RIPE NCC 账号注册与数据库设置指南
最后更新：2026 年 7 月
适用对象：准备向 SKNK (Shikanoko Networks) 申请 ASN 赞助服务的客户。 SKNK 负责代表客户向 RIPE NCC 提交 ASN 申请，并从 SKNK LIR 的地址分配中指派 IPv6 PA /48。本文档覆盖你需要自己完成的部分：注册 RIPE NCC Access 账号、创建自己的身份记录，以及拿到资源后的必要设置。对于所覆盖的 SKNK PA 前缀，标准服务包含匹配 IRR
route/route6对象的创建和持续维护；AS-SET 按实际路由过滤需求与可用 maintainer 授权处理。
边界说明：RIPE Database 的身份记录和 IRR 路由对象不是一回事。RIPE NCC Access、organisation、contact 和 maintainer 资料由你自己维护。已有的标识符或计划网络资料，请在付款前填写到同一份订单表单的 RIPE 资料区域，不要为新订单单独进入客户协助页面。对于所覆盖的 SKNK PA 前缀，标准服务包含匹配 IRR
route/route6对象的创建和持续维护。AS-SET 的创建与持续维护不包含在内；如有需要，应由你或路由服务商凭相应 maintainer 授权办理。
免责声明：本指南仅供参考，不构成法律或专业建议。RIPE NCC 的政策、流程和界面设计可能随时变更——请以 RIPE NCC 官方文档 为准。因使用本指南而产生的任何问题，Shikanoko Networks 不承担任何责任。SKNK 是独立的 RIPE NCC LIR 会员，与 RIPE NCC 无隶属或背书关系。RIPE NCC 是 RIPE NCC 的商标。
1. 前置准备
在开始之前，请确认你已准备好以下材料：
| 材料 | 说明 |
|---|---|
| 身份或注册文件 | 自然人提交有效 Passport 或 National ID card（二选一）；组织或已登记个体经营者提交可验证的注册文件。 |
| 网络需求证明 | 能说明与 RIPE NCC 服务区域相关、符合政策的 ASN 需求的信息或文件；具体材料取决于个案。 |
| 计划上游或对等信息 | 你预计连接或建立对等互联的网络。SKNK 会审查信息是否充分，并可能要求补充说明。 |
| 联系邮箱 | 用于 RIPE NCC Access 注册和 RIPE Database 联系人。重要：这个邮箱后续会收到验证邮件，务必使用真实可用的邮箱。 |
| 通信地址 | 申请主体可验证的居住地址、注册地址或经营地址。 |
2. 注册 RIPE NCC Access 账号
RIPE NCC Access 是你管理 RIPE 资源的统一入口。所有 RIPE 服务都需要通过这个账号登录。
- 打开 https://access.ripe.net/registration
- 填写你的邮箱地址，设置密码
- 必须开启双因素认证（2FA）——RIPE NCC 已强制要求
- 验证邮箱后完成注册
⚠️ 请妥善保管你的 RIPE NCC Access 账号。后续所有 RIPE Database 操作都需要用它登录。
3. 创建联系人对象和 maintainer 对象
这是最关键的一步。在 RIPE Database 中，联系人对象（role 或 person）代表你的联系方式，maintainer (mntner) 对象控制谁可以修改你的数据库记录。这两个对象必须同时创建，因为它们互相引用。
💡 联系人对象：自然人可以使用 person 对象表示自己；组织或已登记个体经营者可以使用 person 对象表示具体技术联系人，也可以使用 role 对象表示 NOC 等职能联系人。对象类型不会改变 SKNK 的申请资格规则。下面以 role 为例。
3.1 一次性创建 role + mntner
打开以下链接： 👉 https://apps.db.ripe.net/db-web-ui/webupdates/create/RIPE/role/self
填写以下字段：
| 字段 | 说明 | 示例 |
|---|---|---|
mntner |
maintainer 标识符，只能包含大小写字母、数字、_- |
YOURNAME-MNT |
role |
role 对象名称。如用 person，则填全名 | YOURNAME NOC 或 John Doe |
address |
你的通信地址（可多行） | 128 City Road, London, UK |
e-mail |
你的联系邮箱 | [email protected] |
phone |
电话号码（person 对象有此字段，role 没有） | +44 20 1234 5678 |
