rpki-rtr 是什么
323 号 TCP 的 IANA 登记名是 rpki-rtr，规范文本是 RFC 6810，登记机构为 IESG。这个端口承载的是 RPKI to Router 协议：RPKI 验证器把经过签名的授权信息（ROA 对应的 VRP 列表）下发给路由器，路由器据此判断某个前缀是否被合法授权路由，从而在 BGP 决策中实现路由源验证（ROV），缓解前缀劫持与误通告。
基本信息
| 服务名 | rpki-rtr（Resource PKI to Router Protocol） |
|---|---|
| 端口 | 323（TCP） |
| 规范 | RFC 6810 |
| 用途 | 把 ROA/VRP 数据从验证器同步到路由器 |
| 配套机制 | 与 BGP 配合实现路由源验证 |
典型使用场景
- 路由安全加固：为 BGP 前缀做源授权校验，减少被劫持的风险
- 运营商与云出口：多线路环境下的路由过滤
- 排障：路由被丢弃时确认是策略配置问题还是 VRP 数据未同步
- 变更管理：路由器与验证器之间的连接中断会影响过滤结果
- 合规与审计：说明网络层路由安全措施落实情况
连接与状态核查
连接与状态核查
ss -lntp | grep ':323 ' # 本机是否存在 323 监听（验证器侧）
ss -ntp | grep ':323 ' # 路由器到验证器的连接状态
sudo tcpdump -ni any port 323 -c 20 # 抓包确认数据同步是否正常
# 路由器侧（以 VRP 设备为例）：display bgp routing-table 检查过滤结果
# 验证器侧日志确认是否有会话反复重建同步方式与影响
| 要点 | 说明 | 异常影响 |
|---|---|---|
| 连接方式 | 路由器主动连接验证器 | 连接中断后本地已有数据仍可用一段时间 |
| 数据内容 | ROA 对应的 VRP 前缀与掩码长度 | 数据陈旧会导致误判 |
| 过滤策略 | 决定 VRP 与 BGP 决策的衔接方式 | 策略配置错误可能误伤合法路由 |
| 会话稳定性 | 反复重建说明链路或验证器有故障 | 过滤结果不稳定，路由波动 |
RPKI 的失效模式需要提前想清楚：验证器不可达时，路由器通常继续使用已缓存数据，但数据会逐渐陈旧。上线前应明确策略是「校验失败即丢弃」还是「保留原状态」，两者对业务连续性的影响完全不同。
排查「合法路由被丢弃」时，先看 VRP 数据是否包含该前缀、再看本地策略如何衔接校验结果，最后确认验证器到路由器的连接是否正常。顺序颠倒容易把策略问题误判为数据同步问题。
RPKI 提升的是路由来源的可信度，不等于路由本身绝对正确：它无法判断路径是否最优或是否被合法但恶意的操作影响。安全规划里把它定位为多层防护中的一层更合适。