Bài viết này do AI tạo ra, tổng hợp từ bài tường thuật APNIC 62. Các ví dụ sự cố và số liệu phản ánh nội dung trình bày tại sự kiện; nhà vận hành cần kiểm tra telemetry, chính sách và tài liệu RPKI của chính mạng mình trước khi áp dụng thay đổi.
Phiên Internet Operations tại APNIC 62 ở Mumbai (4–10/9/2026) đặt BGP routing resilience vào cùng bức tranh DNS, DHCP và bảo mật chứng thư. Phần đáng chú ý với đội vận hành là “good neighbor problem”: mạng có thể đã bật Route Origin Validation (ROV) nhưng vẫn chịu ảnh hưởng khi upstream hoặc láng giềng tiếp tục lan truyền route bất thường. APNIC dẫn các ví dụ hijack, route leak để nhấn mạnh rằng chỉ có ROA là chưa đủ.
RPKI/ROA trả lời câu hỏi hẹp nhưng nền tảng: AS nào được phép phát route cho một prefix. ROV dùng dữ liệu đó để đánh dấu route hợp lệ, không rõ trạng thái hoặc invalid. Nhưng BGP là hệ thống liên kết nhiều mạng. Nếu một mạng lọc đúng còn upstream khác lan truyền more-specific hoặc path bất thường, traffic vẫn có thể bị đổi hướng ở phần Internet chưa áp dụng cùng chính sách.
APNIC dùng trường hợp Telegram để minh họa: Reliance (AS18101) blackhole prefix Telegram, RIPE RIS phát hiện false route origination và Telegram phản ứng bằng các prefix cụ thể hơn. AS18101 cũng propagate các announcement đó; bên ngoài Ấn Độ, một số mạng chọn path tưởng như ngắn hơn. APNIC nhận định ROV có thể phát hiện route không được ủy quyền và ngăn propagation rộng hơn, nhưng hiệu quả phụ thuộc mức triển khai liên mạng.
ROV xử lý authorization ở route origin. Đây là lớp nên triển khai trước vì mô hình rõ, dữ liệu ROA đã phổ biến và có thể chạy monitor trước khi drop. ASPA nhắm tới phần AS path, hữu ích khi route có origin hợp lệ nhưng đường đi bị leak hoặc bị ảnh hưởng bởi quan hệ provider không đúng. APNIC mô tả ASPA là công nghệ mới hơn, cần triển khai rộng hơn để tạo hiệu quả.
BMP không tự chặn route. Giá trị của BMP là đưa Adj-RIB-In ra hệ quan sát để phát hiện route bất thường, so sánh với validator RPKI, dashboard và alert. Nokia giới thiệu RAVEN như một công cụ chạy dạng single binary, nhận routing data qua BMP, tích hợp Routinator, Grafana, webhook, FlowSpec và audit command-line. Công cụ không thay thế policy; nó giúp đội mạng có bằng chứng trước khi chuyển từ monitor sang enforce.
Ví dụ SingNet (AS3758) cho thấy một route từ AS17894 bị AS37100 lọc, nhưng traffic vẫn bị lệch qua Sparkle (AS6762) do more-specific route được propagate. Seacom có ROV nhưng phụ thuộc vào Sparkle làm giảm hiệu quả. Bài học: kiểm tra chuỗi transit và hành vi upstream, không chỉ nhìn router của mình.
Trong route leak Vodafone Idea (AS55410), hàng nghìn prefix được announce rồi Bharti Airtel (AS9498) tiếp tục propagate, gây chuyển hướng traffic diện rộng. APNIC gắn quy mô sự cố với ROV thấp, path filtering hạn chế và thiếu maximum-prefix. Đây là lý do maximum-prefix cần có giá trị phù hợp từng peer, alarm trước ngưỡng và quy trình cập nhật khi peer thay đổi footprint — không phải đặt một con số cố định rồi quên.
ROA coverage cao nghĩa là nhiều prefix đã có dữ liệu authorization để validator dùng. Nó không chứng minh router đang drop invalid, peer đang thực thi policy hay toàn bộ đường đi được bảo vệ. Con số APNIC nêu về Ấn Độ — 88% ROA coverage nhưng enforcement giới hạn — là ví dụ rõ cho khoảng cách này. Mỗi mạng nên đo riêng: tỷ lệ route nhận được có trạng thái valid/invalid/unknown, tỷ lệ invalid bị reject và các exception có thời hạn.
BGP security không còn là checkbox “đã tạo ROA”. Giá trị vận hành đến từ vòng lặp quan sát, xác thực và enforce: thấy route gì đang vào, hiểu vì sao validator kết luận như vậy, rồi áp policy có rollback. BMP làm lớp quan sát; ROV là lớp origin authorization; ASPA hứa hẹn bổ sung path validation; maximum-prefix là phanh khẩn cấp khi peer quảng bá vượt dự kiến.
Ưu tiên thực dụng cho ISP, enterprise có BGP hoặc IX participant là xử lý ROA đúng, monitor ROV và siết maximum-prefix trước. ASPA cần theo dõi và thử nghiệm có kiểm soát, không nên là lý do trì hoãn những control đã trưởng thành. “Good neighbor” không chỉ bảo vệ mạng mình: filtering và giới hạn route đúng làm giảm khả năng lỗi của một AS lan sang phần còn lại của Internet.