填写完成后点击 SUBMIT。
📌 重要：提交成功后，页面会显示
role with primary key "XXXX-RIPE"字样。记下这个值（例如AB1234-RIPE），如果订单表单要求，请填入其中的 RIPE 资料区域。同时也记下你的 mntner 名称——在 ASN 分配下来之前，你不会在 RIPE Database 搜索中看到这些对象，只有自己记着。
3.2 理解 role/person 和 mntner 的关系
mntner对象通过mnt-by属性保护其他对象——任何对象的修改都需要通过 maintainer 认证。role/person对象通过admin-c属性关联到 maintainer，提供管理员联系方式。- 它们是互相引用的：mntner 的
admin-c指向 role，role 的mnt-by指向 mntner。这就是为什么必须同时创建。
4. 设置滥用通知邮箱
RIPE NCC 要求每个 organisation 对象关联一个带有 abuse-mailbox 属性的联系人对象。
快捷方式（推荐）：在下一步创建 organisation 时，点击 abuse-c 字段旁边的 🔔 铃铛图标，系统会自动创建一个带有 abuse-mailbox 的 role 对象并填入。一步搞定。
手动方式（如果你已经创建了 organisation 或想手动管理）：在第 3 步创建的 role 上添加滥用通知邮箱：
- 打开 https://apps.db.ripe.net/db-web-ui/query
- 在搜索框中输入第 3 步创建的 role 主键（如
AB1234-RIPE），点击搜索 - 在搜索结果右上角点击 Update object
- 点击
e-mail栏右侧的 + 号，添加abuse-mailbox属性 - 填写你的滥用通知邮箱（可以和联系邮箱相同）
- 点击 SUBMIT 保存
⚠️ RIPE NCC 会检查此邮箱的有效性，请确保真实可用。滥用通知邮箱用于接收网络滥用投诉，虽然希望永远用不上，但必须有。
5. 创建 organisation 对象
organisation 对象代表申请主体在 RIPE Database 中的身份，ASN 将关联到这个对象。
| 字段 | 说明 | 示例 |
|---|---|---|
mnt-by |
由谁管理，自动填充为第 3 步创建的 mntner | YOURNAME-MNT（自动填充） |
organisation |
默认 AUTO-1，系统会自动生成标识符 |
留空即可 |
org-name |
组织或已登记个体经营者的完整法定名称，或自然人的全名 | YOUR COMPANY LLC 或 Jane Doe |
address |
居住地址、注册地址或经营地址 | 128 City Road, London, UK |
e-mail |
联系邮箱 | [email protected] |
abuse-c |
滥用联系人。可点击右侧 🔔 铃铛图标自动创建 | 输入邮箱后系统自动生成 |
mnt-ref |
谁可以引用此 organisation。至少填入你自己的 mntner + SKNK 的 mntner（SKNK 会提供） | YOURNAME-MNT, lir-uk-shikanoko-1-MNT |
- 点击 SUBMIT
📌 提交成功后，页面会显示
organisation "ORG-XXXX-RIPE"。记下这个值，如果订单表单要求，请填入其中的 RIPE 资料区域。
6. 在订单中填写 RIPE 资料
请完成第 1–6 步的注册与设置，在付款前填写到同一份订单表单的 RIPE 资料区域。这样申请主体、对等网络、证明文件和 RIPE 标识符会集中保存：
| 项目 | 你获取的位置 |
|---|---|
organisation |
第 5 步创建的 organisation 标识符（如 ORG-XX1-RIPE） |
admin-c |
第 3 步创建的 role 主键（如 AB1234-RIPE） |
tech-c |
可与 admin-c 相同，或另外创建一个专用 role |
abuse-c 所对应的邮箱 |
第 4 步设置的 abuse-mailbox 邮箱地址，如 [email protected]。本订单字段填写邮箱；RIPE Database 的 abuse-c 属性仍填写 role 主键 |
mnt-by |
第 3 步创建的 mntner 标识符（如 YOURNAME-MNT） |
as-name |
你想要的 AS 名称（如 YOURCOMPANY-AS） |
| 注册与身份文件 | 用于申请主体核验 |
