RPKI 的两半。

免费的公共 RPKI-to-Router 缓存,遵循 RFC 8210,跑在 anycast 上。它承载每十分钟从公共仓库刷新的已验证数据,因此你的路由器不必自己跑验证器。

protocol rpki orbit {
  remote "rtr.yunzheng.space" port 323;
  roa4 { table r4; };
  roa6 { table r6; };
}

主机名是稳定入口 —— 它解析到上面那两个地址,并且在我们更换地址时仍然有效。部分较旧的路由器固件对主机名解析支持不佳甚至不支持,这类设备可以直接使用 177.177.83.88 与 2602:f3ff:83::88。

如果你的地址空间由 RIR 委派给你,我们可以为它运行证书颁发机构。委派仍在你手上;我们负责运行软件、从每个 anycast 节点发布仓库,并做好备份。

1. 在控制台 RPKI 下创建 CA。我们会生成密钥并给出与上级交换所需的信息。
2. 在你的 RIR 门户中用这些信息建立委派 CA。RIPE、APNIC、ARIN 对这一步的叫法略有不同;控制台会链到你所属 RIR 的对应页面。
3. 上级接受后,添加 ROA —— 起源 AS、前缀,以及最大长度。

我们的 RPKI 工具接受一个前缀和一个 AS 号,告诉你已验证数据对它们的判定 —— valid、invalid 或 not-found,以及是哪条数据做出的判定。