近WGLC）、ASPA对象部署量（87→556个唯一客户AS）、SIDROPS新章程与RFC 9829发布；RIPE NCC政策ripe-847《Revocation of Persistently Non-functional Delegated RPKI CAs》实施公告（2026年）。