01 · 工具生态全景
1.1 RPKI验证与分发（RP侧）
| 工具 | 类型 | 适用场景 |
|---|---|---|
| rpki-client | 开源RP（C） | 追求高安全与高性能的生产验证；支持RTR服务器与VRP导出 |
| Routinator | 开源RP（Rust，NLnet Labs） | 快速上线、文档友好；HTTP API便于集成监控 |
| Fort Validator | 开源RP（C） | 性能导向；拉美区域与大型部署活跃 |
| OctoRPKI | 开源RP（Go，Cloudflare） | 超大规模验证；支撑Cloudflare自有ROV体系 |
| RTRTR | RTR聚合代理 | 多RP冗余接入、大规模路由器RTR分发 |
1.2 监测与告警
| 工具 | 类型 | 适用场景 |
|---|---|---|
| BGPalerter | 开源监测（NTT） | 自有前缀的劫持/泄露/RPKI-Invalid实时告警，接入RIS Live与RPKI验证数据 |
| ARTEMIS | 开源研究系统（FORTH） | 分钟级劫持检测与缓解的研究/运营原型（支撑文献：ACM IMC 2017） |
| BGPStream/pybgpstream | 数据访问库（CAIDA） | 历史与实时BGP数据的批量分析管道 |
| bgpkit | 工具集/API | MRT解析、前缀/AS级快速查询与数据处理 |
| RIS Live | 实时数据流（RIPE NCC） | 分钟级路由更新事件的订阅式接入 |
1.3 公共测量与统计平台
| 平台 | 提供方 | 内容 |
|---|---|---|
| NIST RPKI Monitor | 美国NIST | 全局RPKI对象统计、信任锚状态、异常监测仪表盘 |
| RIPE NCC统计/Radar | RIPE NCC | 区域覆盖统计、RPKI Dashboard、成员签署报告 |
| APNIC Labs RPKI统计 | APNIC | 按经济体粒度的覆盖/验证分解（Geoff Huston维护） |
| Cloudflare isbgpsafeyet | Cloudflare | 公众可参与的ROV执行检测（控制实验范式） |
| ARIN RPKI统计页 | ARIN | ARIN区域托管/委托签署趋势 |
| RPKIViews年度归档 | 志愿者测量社区（Job Snijders等） | 近完整的全球RPKI对象年度快照、对象计数与信息密度统计（Zenodo公开数据集），长周期回测基准 |
02 · 测量复现指引
2.1 自建VRP快照（最小可复现）
示例：以rpki-client定时同步五大RIR并导出VRP（示意配置，具体语法以各版本官方文档为准）
# /etc/rpki-client.conf（示意） # 信任锚：各RIR官方TAL（从其官网获取校验指纹后安装） # 默认即覆盖 APNIC/ARIN/RIPE/LACNIC/AFRINIC 官方发布点 # crontab：每15分钟同步并导出 */15 * * * * /usr/sbin/rpki-client -v && \ /usr/bin/rpki-client -j > /data/vrp-$(date +\%Y\%m\%d-\%H\%M).json
2.2 自有前缀防护监测（最小可复现）
示例：BGPalerter监测自有前缀的RPKI-Invalid判定与劫持宣告（节选示意）
# config.yml（示意，完整字段见BGPalerter官方文档）
monitors:
- file: prefix-monitor
params:
thresholdMinPeers: 10
rules:
- prefixes: prefixes.yml # 列出自有前缀与预期起源AS
- alertOnlyOnce: false
hooks: []复现纪律：①TAL获取必须从RIR官网验证指纹后安装，防止信任锚投毒；②VRP快照保留时间戳与验证器版本，保证指标可回溯；③对照组使用第二个独立RP软件交叉验证差异率（差异率本身纳入质量报告）。
03 · 度量指标体系（输出给子课题06）
| 维度 | 指标 | 更新频率 |
|---|---|---|
| 覆盖类 | 四口径ROA覆盖率（地址空间/宣告空间/前缀/AS）、IPv4/IPv6分列、区域/经济体分解、NotFound暴露面规模 | 周 |
| 质量类 | 覆盖健康指数CHI四维度（maxLength适配度、有效期健康度、覆盖完整性、历史一致性） | 周 |
| 执行类 | ROV启用率区间估计（严格/宽松口径）、RTR会话密度、验证时延中位数 | 季度（区间）/周（时延） |
| 效能类 | 事件可预防性指数、实际防护率、暴露缺口、收敛时延（按事件聚合） | 事件驱动 |
04 · 90天实施路线
4.1 上线检查清单
- □ 全部宣告前缀（IPv4+IPv6）均有对应ROA，maxLength与实际最长宣告一致
- □ 双RP软件栈运行中，VRP新鲜度监控（last-update）接入告警
- □ BGPalerter（或等效工具）覆盖全部自有前缀，告警通道验证可用
- □ 路由器ROV策略经log-only观察期，SLURM例外清单评审归档
- □ PeeringDB与RIR注册数据中的ROV执行状态已如实公开
- □ MANRS参与申请提交；事件通报联系人清单更新
05 · 全八页总结
本子课题以"覆盖测量—执行测量—效能评估"三层体系，回答了RPKI部署的四个根本问题：签了多少（全球IPv4宣告空间覆盖突破50%，RIPE区域IPv4地址空间达76%、IPv6达44%）、执行多少（执行侧显著落后，只发区间不发单点）、实际挡住多少（Cloudflare 1.1.1.1事件证明ROV拦截有效，但泄露穿透与用户面暴露揭示"核心强、接入弱"的结构）、还差什么（NotFound暴露面、执行率、泄露盲区、ASPA标准化）。所有统计均带口径、来源与时间戳；所有框架均可复现。后续工作：将周度数据集接入子课题06态势平台，并将CHI质量工具移交子课题03做错误模式深挖。
成果索引：第1页（总览与KQ）→ 第2页（技术解剖）→ 第3页（方法学）→ 第4页（覆盖画像）→ 第5页（执行测量）→ 第6页（效能评估）→ 第7页（障碍与实践）→ 第8页（工具与路线）。各页交叉引用保证任一环节可独立阅读、整体可闭环验证。
本节参考来源（第8页）
rpki-client：rpki-client.org；Routinator：nlnetlabs.nl；Fort：fortproject.org；OctoRPKI：github.com/cloudflare/cfrpki；RTRTR：nlnetlabs.nl/projects/routing/rtrtr。
BGPalerter：github.com/nttgin/BGPalerter；ARTEMIS（Sermpezis P. 等，ACM IMC 2017）：doi.org/10.1145/3131365.3131379；CAIDA BGPStream：bgpstream.caida.org；bgpkit：bgpkit.com；RIS Live：ris-live.ripe.net。
NIST RPKI Monitor：rpki-monitor.antd.nist.gov；RIPE NCC RPKI：ripe.net；APNIC Labs统计：labs.apnic.net/dists/rpki；isbgpsafeyet：isbgpsafeyet.com；ARIN RPKI：arin.net/resources/rpki。
IETF RFC 7115（2014）：rfc-editor.org/rfc/rfc7115；RFC 8416（2018）：rfc-editor.org/rfc/rfc8416；MANRS：manrs.org。
学术基线：Testart等（IMC 2019）、Sermpezis等（NDSS 2021）、Sermpezis等ARTEMIS（IMC 2017），DOI见前文各页。
RPKIViews全球RPKI对象归档：rpkiviews.org；2024/2025年度Amalgamation数据集（Zenodo）：doi.org/10.5281/zenodo.18328474、doi.org/10.5281/zenodo.18332099。