網路 RPKI 部署逐步指南

網際網路之所以能運作，是因為各個網路會交換資料可行經路徑的資訊。每個網路都會告訴其他網路，自己能到達哪些位址範圍，讓封包得以從一處傳到另一處。多年來，這種交換完全建立在信任之上：某個網路聲稱自己掌管一個位址區塊，其他網路就相信它。在網際網路規模較小、錯誤也較少的早期，這樣就夠了。

隨著網際網路擴大，盲目信任成了弱點。一個輸入錯誤就可能影響大量使用者，一項虛假聲明也可能讓全球流量改道。攻擊者開始利用這一點，透過劫持路由來攔截資料、封鎖存取或製造中斷。缺乏驗證機制，讓整個系統暴露在風險之中。

資源公鑰基礎架構（Resource Public Key Infrastructure，RPKI）就是為了解決這個問題而發展的。它透過數位憑證與路由來源授權，讓網路在接受路由宣告前，能先確認其來源是否獲得授權。部署 RPKI 能提升路由安全，也表明營運者重視網路穩定性。

沒有 RPKI，路由為何容易出問題

網際網路的網域間路由依賴邊界閘道協定（Border Gateway Protocol，BGP）。網路宣告自己能到達的位址，這些宣告迅速傳播，其他網路再據此建立路由表。問題在於，BGP 本身並不要求證明某個前綴的來源已獲授權，因此單靠這個協定無法防止虛假聲明。某個網路可以嘗試宣告不屬於自己的前綴；如果其他網路缺乏適當的驗證與過濾措施，就可能接受這項宣告。

這種開放模式經常帶來問題。有時只是小錯誤，例如工程師輸入了錯誤的數字，但錯誤路由仍會傳播出去。另一些情況則是攻擊：攻擊者可能宣告他人的前綴，把流量送往錯誤的地方。過去，這類失誤與攻擊都曾造成嚴重網路中斷，讓使用者無法存取服務，也讓企業損失營收。沒有驗證，路由就只能繼續依靠盲目信任。

建立路由來源授權（ROA）

RPKI 中最直接的部分是路由來源授權（Route Origin Authorization，ROA）。ROA 將一個前綴與獲准作為該前綴路由來源的自治系統（AS）連結起來。建立 ROA 並不複雜，卻十分重要。使用託管式 RPKI 服務時，營運者先登入註冊管理機構的入口網站，輸入前綴、指定獲授權的自治系統編號（ASN），並在需要時設定前綴長度上限。託管服務會產生並簽署 ROA，而對應的資源憑證則用來驗證這項授權。

ROA 一經發布，就能供網際網路各處使用。其他營運者可以下載、驗證，並用它來檢查路由。未受任何 ROA 涵蓋的前綴仍可宣告，其路由來源驗證狀態會是 NotFound。若 ROA 設定錯誤，原本合法的路由宣告也可能被歸類為 Invalid，並遭到採用相應過濾政策的網路拒絕。紀錄必須保持正確，每筆 ROA 都應符合實際路由規劃，否則流量可能被誤擋。

設定 RPKI 驗證器

建立 ROA 只是系統的一部分，另一部分是驗證。要進行路由來源驗證，網路需要驗證器提供的授權資料。驗證器會從 RPKI 儲存庫取得 ROA、相關憑證等物件，檢查其有效性，儲存通過驗證的授權資料，再提供給路由器使用。

執行驗證器不需要高階設備，小型伺服器或虛擬機器就能勝任。已有開放原始碼軟體可用，多數營運者使用基本工具就能安裝。重點是讓驗證器維持連線並持續更新。驗證器離線時，路由器通常仍能使用授權資料，直到快取的有效期限屆滿。快取到期或清空之後，驗證結果與路由接受行為會取決於實作方式及本地政策。RPKI 需要穩定、可靠的驗證器才能妥善運作。

設定路由器以進行驗證

必須設定路由器，讓它能接收驗證器提供的授權資料。路由器通常透過 RPKI-RTR 協定取得並快取這些資料。收到路由宣告時，路由器會將前綴、前綴長度及來源 ASN，與快取中的授權資料比對。若路由無效，就可以依政策捨棄。有些營運者起初只標記無效路由，仍予以保留以便檢視；另一些則會立即捨棄。

