全球互联网的底层路由体系刚跨过一个极具诱惑力的数字节点。
IPinfo 发布的最新路由分析报告显示，全球被 RPKI 有效保护的路由前缀比例，在过去一年里从 54.0% 猛增到 70.3%，年增幅超过三成。在路由安全协议推行了十余年、每年慢吞吞爬行三四个百分点的背景下，这种垂直拉升几乎是不可思议的奇迹。
但只要把全球分布拆开看一眼，就会发现这并不是一场全球网络的协同演进。这场大跃进的核心动力源只有一个：中国持有的 IPv4 路由有效比例，在过去一年内从 3.7% 飙升到了 83.0%。换句话说，全球按地址空间计算的增量里，接近六成是由中国一国在几个月内完成的基础设施突进行动打出来的。
看似坚固的 70% 繁荣数据背后，横亘着两个极少被大众提及的冷酷现实：第一，签发路由起点证书并不等于真正开启了拦截防护；第二，底层 BGP 协议最致命的路径伪造漏洞，在目前的防御机制下依然门户大开。
单核拉动的暴涨与口径迷宫
如果退回 2025 年底，APNIC Blog 的记录还显示中国 IPv4 地址空间的 ROA 覆盖率仅约 4%，在 2026 年初依然处于显著拉低东亚平均水平的状态。但在随后的数月内，局面发生了剧烈翻转。
中国互联网络信息中心（CNNIC）在 2026 年 9 月底宣布，其 RPKI 平台已服务超 600 家 IP 地址持有机构，助力我国 RPKI 签发率达到 92.3%。APNIC Labs 的同步观测数据显示，中国 71,602 个 IPv4 路由对象中，有效状态达到了 64,033 个（89.4%），无效仅占 737 个，未注册状态只剩 6,832 个。
这一强力推进行动直接改变了全球曲线的走势。在 2025 年，中国的数据还在拉低全球均值；而到了 2026 年，全球有效比例从 54.0% 上升到 70.3%（若要求前缀至少被两个对等节点观测，比例达到 71.4%），剔除中国后，全球其余地区的地址有效率仅从 58.0% 爬升至 63.2%，增长步调毫无波澜。
签发证书只是对外递交了名片，不代表守门的守卫真的会按章盘查。
这里需要厘清一个常见的指标陷阱：业界报道往往将路由前缀覆盖率、地址空间覆盖率以及国家注册机构的签发率三者混为一谈。CNNIC 统计的签发率基于自身直接分配的资源实体，IPinfo 计算的是全球公共收集器观测到的宣告前缀，而 APNIC 则是从地址块权重维度切入。数字虽有出入，但结论高度一致：中国在极短时间内完成了一次国家级网络基础设施的规范入轨，填平了此前最大的覆盖洼地。而目前全球未受保护的 IPv4 空间里，近六成沉淀在美国，其中约四分之一属于美国国防部那些为了观测网络滥用而宣告、并不对外提供常规业务的特殊地址。
596 对 2：失误路线真的死绝了吗？
在 BGP 的早期设计中，全网完全基于盲目信任运作。2008 年巴基斯坦电信因内部封锁策略失误，向全球广播了更精确的 YouTube 路由宣告，导致全球流量被吸入黑洞两小时。RPKI 的核心目的，正是通过加密签名的 ROA（路由起点授权），让全世界确认某个 IP 块只能由指定的自治系统宣告。
从测量数据看，这个机制似乎正在产生雷霆手段：在 161 万余条路由前缀中，一个合规前缀通常会被 596 个公共骨干收集器观测到，未配置 RPKI 的前缀能被 595 个观测到；但一旦前缀被判定为 Invalid（非法），这个数字直接断崖式跌落到 仅剩 2 个。近一半的非法宣告在全球只能传到一个单点，如果涉及盗用自治系统编号，71% 的错误宣告甚至迈不出本地机房。
表面上看，欧洲运营商经常出现的低级失误已经被彻底闷死在摇篮里。例如西班牙名义上有 28.2% 的前缀是非法的，但按实际传播节点加权后，真实受影响的地址空间缩水到了 0.057%；意大利 WIND TRE 因内部宣告参数超出自身 ROA 允许范围，导致数十条路由违规，但它们最多只能传到 77 个观测点，根本掀不起波浪。
- 提醒.公共收集器看不到非法路由，并不意味着真实网络流量没有在底层运营商之间走错路，骨干网的局部过滤常常制造出全网已经干净的错觉。
签名不等于免疫：被掩盖的技术断层
正是在这里，行业共识产生了最大的认知分歧。NIST 与 APNIC 在技术监测中不断强调一个核心事实：ROA 覆盖率与路由源验证（ROV）是完全脱节的两个工程维度。
发布 ROA 只是IP持有者单向对全世界喊了一句我的门牌号属于我；但当非法路由涌入时，运营商的路由器到底会不会当场把数据包丢弃，完全取决于下游网络是否开启了 ROV 强制拦截策略。目前大量中小型网络和边缘运营商仅仅做了证书登记，对流入的数据依然照单全收。
更深层的漏洞在于，RPKI 本身只验证起点的合法性，根本不验证传输路径的真实性。
今年 8 月针对服务商 Hetzner 的实战攻击就是绝佳的样本：攻击者在海外节点恶意宣告了属于 Hetzner 的小地址块，并直接在报文里将起始自治系统伪造为 Hetzner 本身。由于 Hetzner 的 ROA 策略允许将大地址块细分宣告，攻击路由完全合乎 RPKI 规范，利用最长前缀匹配原则轻松截流，攻击者甚至借此签发了合法的 TLS 证书并下发恶意升级包。
在目前全球受 RPKI 覆盖的 IPv4 路由中，有 16.2% 的路由因配置松懈留下了此类真空，涉及约 1800 万个潜在前缀。许多知名主机托管商与电信巨头甚至在 80% 以上的前缀中保留了这种过度授权。
至于真正能够验证传输链路上下游关系的 ASPA 规范，虽然参与网络一年内从 131 家激增到 3,272 家，但除去原本就只有一两跳、无需验证的简单路径外，全网真正经过 ASPA 严密核验的路由流量仅从 0.1% 爬升至 3.5%。
- 结论.将 ROA 签名数量等同于网络固若金汤，是当下安全运维中最大的心理麻药；没有推进到强制 ROV 丢弃与 ASPA 链路校验，BGP 劫持的暗门就从未真正关上。
旧约有云，凡事不可单看外表。中国骨干网此次以极高的行政与工程效率填平了签名覆盖率的洼地，确实将全球底座推上了一个新的数值高度。但接下来全球互联网络必须回答的真正拷问是：各大运营商何时能在核心边界真正挥刀斩断非法流量，而不是仅仅在公钥池里挂满无人核验的免责声明。