路由过滤和 RPKI

网络运营商依赖 IRR 记录 来确定哪些自治系统 (ASN)有权宣告特定的 IP 前缀。基于这些记录，运营商在其路由器上配置过滤策略以阻止未经授权的宣告 —— 这种做法称为路由过滤 (route filtering)。

然而，单独的 IRR 记录并没有经过加密验证，这意味着它们可能不准确或已过时。资源公钥基础设施 (RPKI) 通过添加加密验证来弥补这一缺陷。通过 RPKI，IP 前缀与其授权 ASN 之间的关联是经过签名且可验证的，从而使网络运营商能够在接受路由宣告之前确认其合法性。

当您在五个区域互联网注册机构 (RIR) ¹ 之一注册您的前缀时，可以创建一个路由起点授权 (ROA) —— 这是一个加密签名的对象，用于声明哪个 ASN 有权发起您的前缀。ROA 是公开可验证的，您可以使用 Cloudflare RPKI 门户 ↗ 或其他来源（如 Routinator ↗）来检查您的前缀。