implementing-bgp-security-with-rpki

用途：防止 BGP 路由劫持与误泄露，通过 RPKI 对路由起源做加密验证。

主要能力：在 ARIN、RIPE、APNIC、AFRINIC、LACNIC 创建 ROA，声明前缀、授权起源 AS 与最大前缀长度；部署 Routinator、FORT 或 OctoRPKI 验证器并通过 RTR 协议（TCP 8323）向路由器提供 VRP；在 Cisco IOS-XE 和 Juniper Junos 上配置 ROV，按 Valid、Invalid、NotFound 三类状态应用接收、拒绝或降级策略；提供监控脚本查询 Routinator 状态与前缀有效性。

必要用法：

• 安装 Routinator：sudo apt install -y routinator 或 cargo install routinator
• 初始化：routinator init --accept-arin-rpa
• 启动 RTR 服务：routinator server --rtr 0.0.0.0:8323 --http 0.0.0.0:8080 --refresh 600 --retry 60 --expire 7200
• 思科连接缓存：bgp rpki server tcp 10.0.5.50 port 8323 refresh 600
• 瞻博连接缓存：set routing-options validation group RPKI-VALIDATORS session 10.0.5.50 port 8323

适用场景：网络运营商部署或加固 BGP 安全、满足合规要求、开展安全评估或搭建安全架构时。

限制：需先从 RIR 获得地址空间并具备门户权限；需 Linux 服务器与支持 RPKI 的路由器平台；须理解 BGP 与 AS 路径概念。建议先记录而不丢弃 Invalid 路由，并监控 ROA 证书到期。