Зачем и route-объект, и ROA
Route-объект в базе IRR (RIPE DB, RADB) — запись «префикс принадлежит такому-то AS», по которой провайдеры и IX строят фильтры. ROA в RPKI — криптографически подписанная запись того же смысла: по ней маршрутизаторы с ROV отбрасывают анонсы с чужим origin. Сегодня нужно и то и другое: без route-объекта апстрим может не пропустить анонс, без ROA ваш префикс получит статус «unknown» и не будет защищён от перехвата.
Какой maxLength ставить
Безопаснее всего — равный длине префикса и отдельный ROA на каждый реально анонсируемый более специфичный префикс (RFC 9319). Широкий maxLength «на всякий случай» позволяет злоумышленнику анонсировать подсеть с вашим AS в пути и перехватить трафик, и RPKI это не остановит.
Как проверить после изменений
Через 15–60 минут после создания ROA статус каждого префикса покажет проверка BGP и RPKI, все префиксы своей сети можно найти в автономных системах и свернуть в объединении подсетей.