技术指南
什么是路由起源授权（ROA）？BGP 与 RPKI 路由指南
让客户顺畅访问你的服务。了解 ROA、RPKI 与 BGP 如何配合，掌握路由配置要点，再用 LARUS Continuity 为网络扩展持续补充 IPv4。
了解 IPv4 Continuity新地址到手后，下一步是让客户真正连得上。路由起源授权（ROA）让其他网络能够核对：这段 IP 地址是否由获得授权的自治系统发布。对 ISP、云平台和托管服务商来说，提前配好 ROA，能减少新业务上线、扩容和迁移时的路由问题。
什么是路由起源授权（ROA）？
ROA 是一份带有数字签名的路由授权记录，说明哪个自治系统编号（ASN）可以作为一个或多个 IP 前缀的路由源。资源持有者通过 RPKI（资源公钥基础设施）发布这份记录，其他网络据此核对收到的 BGP 路由。
例如，ROA 可以授权 AS64500 发布 203.0.113.0/24。这里的 ASN 和地址都是文档示例，实际配置应使用你的资源。ROA 的格式见 RFC 9582；它取代了此前的 RFC 6482。
ROA 为什么关系到客户体验？
客户关心的是网站能否打开、API 能否连接、业务能否正常运行。BGP 负责网络之间的路由交换；如果其他自治系统错误地发布了你的前缀，流量就可能偏离预期路径。
正确的 ROA 为启用起源验证的网络提供判断依据，帮助它们识别不匹配的路由。扩容、增加节点或更换路由源 ASN 时，让授权跟上网络变化，也能避免自己的正常路由被判为 Invalid。
ROA 如何工作？
- 资源持有者通过 RPKI 服务发布前缀及获授权的起源 ASN。
- RPKI 验证器检查签名数据，生成验证后的 ROA 有效载荷（VRP）。
- 路由器获取这些数据，与收到的 BGP 路由进行比对。
- 网络根据 Valid、Invalid 或 NotFound 结果，执行自己的路由策略。
路由器使用本地已有的验证数据，不必为每条路由实时查询注册机构。发布 ROA 与启用路由起源验证，是两件相互配合的事。
配置 ROA，需要哪三项信息？
- 起源 ASN：实际发布这条路由的自治系统。
- IP 前缀：授权覆盖的 IPv4 或 IPv6 地址块。
- maxLength：可选参数，限定允许发布的最长前缀长度。
一份 ROA 指定一个起源 ASN，可以包含多个前缀。如果同一前缀确实需要由两个 ASN 发布，就为两者分别授权。起源 ASN 不一定是提供上游传输的运营商 ASN，要以实际路由为准。
ROA、RPKI 和 ROV 有什么区别？
RPKI 提供信任基础设施，ROA 承载经过签名的授权，ROV 则把 BGP 路由与验证后的授权进行比对。想进一步了解验证链路，可以阅读《什么是 RPKI》。
怎样看懂 Valid、Invalid 和 NotFound？
假设只有一份授权：允许 AS64500 发布 203.0.113.0/24，且只允许这个 /24。下表用于说明验证逻辑，其中的文档示例地址不用于公网部署。
| 结果 | BGP 路由 | 原因 |
|---|---|---|
| Valid | 203.0.113.0/24 · AS64500 | 起源 ASN 和前缀长度都匹配。 |
| Invalid | 203.0.113.0/24 · AS64501 | 没有匹配这个起源 ASN 的授权。 |
| Invalid | 203.0.113.0/25 · AS64500 | /25 比授权允许的前缀更具体。 |
| NotFound | 198.51.100.0/24 · AS64500 | 这个不同的前缀没有被任何有效授权覆盖。 |
实际验证会检查全部相关授权：只要有一份同时匹配起源 ASN 和前缀长度，结果就是 Valid。有覆盖记录却没有任何匹配记录，才是 Invalid；没有覆盖记录则是 NotFound。三种状态的定义见 RFC 6811。
maxLength 应该怎么设置？
不填写 maxLength 时，只授权填写的那个前缀。若给 /24 设置 maxLength 25，就同时允许该 ASN 发布其中的两个 /25。通过验证不等于全球可达，其他网络仍会使用自己的前缀过滤规则。
先列出网络实际要发布的前缀，再按需授权。精确授权更容易核对，也避免给不会使用的子前缀留下过宽的权限。RFC 9319 推荐采用这类最小化 ROA。
ROA 如何降低 BGP 劫持风险？
