| 角色 | RPKI 缓存（validator）输出验证结果给路由器 |
|---|---|
| 验证 | 比对 Update 的来源 AS 与 ROA |
| 结果 | Valid / Invalid / NotFound |
| 策略 | 通常丢弃 Invalid、按需处理 NotFound |
策略示意
策略示意
# 伪代码：route-map 基于 RPKI 状态匹配
match rpki invalid → deny部署顺序建议：先观测统计（不动流量），再逐步加严策略。
RPKI 起源验证（ROA）入门
RPKI 用签名的 ROA 宣告「某前缀属于某 AS」：设备侧做起源验证可阻断部分前缀劫持，是域间安全的基础手段。
易错点
- 直接丢弃 Invalid：误配置前缀会连带中断，先观测再执行
- 缓存不可用时策略默认全放行或全丢弃：需明确降级策略
数据来源与参考
- RFC 6480: RPKI 架构
- RFC 6811: 起源验证