具體設定步驟因廠商而異。Cisco、Juniper、Nokia 等廠商各有自己的驗證指令，但原則相同：路由器必須取得驗證器的授權資料、執行路由來源驗證，並套用適當政策。透過正確設定與過濾政策，網路可以降低無效路由來源帶來的風險。

測試與監控 RPKI 部署

設定完成後，必須測試系統。營運者可以檢查自己的前綴宣告是否被標記為有效，也可以在隔離的測試環境中，模擬前綴、前綴長度或來源 ASN 與 ROA 不符的宣告，確認它們是否依政策遭到拒絕。這些測試能確認驗證器與路由器是否按照預期運作。

監控同樣重要。RPKI 並非靜態系統，每天都會產生新紀錄。如果驗證器停止更新，路由器就可能無法取得最新資訊。

處理錯誤與常見問題

即使有 RPKI，仍可能發生失誤。常見問題之一，是建立 ROA 時輸入錯誤的數字，導致原本合法的路由被標記為無效。發生這種情況時，使用者可能無法連上該網路。處理方法是迅速修正紀錄並發布更新。更新傳播完成後，路由就會恢復有效狀態。

另一個問題是驗證器離線。若伺服器故障，只要既有授權資料尚未超過快取有效期限，路由器通常仍能用它來檢查新路由。資料到期或被清除後，依實作方式不同，驗證狀態可能變成 NotFound。驗證器中斷本身並不代表路由是 Invalid。每個營運者都需要明確的快取到期處理政策。暫時接受 NotFound 路由可能有助於降低中斷風險，但沒有有效授權資料，就無法保證仍能辨識並過濾未經授權的來源聲明。因此，驗證器仍須盡快修復。

早期採用者的營運經驗

許多大型網路已經部署 RPKI。它們的經驗顯示，只要規劃得當，系統就能可靠運作。啟用路由來源驗證與過濾政策的營運者，可以阻擋 Invalid 宣告。這些宣告可能來自設定錯誤，也可能涉及劫持；光憑驗證狀態無法判定原因。無論是哪一種情況，基於 RPKI 的路由來源驗證與過濾，都有助於限制損害擴散。

小型網路也回報了益處。它們表示，有了驗證，就更容易信任對等網路。客戶更安心，合作夥伴也更願意與部署 RPKI 的營運者合作。早期採用者已證明，RPKI 並非大型企業的專利：任何規模的網路都能部署並受益。

RPKI 與網際網路交換中心（IXP）

網際網路交換中心（IXP）是眾多網路匯聚的核心場所。它讓流量直接在營運者之間傳遞，不必繞行漫長路徑。因此，交換中心每天都會處理大量路由。若其中一個參與者宣告錯誤路由，錯誤可能透過交換中心迅速擴散。

在 IXP 部署 RPKI 可以降低這項風險。在路由伺服器或成員路由器上執行來源驗證並過濾 Invalid 路由，可以減少無效宣告在成員之間傳播。對於來源驗證能夠辨識的劫持，這有助於在相關路由抵達大量對等網路之前先行過濾，但仍無法保證每一條轉送的路由都正確。這能提升所有參與者的信心。有些交換中心已將 RPKI 納入加入條件，成員也將其視為值得信賴的標誌。

全球安全脈絡下的 RPKI

路由是網際網路隱藏的層次之一，很少受到大眾關注。社群網路或銀行服務中斷時，使用者看到的是表面問題，而不是成因。很多情況下，根本原因是路由錯誤。若沒有驗證，這些錯誤可能不受控制地擴散。

RPKI 提供一層全球性的安全機制。各地可以制定自己的營運政策，但 RPKI 使用共同的技術標準。各區域網際網路註冊管理機構都維護信任錨點；設定了適當信任錨點的驗證器，可以驗證來自不同地區的路由來源授權。這使跨境驗證成為可能。在一個國家獲配前綴的路由來源授權，可以由另一個國家的網路驗證。全球涵蓋範圍是 RPKI 最大的優勢之一，因為網際網路本身就沒有國界。

RPKI 部署的未來

RPKI 的採用率持續上升。許多大型服務提供者已在使用，較小的營運者也逐步跟進。未來，它可能成為普遍期待的基本標準。正如網際網路流量加密已成常態，路由驗證也可能如此。

