324 与 RPKI 路由同步
324 的登记名是 rpki-rtr-tls，即 RPKI to Router Protocol over TLS。RPKI（资源公钥基础设施）用签名证书把 IP 地址段和 AS 号绑定，路由器据此判断某条 BGP 宣告的源是否获得授权，这就是 BGP 起源验证。路由器需要从验证器同步这份授权清单，RFC 6810 定义了同步协议并给了三种传输选项：SSH、明文 TCP（323）和 TLS（324）。生产环境应选加密方案，因为数据被篡改会直接造成错误放行或错误拦截路由，影响范围是整张网络的路由表。
基本信息
| 服务名 | rpki-rtr-tls |
|---|---|
| 传输层 | TCP |
| 标准 | RFC 6810 |
| 对应对照 | 明文版本登记在 323/tcp |
| 登记人 | IESG |
| 同步内容 | ROA 对应的授权前缀与 AS 信息 |
典型使用场景
- 起源验证部署：为 BGP 路由做来源合法性校验，防范前缀劫持
- 路由排障：某条路由被标为 Invalid 时，确认路由器与验证器的同步是否正常
- 加密改造：把明文的 323 会话迁到 TLS，避免授权数据在传输中被篡改
- 合规审计：跨境或跨运营商链路中的数据完整性要求
- 监控建设：对同步会话中断、数据过期设置告警
同步链路核查
同步链路核查
ss -lntp | grep ':324 ' # 验证器侧是否在监听 TLS 端口
sudo lsof -i :324 # 反查进程，确认是 RPKI 验证器组件
openssl s_client -connect validator01:324 </dev/null 2>/dev/null | openssl x509 -noout -subject -dates # 证书主体与有效期
sudo ss -tnp '( sport = :324 )' # 观察哪些路由器正在同步数据
# 路由器侧查看 RPKI 会话状态的命令以各厂商手册为准，不要照搬其他平台的写法同步传输方式对照
| 方式 | 承载 | 说明 |
|---|---|---|
| SSH | 通常复用 22 端口 | RFC 6810 定义的选项之一，加密 |
| 明文 TCP | 323/tcp | 便于调试，生产不推荐 |
| TLS | 324/tcp | 本条目，认证与完整性保护 |
| 管理面 | 依产品而定 | 验证器自身的运维接口，需与数据口分开管控 |
同步方向是单向的：路由器作为客户端主动连接验证器拉取更新，验证器不需要反连。因此防火墙只需放行路由器到验证器方向，回程按已建立会话放行即可。
如果路由器长期无法同步，本地数据会过期，可能按过期数据把合法路由判为无效，造成大面积不可达。应把同步中断与数据过期单独设告警，而不是等业务报障。