APNIC 与 NIXI 推进 IPv6 和 RPKI：代理团队应验证什么
APNIC 于 2026 年 9 月 9 日宣布，已与印度国家互联网交换中心 NIXI 签署谅解备忘录。合作内容包括进一步部署 IPv6 与资源公钥基础设施 RPKI、技术培训、知识共享，以及试点 RPKI 仓库镜像。协议于 9 月 8 日 APNIC 62 期间签署。
这对代理采购和运营团队是重要的基础设施动态，但不能被夸大成性能结论。RPKI 可帮助网络判断某个自治系统是否获准发布特定前缀，却不能证明代理出口属于住宅网络、位于所宣称城市、来源合规、速度快或一定被目标接受。
本次合作带来什么
合作为 APAC 连接能力的两个基础方向增加了机构支持。IPv6 扩展有助于减少对稀缺 IPv4 和多层转换的长期依赖；RPKI 扩展可为路由来源验证提供更多证据；区域仓库镜像则有望改善签名路由数据的冗余获取路径。
这些变化不会一夜完成。公告代表合作开始，并不证明印度或整个 APAC 的所有路由已经改变，也不代表每个网络都执行路由来源验证，更不能说明某个代理池立即变得更可靠。
代理团队需要理解的 RPKI 区别
路由来源授权 ROA 把 IP 前缀与获准发布它的自治系统关联，并包含允许的最大前缀长度。验证器把 BGP 公告与签名对象比较，通常将路由分为有效、无效或未找到。
- 有效： 观察到的前缀和来源 AS 被匹配授权覆盖。
- 无效： 授权存在，但观察到的来源或前缀长度与其冲突。
- 未找到： 没有可用的覆盖授权，并不等于存在滥用。
这三个是路由安全状态，不是代理质量评分。把“有效”理解为住宅来源证明，或把“未找到”视为欺诈证据，都会得到错误结论。
仓库镜像为什么重要
运行 RPKI 验证器的网络需要及时取得签名数据。区域仓库镜像可以提供更好的冗余与本地获取路径，减少对单一远端发布路径的依赖，并支持培训和运维能力建设。
但镜像本身不决定路由策略。是否过滤无效路由，仍由各网络运营商决定。因此，代理团队不能因为镜像存在就假定所有网络都启用了 ROV 过滤。
五部分代理路由复核
1. 建立观察前缀与来源基线
对获授权的代理出口或网关样本，记录最小化处理后的前缀指纹、地址族、观察来源 AS、请求市场和采集时间。不要存储凭据、客户流量或不必要的完整 IP 地址。
2. 带时间记录验证状态
从获批准的路由数据源记录有效、无效或未找到状态，并附 UTC 时间。RPKI 数据和 BGP 公告会变化，没有时间的截图不是可靠的事故证据。
3. 独立测量可达性
从代表性的 Global、North America、Europe 和 APAC 客户端分阶段测试 DNS、TCP、代理认证、隧道、TLS、HTTP 与预期内容。有效路由仍可能拥塞或被目标拦截，未找到路由也可能正常可达。
4. 把地理定位分开
结合多种定位信号和目标侧观察结果。注册地区、来源 AS、路由授权和真实出口位置回答的是不同问题。使用代理地理定位共识测试，不要依赖单一数据库。
5. 定义事故触发条件
当生产前缀从有效变为无效、来源 AS 意外变化、出现超过授权长度的更具体路由，或路由状态变化与有效结果率下降同时发生时告警。在归因前必须取得交叉证据。
采购代理服务时应问的问题
在不要求敏感网络细节的前提下，询问供应商：
- 谁拥有或授权发布网关与出口前缀；
- 更换供应商、ASN 或前缀时如何维护 ROA；
- IPv4 与 IPv6 库存是否具备同等路由控制；
- 如何发现异常来源变化和路由泄漏；
- 计划内路由迁移如何通知客户；
- 用什么证据区分路由、池、网关和目标故障。
目标是验证运维纪律，而不是索取租户级出口清单或敏感拓扑。
安全变更窗口测试
在计划变更前记录当前来源、前缀长度、验证状态、可达性、延迟和有效结果率。变更过程中仅放出低流量金丝雀，并保留新旧观察。变更后确认：
- 预期来源和前缀可见；
- RPKI 状态未意外变成无效；
- IPv4 与 IPv6 网关路径均可达；
- 请求出口市场与观察证据一致；
- 目标内容仍然有效；
- 旧路由在约定窗口内撤回；
- 重试与故障切换未放大负载。
如果出现无效状态，在供应商确认目标前缀、来源和授权前，不要扩大流量。不得为了绕过策略而强制使用未批准端点。
这条新闻不能证明什么
APNIC 与 NIXI 的合作不认证代理供应商、IP 来源、住宅设备同意、城市位置或目标接受度，也不代表所有 APAC 网络已经拒绝 RPKI 无效路由。
它的价值更基础：加强区域 IPv6 和路由安全能力，并提醒代理团队把路由来源证据加入采购、变更和事故流程。
运营检查清单
- [ ] 记录地址族、前缀指纹、来源 AS、验证状态与 UTC 时间。
- [ ] 只把有效、无效、未找到视为路由状态。
- [ ] 路由有效性与应用成功率分别测量。
- [ ] IPv4 与 IPv6 库存独立测试。
- [ ] 分开保存注册分配、定位、ASN 和来源证据。
- [ ] 前缀或 ASN 变更采用低流量金丝雀。
- [ ] 无效状态查明前不扩大流量。
- [ ] 路由证据中不保存凭据和客户数据。
常见问题
RPKI 能阻止所有 BGP 路由问题吗？
不能。ROV 检查来源是否获准发布前缀，并不验证 AS 路径的每个属性，也不保证实际转发性能。
RPKI 有效的代理 IP 是否自动可信？
不是。它本身不能证明来源、同意、用户类型、物理位置、信誉或目标政策。
未找到路由是否应自动拒绝？
代理应用不应脱离组织策略自行判断。未找到只表示当前没有覆盖授权，应记录、测量并按风险模型执行网络安全策略。
这与 IPv6 代理测试有什么关系？
分别维护 IPv4 与 IPv6 路由证据，再结合NAT64 与 DNS64 兼容性测试及多区域路由策略测试。
合规说明
只在获授权的业务中使用路由数据和代理端点，遵守服务条款、网络策略、隐私义务、目标规则及速率限制。不得利用路由安全数据推断个人身份或公开敏感基础设施细节。
资料说明：APNIC《APNIC and NIXI partner to strengthen routing security and technical capacity in India》，2026 年 9 月 9 日。APNIC《RPKI》，2026 年 9 月 11 日复核。
