APNIC 與 NIXI 推進 IPv6 和 RPKI：代理團隊應驗證什麼
APNIC 於 2026 年 9 月 9 日宣布，已與印度國家網際網路交換中心 NIXI 簽署合作備忘錄。合作內容包括進一步部署 IPv6 與資源公鑰基礎設施 RPKI、技術培訓、知識分享，以及試行 RPKI 儲存庫鏡像。協議於 9 月 8 日 APNIC 62 期間簽署。
這對代理採購與營運團隊是重要的基礎設施消息，但不能被誇大成效能結論。RPKI 可協助網路判斷某個自治系統是否獲准發布特定前綴，卻不能證明代理出口屬於住宅網路、位於宣稱城市、來源合規、速度快或一定被目標接受。
這項合作帶來什麼
合作為 APAC 連線能力的兩個基礎方向增加了機構支持。IPv6 擴展有助於減少對稀缺 IPv4 與多層轉換的長期依賴；RPKI 擴展可為路由來源驗證提供更多證據；區域儲存庫鏡像則有望改善簽名路由資料的備援取得路徑。
這些改變不會立即完成。公告代表合作開始，並不證明印度或整個 APAC 的所有路由已經改變，也不代表每個網路都執行路由來源驗證，更不能說明特定代理池立刻變得更可靠。
代理團隊需要理解的 RPKI 差異
路由來源授權 ROA 將 IP 前綴與獲准發布它的自治系統關聯，並包含允許的最大前綴長度。驗證器把 BGP 公告與簽名物件比較，通常將路由分成有效、無效或未找到。
- 有效： 觀察到的前綴與來源 AS 被匹配授權涵蓋。
- 無效： 授權存在，但來源或前綴長度與其衝突。
- 未找到： 沒有可用的涵蓋授權，不等於存在濫用。
這些是路由安全狀態，不是代理品質評分。把有效理解成住宅來源證明，或把未找到視為欺詐證據，都會得到錯誤結論。
儲存庫鏡像為何重要
執行 RPKI 驗證器的網路需要及時取得簽名資料。區域鏡像可提供更好的備援與本地取得路徑，降低對單一遠端發布路徑的依賴，並支援訓練與維運能力。
但鏡像不決定路由政策。是否過濾無效路由仍由各網路營運商決定，因此代理團隊不能因為鏡像存在就假設所有網路均已啟用 ROV 過濾。
五部分代理路由檢視
1. 建立觀察前綴與來源基準
對獲授權的代理出口或閘道樣本，記錄最小化處理後的前綴指紋、位址家族、觀察來源 AS、請求市場與採集時間。不要儲存憑證、客戶流量或不必要的完整 IP 位址。
2. 帶時間記錄驗證狀態
從核准的路由資料來源記錄有效、無效或未找到，並附 UTC 時間。RPKI 資料與 BGP 公告會改變，沒有時間的截圖不是可靠的事件證據。
3. 獨立測量可達性
從代表性的 Global、North America、Europe 與 APAC 用戶端，分階段測試 DNS、TCP、代理驗證、通道、TLS、HTTP 與預期內容。有效路由仍可能壅塞或被目標阻擋，未找到的路由也可能正常可達。
4. 將地理定位分開
結合多種定位訊號和目標端觀察結果。註冊地區、來源 AS、路由授權與真實出口位置回答的是不同問題。使用代理地理定位共識測試，不要依賴單一資料庫。
5. 定義事件觸發條件
當生產前綴從有效變成無效、來源 AS 意外改變、出現超過授權長度的更具體路由，或路由狀態變化與有效結果率下降同時發生時發出警示。歸因前必須取得交叉證據。
採購代理服務時應詢問
在不要求敏感網路細節的前提下，詢問供應商：
- 誰擁有或授權發布閘道與出口前綴；
- 更換供應商、ASN 或前綴時如何維護 ROA；
- IPv4 與 IPv6 庫存是否有同等路由控制；
- 如何發現異常來源變化與路由洩漏；
- 計畫內路由遷移如何通知客戶；
- 用哪些證據區分路由、集區、閘道和目標故障。
目標是驗證維運紀律，而不是索取租戶級出口清單或敏感拓撲。
安全變更時段測試
在計畫變更前記錄目前來源、前綴長度、驗證狀態、可達性、延遲與有效結果率。變更過程只放出低流量金絲雀，並保留新舊觀察。變更後確認：
- 預期來源與前綴可見；
- RPKI 狀態未意外變成無效；
- IPv4 與 IPv6 閘道路徑皆可達；
- 請求出口市場與觀察證據一致；
- 目標內容仍有效；
- 舊路由在約定時段內撤回；
- 重試與容錯移轉未放大負載。
若出現無效狀態，在供應商確認目標前綴、來源及授權前，不要擴大流量。不得為繞過政策而強制使用未核准端點。
這則消息不能證明什麼
APNIC 與 NIXI 的合作不認證代理供應商、IP 來源、住宅裝置同意、城市位置或目標接受度，也不代表所有 APAC 網路已拒絕 RPKI 無效路由。
它的價值更基礎：加強區域 IPv6 與路由安全能力，並提醒代理團隊把路由來源證據加入採購、變更與事件流程。
營運檢查清單
- [ ] 記錄位址家族、前綴指紋、來源 AS、驗證狀態及 UTC 時間。
- [ ] 只把有效、無效、未找到視為路由狀態。
- [ ] 路由有效性與應用成功率分開測量。
- [ ] IPv4 與 IPv6 庫存獨立測試。
- [ ] 分開保存註冊分配、定位、ASN 與來源證據。
- [ ] 前綴或 ASN 變更採用低流量金絲雀。
- [ ] 無效狀態查明前不擴大流量。
- [ ] 路由證據中不保存憑證或客戶資料。
常見問題
RPKI 能阻止所有 BGP 路由問題嗎？
不能。ROV 檢查來源是否獲准發布前綴，並不驗證 AS 路徑的所有屬性，也不保證實際轉送效能。
RPKI 有效的代理 IP 是否自動可信？
不是。它本身不能證明來源、同意、使用者類型、實體位置、信譽或目標政策。
未找到的路由是否應自動拒絕？
代理應用不應脫離組織政策自行判斷。未找到只表示目前沒有涵蓋授權，應記錄、測量並依風險模型執行網路安全政策。
這與 IPv6 代理測試有何關係？
分別維護 IPv4 與 IPv6 路由證據，再結合NAT64 與 DNS64 相容性測試及多區域路由政策測試。
合規說明
只在獲授權的業務中使用路由資料和代理端點，遵守服務條款、網路政策、隱私義務、目標規則及速率限制。不得利用路由安全資料推斷個人身分或公開敏感基礎設施細節。
資料說明：APNIC《APNIC and NIXI partner to strengthen routing security and technical capacity in India》，2026 年 9 月 9 日。APNIC《RPKI》，2026 年 9 月 11 日複核。