未來發展也有賴於更好的教育與工具。如果驗證器更容易安裝，註冊管理機構的指引更清楚，就會有更多網路部署 RPKI。政府也可能透過政策介入，要求關鍵基礎設施使用 RPKI。整體趨勢是使用範圍擴大，而非縮減。

社群支援與訓練

RPKI 一開始可能顯得複雜，但許多社群團體都提供協助。營運者會分享指南、舉辦工作坊並發布案例研究。這些資源降低了沒有專職資安人員的小型公司的進入門檻。借鏡他人的經驗，就能以較低風險部署 RPKI。

訓練也是長期成功不可或缺的一環。了解 ROA 與驗證器運作方式的團隊，比較不容易犯錯。理解系統的員工越多，整個組織就越安全。社群支援與訓練能持續支持 RPKI 的採用。

RPKI 在建立信任上的作用

網際網路透過獨立網路之間的協議運作。每個網路都必須相信其他網路會公平行事。過去，這種信任完全依靠口頭保證或合約條款。有了 RPKI，信任就具備技術基礎：以證明取代盲目信任。

這種技術信任對企業很重要。客戶想知道自己的資料是否安全；合作夥伴希望確信路由不會消失；投資者則希望看到網路遵循最佳實務。部署 RPKI 清楚傳達出營運者重視安全的訊息。久而久之，這種信任會成為聲譽的一部分，而聲譽的價值可能不亞於網路本身。

RPKI 與雲端服務提供者

雲端平台依賴穩定、不間斷的路由。它們託管數百萬個網站與應用程式，任何停機都可能造成重大損失。許多提供者已開始部署 RPKI，以保護自己的位址空間。這能增加客戶信心，也有助於降低路由來源劫持造成服務中斷的風險。

雲端公司經常同時在多個地區營運，因此面對的路由環境往往十分複雜。RPKI 可以協助確認哪些自治系統獲准作為相關前綴的路由來源。依驗證結果過濾無效路由，有助於減少流量被導往錯誤方向的風險。然而，基於 ROA 的來源驗證無法驗證完整 AS 路徑，也不能保證流量一定沿著預期路徑傳送。這正是雲端營運者如今將 RPKI 視為業務信任基礎一部分的原因。

區域採用情況與政策趨勢

各地的進展速度並不相同。有些地區因註冊管理機構提供強力政策支持，RPKI 採用速度很快；另一些地區則因營運者態度審慎或資源有限，進展較慢。

有些地方已開始建議將 RPKI 列為營運者的必要條件；另一些則透過獎勵措施或訓練支援來鼓勵採用。這些趨勢顯示，即使各地採用速度不同，RPKI 仍將成為全球普遍期待的基本要求。

部署 RPKI 的成本與效益

對小型營運者而言，這些工作可能看起來負擔不輕，但效益很明確。RPKI 可以降低劫持風險、協助維持路由穩定，也能向合作夥伴證明網路安全可靠。許多公司如今將 RPKI 視為健全營運的基本要素。與重大劫持或網路中斷可能造成的損失相比，部署與維護 RPKI 的成本可能相當低。這也是每年有更多網路採用它的原因。

常見問題

• RPKI 的主要用途是什麼？
  它讓位址資源持有者能以可驗證的方式，授權特定自治系統作為相關前綴的路由來源。結合路由來源驗證與過濾政策後，有助於阻擋未經授權的來源宣告，並提升路由安全。

• RPKI 能解決所有路由問題嗎？
  不能。基於 ROA 的路由來源驗證可以辨識不符合有效授權的路由宣告，並結合過濾政策，降低部分劫持與錯誤宣告的風險。路由洩漏等其他問題仍然存在，完整防護還需要額外工具。

• 所有路由器都支援 RPKI 驗證嗎？
  不是。較舊的設備可能需要升級。大多數現代路由器已支援 RPKI，開放原始碼工具也能提供協助。

• 驗證器停止運作時會怎樣？
  路由器通常可以繼續使用既有授權資料，直到快取有效期限屆滿。快取到期或清空後，依實作方式不同，受影響的路由可能變成 NotFound。允許 NotFound 路由的政策，有助於降低中斷風險，但無法保證流量正常，也無法保證持續辨識所有來源無效的宣告。驗證器仍應盡快恢復運作。

• 部署 RPKI 是強制要求嗎？
  大多數地區並未強制要求，但都強烈建議採用。有些產業組織與監管機構已開始將它列為要求。