当ROA不再够用：ASPA与BGP路径验证的工程化落地

IP地址查询的可靠性，在底层依赖于一个很少被前端用户看见的事实：BGP路由表里的每一条前缀通告，是否真实反映了网络的实际拓扑与授权关系。RPKI体系中的ROA（Route Origin Authorization）在过去几年解决了“谁有权宣告这个前缀”的问题，但它管不了路径——一条虚假的AS_PATH可以在起源完全合法的情况下，把流量导向攻击者控制的节点。2026年，ASPA（Autonomous System Provider Authorization）从标准讨论进入生产部署，补上的正是这块拼图。【IP地址查询 https://ipdatacloud.com/?utm-source=Lying&utm-keyword=?5543 】

ROA的边界：起源合法，路径未必合法

ROA的验证逻辑是“起源授权”：AS1宣告192.0.2.0/24，只要ROA记录授权AS1作为origin，这个通告就被视为有效。问题在于，ROA完全不检查AS_PATH中间经过哪些AS。

一个具体的场景足以说明这个缺口。假设AS1合法起源了192.0.2.0/24，AS5是AS4的客户。AS5虚假了一条通往192.0.2.0/24的路由，但把origin写成AS1，然后发给AS4。从ROA的角度看，origin是AS1，合法。AS4接受了这条虚假路由，而且由于它的AS_PATH比合法路径更短，BGP会优先选择虚假路径。

这就是ROA的结构性盲区：它能回答“谁有权宣告”，但回答不了“这条路径是否经过了不该经过的节点” 。路由泄露（route leak）同样落在这个盲区里——AS2从provider AS1学到路由后，错误地传播给另一个provider AS3，ROA对此无感，因为origin并没有被篡改。

ASPA的验证逻辑：用签名声明“谁是我的上游”

ASPA的解决思路是让每个ASN以密码学签名的方式，发布一份“授权上游提供者列表”。AS1在RPKI中签署ASPA对象，声明“我的合法上游只有AS5”。当AS3收到一条路径中包含AS1的路由时，它检查AS1的ASPA：如果路径中AS1的前一跳AS2不在AS1声明的上游列表中，这条路由就被标记为ASPA-invalid，可以拒绝。

这个机制的关键特征在于路径段级别的验证，而非起源级别。ASPA对象只包含{ASN, Provider AS Set}，不涉及前缀信息。验证算法检查的是AS_PATH中每一对相邻AS之间“客户—提供者”关系是否与ASPA声明一致，核心目标是维护谷底自由原则（valley-free principle） ：路径应当先上坡（客户到提供者）、再下坡（提供者到客户），不应出现“上坡后横穿再下坡”的泄露模式。

ASPA的另一个工程优点是验证可以独立生效。在一条路径上，即使上游的AS3没有执行ASPA验证、错误地转发了泄露路由，下游的AS4仍然可以在收到路由时自行验证并拒绝。这使得ASPA的部署不依赖于全网同步启用，降低了协调成本。

2026年的部署现实：从标准到生产，但覆盖率仍是瓶颈

ASPA在2026年完成了从IETF草案到RIR生产环境的跨越。自2025年11月起，RIPE NCC、ARIN和APNIC先后部署了对ASPA对象的支持，预计到2026年底所有五家RIR都将支持创建。

但部署数据呈现出一个典型的“早期采用者”曲线。截至2026年7月，全球RPKI中大约有2,400个ASPA对象。按RIR分布来看，RIPE NCC辖区以2,081个对象领先，ARIN 685个，APNIC 471个，LACNIC 152个，AFRINIC为零。ARIN区域的覆盖率仅为2.86%（586个AS签署了ASPA，而该区域AS总数为20,511个）。

这个数字意味着一个务实结论：ASPA在2026年已经可用，但远未达到“全网有效”的密度。ASPA的验证效力取决于路径中关键AS是否发布了ASPA对象。如果某个AS没有签署ASPA，验证器在遇到它时只能退化为“无法判断”，而不是“判定为恶意”。在覆盖率较低的ASN上，攻击者仍然可以利用未签署ASPA的中间节点构造路径。

2026年ACM Internet Measurement Conference的一项研究首次对ASPA的实际部署和路由泄露检测效果做了系统测量：研究者将ASPA路径验证算法应用于被动采集的BGP数据，在近5700万条AS_PATH中识别出了数千条潜在的泄露路径。这说明ASPA的检测能力在真实数据上是可用的，但也同时暴露了已部署ASPA对象与全网AS总量之间的巨大差距。

对IP情报与安全运营的实际含义

ASPA的工程化落地，对依赖IP数据做决策的团队提出了一个不太显眼但重要的要求：IP归属数据的“路由合法性”需要被纳入质量评估。

一个IP前缀的起源AS是合法的（ROA有效），不代表它当前在BGP中的传播路径是合法的。如果一条路径存在泄露或操纵，该前缀的实际可达性可能偏离其注册归属——流量可能绕经了意料之外的AS，而基于IP地理位置和ASN的风险判断也会随之失真。

对于安全运营团队，ASPA在2026年的实用切入点是验证能力的就绪，而非等待覆盖率达标。主流路由器厂商已经开始在BGP策略中集成ASPA验证，例如华为在NE40E的RPKIv2框架下支持对AS_Path属性做ASPA校验。这意味着网络侧可以在不依赖上游的情况下，对收到的路由做路径合法性过滤。

在IP情报层面，一个值得关注的指标是ASPA覆盖率本身。当一个IP前缀的起源AS及其上游链路上的关键AS都发布了ASPA对象时，该IP的路由合法性有更强的可验证基础；反之，如果路径中存在多个未签署ASPA的AS，IP归属数据的可信度就需要打一个折扣。这不是一个非黑即白的判断，而是一个可以纳入数据质量评分的信号。

结语

ASPA不是ROA的替代品，而是RPKI体系从“起源验证”走向“路径验证”的必要延伸。2026年它已经跨过了“能不能用”的门槛，但距离“用了有多大效果”还有很长的路。对于构建IP数据管道的团队来说，现在需要做的不是等待ASPA全覆盖，而是检查自己的路由验证链路是否已经为路径级信号预留了位置——因为当AS_PATH不再完全可信时，仅凭起源合法的IP归属数据，本身就是一条有盲区的信息链。