国内データセンター間におけるRPKI-ROA-BGP経路正当性検証と運用実務
1. JPNIC管轄下でのROAオブジェクト発行と管理
国内データセンター間接続に使用するAS番号とIPv4/IPv6プレフィックスに対して、JPNIC RPKI CAよりROAオブジェクトを発行する。ROAには「Origin AS」「IP Prefix」「Max Length」を正確に登録し、オーバーリーク（Max Lengthを超えた詳細経路のアナウンス）を防止する。有効期限は通常1年間とし、失効前の更新を忘れずに行うことが運用の鉄則である。
2. RPKI-RTRキャッシュサーバの構築（RTRプロトコル対応）
rpki-client（OpenBSD派生）またはRTRlibベースのキャッシュサーバを、各データセンター拠点に冗長構成で配置する。 JPNIC RPKIリポジトリ（rsync://rpki.nic.ad.jp/）から証明書とROAを取得し、BGPルーターへRTRプロトコル（TCP 323）でフィードする。キャッシュサーバ間の同期状態は、ログおよびSNMP経由で24時間監視する。
3. BGPルーター側でのRPKI無効経路のドロップ設定（Cisco IOS-XR例）
ルーターでは、RPKI検証結果に基づいたポリシーを適用する。RPKI Validな経路は優先的に受理し、Invalidな経路は全ドロップ、NotFoundな経路はログ記録のみとし最低優先度で受理する。 route-policy に rpki validation result invalid をdropとする設定をエッジBGPピアに適用し、経路ハイジャックやルートリークによる影響を最小化する。
4. 障害時の復旧手順と運用SOP
RPKI-RTRキャッシュサーバがダウンした場合、BGPルーターは「soft」または「hard」failoverモードに移行する。通常はsoftモード（Invalid経路も受理し続ける）を選択し、サービス継続性を優先する。キャッシュサーバ復旧後は、RTRセッションの再確立とROAデータベースの完全同期を確認し、再度hardモードへ移行する。四半期ごとにRPKI無効化訓練（Invalid経路注入テスト）を実施する。