RPKI（资源公钥基础设施）
RPKI 定义
资源公钥基础设施（RPKI）是一个用于保护边界网关协议（BGP）的系统，这对于互联网的运行至关重要。RPKI 允许网络运营商通过加密来验证 IP 地址前缀及发布这些前缀的自治系统的合法性。
RPKI 的工作原理
RPKI 为 IP 地址空间持有者提供了一种通过签发数字签名证书来验证其与特定 IP 前缀关联的机制。这些证书由区域互联网注册机构（RIR）签发，将 IP 地址块与被授权发布这些地址块的自治系统进行匹配。借助 RPKI，网络运营商可以通过验证 RPKI 数据来检查路由通告的有效性，从而确保所通告的路由来自合法来源。
RPKI 采用层次化模型。在顶级层面，有 RIR，负责管理 IP 地址分配并签发证书。诸如美国互联网编号注册管理机构（ARIN）和亚太网络信息中心（APNIC）等 RIR 向互联网服务提供商（ISP）和其他持有 IP 地址空间的实体签发证书。这些证书包含有关 IP 地址块和被授权发布这些地址块的自治系统的信息。
当 ISP 或网络运营商通过 BGP 接收到路由通告时，他们可以使用 RPKI 验证其合法性。这需要检查公告的数字签名，并将 IP 前缀和自治系统号（ASN）与 RPKI 数据相匹配。如果公告与 RPKI 仓库中的有效证书匹配，则认为其合法。否则，网络运营商可以采取适当的行动，例如过滤或拒绝该路由。
预防提示
为了增强 BGP 路由的安全性和可靠性，网络运营商可以采取以下措施：
- 部署 RPKI 验证： 配置互联网路由器以执行 RPKI 验证。这确保只有通过 RPKI 数据验证的路由通告才会被接受。
- 定期检查 RPKI 状态： 网络运营商应定期使用 RPKI 验证器检查其 IP 地址空间的 RPKI 状态。这些工具提供了路由来源授权（ROA）有效性的实时信息，并帮助识别任何潜在的配置错误或未授权的公告。
- 参与 RPKI： 网络运营商应积极参与 RPKI，获取并维护其 IP 地址空间的 ROA。ROA 是指定授权自治系统（AS）被允许发布的前缀的数字签名文件。通过创建和发布 ROA，网络运营商可以强制执行路由来源验证，并防止路由劫持和意外路由泄漏。
相关术语
- BGP（边界网关协议）：使互联网流量在自治系统之间路由的协议。
- ROA（路由来源授权）：指定授权 AS 被允许发布的前缀的数字签名文件。
RPKI 的好处和重要性
RPKI 在提高互联网路由基础设施的安全性和弹性方面发挥着关键作用。通过加密验证 IP 地址前缀及其发布的自治系统的合法性，RPKI 有助于缓解各种路由威胁，例如路由劫持、意外路由泄漏和 IP 地址欺骗。
防止路由劫持： 路由劫持是指未授权实体错误地宣布拥有 IP 地址前缀，导致互联网流量被引导到未授权网络。RPKI 使网络运营商能够验证路由通告的合法性，降低路由劫持风险，确保互联网流量沿预期路径传输。
减轻意外路由泄漏： 意外路由泄漏发生在自治系统错误地通告其未被授权发布的路由时，可能导致中断或影响互联网的稳定性。RPKI 允许网络运营商验证路由公告的授权状态，帮助防止意外路由泄漏，确保路由信息的准确性。
IP 地址欺骗保护： IP 地址欺骗是一种攻击者用来伪装网络数据包源 IP 地址的技术，从而进行各种恶意活动，如分布式拒绝服务（DDoS）攻击和网络侦察。RPKI 结合 BGP 前缀过滤等其他安全措施，通过验证 IP 地址前缀的所有权和授权，帮助减少 IP 地址欺骗。
增强路由安全性： RPKI 加强了对边界网关协议（BGP）的整体安全性，这是互联网路由的基础。通过提供加密验证机制，RPKI 减少了与 BGP 相关的安全事件的可能性，并帮助防止路由劫持、路由泄漏及其他可能破坏互联网连接和数据完整性的路由攻击。
互联网稳定性和可靠性： 通过实施 RPKI 并参与验证过程，网络运营商为互联网整体的稳定性和可靠性做出贡献。验证路由公告和防止未授权公告有助于建立更健壮和可靠的路由基础设施，提升终端用户体验，并确保跨网络通信的完整性。
值得注意的是，尽管 RPKI 为 BGP 路由安全性带来了显著优势，其采用和部署仍在进行中。鼓励网络运营商、ISP 和 RIR 之间广泛参与和协作对于最大限度地提高 RPKI 的有效性并进一步加强全球路由系统的安全性至关重要。
总之，RPKI（资源公钥基础设施）是一个用于保护边界网关协议（BGP）的系统，允许网络运营商验证 IP 地址前缀及其发布的自治系统的合法性。通过根据 RPKI 数据对路由公告进行加密验证，RPKI 有助于防止路由劫持、意外路由泄漏和 IP 地址欺骗。其优点包括增强路由安全性、降低恶意活动风险以及提高互联网的稳定性和可靠性。部署 RPKI 验证、定期检查 RPKI 状态，并积极参与 RPKI，是网络运营商确保 BGP 路由安全性和可靠性的关键预防措施。