RPKI 验证工具

检测某 IP 地址当前公告的路由是否受 RPKI(资源公钥基础设施)保护 — 通过 RIPEstat 实时对照路由起源授权(ROA)进行验证,我们自身无需维护同步的 ROA 数据库。

请在上方输入 IP 地址,然后点击"验证"。

RPKI 让网络运营者能以密码学方式证明哪个自治系统有权为其 IP 前缀发起路由。不符合任何有效授权的路由仍可能被公告——因为 RPKI 验证在接收端是可选的——但越来越多的互联网路由器会拒绝或降低无效路由的优先级，这正是值得检查的原因。

各状态代表的含义

有效
公告的 ASN 与前缀符合已发布的路由来源授权（ROA）。
无效
该前缀存在 ROA，但授权的是不同的 ASN，或公告的前缀比 ROA 允许的更具体——这是可能发生路由劫持或配置错误的信号。
未知
完全没有 ROA 覆盖该前缀——互联网大部分仍处于此状态。若 RIPEstat 本身无法连接，也会返回此结果（而非猜测）。

常见问题

实时来自 RIPEstat,该平台汇总了全部五个区域互联网注册机构(RIPE、ARIN、APNIC、LACNIC、AFRINIC)的验证器输出结果 — 而非本站自行摄入、可能失去同步的数据库。
检测的是该 IP 当前公开公告的路由,实时解析得出 — 并非针对您自己连接该 IP 所走的具体路径。
目前互联网上大多数地址尚未发布 RPKI ROA。"未知"是诚实的默认状态,而非查询失败。

关于此工具

RPKI 允许地址块的所有者发布一份签名声明,称为路由源授权(ROA),说明允许哪个网络发布该地址块。本工具检查某个 IP 当前发布的路由是否被有效的 ROA 所覆盖。

工作原理

验证通过 RIPEstat 实时进行,因此我们这边没有可能过时的 ROA 导入流程。结果会报告该路由是有效、无效,还是未被任何 ROA 覆盖。

注意事项

未被覆盖的路由不一定遭到劫持,许多网络尚未发布 ROA。无效结果意味着源 AS 或前缀长度与所有者的授权不符,值得调查。

常见用途

网络运营商在更换服务商后用它检查自己的路由发布情况;安全团队则将其作为评估某个地址块是否由正确一方发布的输入之一。

相关工具: ASN 查询 · IP whois 查询 · IP 段目录 · IP 查询