如果其他 AS 在没有匹配授权的情况下发布你的受保护前缀，ROV 会将其判为 Invalid。拒绝 Invalid 路由的网络，就能排除这条冲突通告，帮助客户流量沿预期路径到达你的服务。
路由通过验证后，还要关注什么？
ROV 检查的是路由源，不是 AS 路径中的每一跳。路由泄漏也可能保留正确的起源 ASN，因此仍显示 Valid。把 ROA 与路由过滤、BGP 监控、外部访问测试配合起来，才能更完整地看到客户的连接体验。
路由验证与地址的持续可用性也属于不同层面。技术配置正确之后，还需要有人持续承担上游注册机构接口的工作。
上线或迁移前，怎样准备 ROA？
- 列清实际路由。记录前缀、起源 ASN 和需要发布的子前缀，同时考虑故障切换及 DDoS 清洗路径。
- 发布授权。通过管理该资源的托管或自建 RPKI 服务配置；租用地址时，与地址提供方协调。
- 确认验证器已收到。先查看新授权是否出现在验证器数据中，再改 BGP。不同网络的刷新时间可能不同。
- 从外部验证服务。检查实际起源 ASN、验证状态和客户服务的可达性。
更换起源 ASN 时，先为新 ASN 授权；旧 ASN 仍在正常使用期间保留旧授权。切换路由并确认新路径正常后，撤回旧路由，再移除不再需要的旧授权。
正常路由被判为 Invalid，先查哪里？
- ASN 不一致：核对实际 BGP 起源，尤其是由服务商代为发布路由的情况。
- 漏掉子前缀：逐一检查已发布路由的前缀长度是否得到授权。
- maxLength 过宽：收回用不到的范围，按实际需求精确授权。
- 迁移顺序颠倒：确认先完成新 ASN 授权，再切换 BGP。
- 旧授权删早了：确认旧起源是否仍在承载业务。
Invalid 也可能只是配置不匹配。先核对已发布的 ROA 和验证器当前数据，再调整正在运行的路由，能更快找到真正的问题。
让下一次变更更顺畅
为每段地址记录起源 ASN、ROA 维护联系人和变更时间。除了验证状态，也观察外部可达性。变更 ASN、拆分前缀、调整故障切换方案，或更换服务商导致起源改变时，都重新核对一次。
从路由授权，到业务持续增长
你需要的不只是能发布的地址，还要让客户长期使用、让业务继续扩展。ROA 解决路由源授权；即使配置完全正确，上游注册机构层的风险仍需要由专业团队承担。
LARUS 从自有地址池直接出租 IPv4，把注册机构接口放在上游，让你的团队专注客户与网络增长。卢恒在 Note 35 中解释了这一连续性模式。通过 LARUS Continuity 规划 Unlimited IPv4，把地址容量、路由部署和持续支持放在同一条业务路径上。
路由准备到位，扩容从容推进
核对前缀与 ASN，发布授权，验证实际路由，再安排后续变更。这样，ROA 就能真正服务于上线速度和客户连接，而不只是系统里的一条记录。
网络运营团队常问的 ROA 问题
ROA 的全称是什么？
Route Origin Authorization，即路由起源授权，是通过 RPKI 发布的带数字签名的授权记录。
ROA 和 RPKI 是同一个东西吗？
不是。RPKI 是整体信任基础设施，ROA 是其中承载路由授权的记录。
配置前需要准备什么？
实际使用的前缀、起源 ASN，以及网络准备发布的各个前缀长度。
Valid 就代表全球可达吗？
它表示路由与有效授权匹配。还要检查 BGP 可见性及服务能否从外部正常访问。
出现 Invalid 时先检查什么？
将实际起源 ASN 和前缀长度与全部覆盖授权进行比对，并检查验证器是否已刷新。
NotFound 等于 Invalid 吗？
不等于。NotFound 表示没有有效授权覆盖该路由，本身不代表起源未获允许。
ROA 能阻止所有 BGP 劫持吗？
ROV 帮助网络排除未经授权的起源，但不验证整个 AS 路径，需要配合过滤与监控。
路由泄漏也可能显示 Valid 吗？
可能。泄漏的路由可以保留正确的起源 ASN，起源验证无法识别所有这类问题。
ROA 配错会影响客户吗？
会。正常路由可能被判为 Invalid，进而被拒绝此类路由的网络过滤，影响可达性。
什么时候更新 ROA？
在起源 ASN 或授权前缀长度改变之前，协调好授权发布与 BGP 变更，让迁移全程保持匹配。
为下一次部署准备 IPv4
客户持续连接，业务从容扩展。
通过 LARUS Continuity 规划下一段地址：Unlimited IPv4、第一方直接供应，以及交付后的持续支持。