| 网络需求证明 | 与个案相符的网络、上游或对等信息 |
SKNK 会使用已保存的订单资料准备 ASN 申请。RIPE NCC 会独立审核，所需时间取决于个案及补充问题。请在本页完成上述资料后再付款；无需另外进入补充资料或客户协助页面。
7. 上游要求 route 或 route6 时：提供要求并核对记录
route 或 route6 是 IRR 路由记录，不是你的 RIPE Database 身份资料，也不是每家上游都会要求。先向上游确认对象类型、IRR 来源、精确匹配规则和 Origin ASN 要求。对于所覆盖的 SKNK PA 前缀，标准服务包含匹配 route/route6 对象的创建和持续维护；AS-SET 按实际路由过滤需求与可用 maintainer 授权处理。
在 SKNK 创建或更新对象前，先与我们确认要求和授权链。RIPE Database 会校验相关地址空间的 maintainer 授权；客户平时使用的 mntner 不一定有权创建这条记录。请向 SKNK 提供精确前缀、Origin ASN、IRR 来源和上游要求，以便确认所覆盖资源和适用授权。
确认上游要求和授权后，再按以下步骤操作：
- 向 SKNK 提供精确前缀、Origin ASN、IRR 来源和上游过滤要求。
- 在所覆盖的 PA 前缀范围内且授权确认后，SKNK 会创建或更新匹配的
route/route6对象。 - 在 RIPE Database 查询精确的前缀和 Origin ASN，并与上游确认已发布结果。
route/route6不会创建或修改 ROA。
💡 如果你有多个所覆盖前缀，每个都需要单独的匹配
route或route6对象。超出标准服务范围的前缀需要另行评估。
8. 设置 RPKI / ROA
RPKI（资源公钥基础设施）通过 ROA（路由源授权）让验证者检查：某个 ASN 是否获准以给定的最大前缀长度宣告某段 IP。ROA 不保证上游一定接受你的路由，但它是重要的路由起源安全控制。
8.1 PA 前缀的 RPKI 设置
由于 IPv6 PA /48 前缀来源于 SKNK LIR 持有的 Provider Aggregatable 地址空间，该资源的 RPKI 权限由 SKNK LIR 控制。SKNK 负责创建、维护及撤销对应 ROA。客户仅拥有该前缀的使用权，不直接持有 RIPE NCC 地址资源证书，因此无法在 RIPE NCC Portal 中独立管理该 PA 前缀的 ROA。
你需要做的：在配置 BGP 或变更 PA 前缀的 Origin ASN 前，联系 SKNK（通过邮件或订单系统），说明：
请为
2001:db8:abcd::/48添加一条 ROA，origin 为AS215000，maxLength 为/48。
SKNK 会帮你创建 ROA。创建后可在 RIPEstat 验证 RPKI 状态。
8.2 ROA maxLength 的作用（重要）
ROA 的 maxLength 是该 ROA 授权的最具体前缀长度。如果实际宣告比它更具体，或使用了不同的 Origin ASN，RPKI 状态会变为 Invalid。
举例：你的前缀是 2001:db8:f0::/44，ROA 设置 maxLength 为 /46：
| 你宣告的前缀 | 结果 | 原因 |
|---|---|---|
2001:db8:f0::/44 |
✅ 接受 | 在允许范围内 |
2001:db8:fa::/46 |
✅ 接受 | 等于 maxLength，允许 |
2001:db8:f3::/48 |
❌ RPKI Invalid | /48 比 maxLength /46 更具体 |
2001:db8:f8::/48 |
❌ RPKI Invalid | 同上 |
💡 简单原则：如果你只会把一个 /48 作为 /48 宣告，maxLength 就设为
/48。只有确实需要宣告更具体的子前缀时，才申请更长的 maxLength，并先与 SKNK 确认。
8.3 RPKI 和 IRR route6 是两套控制
- RPKI ROA 让 RPKI 验证器判断某个 Origin ASN 和前缀长度是否获授权。
- route6 对象（IRR）是部分网络在生成前缀过滤器时会参考的路由策略记录。
一条 RPKI Valid 的 ROA 不会自动生成 IRR 对象；一条 IRR route6 也不会改变 RPKI 授权。上游可能检查其中之一，也可能两者都查。SKNK 负责所覆盖 PA /48 的 ROA 和匹配 route/route6 对象；AS-SET 按实际路由过滤需求处理，其他资源的 IRR 工作按对应资源的 maintainer 授权确认。
8.4 如果需要独立地址资源
SKNK 标准套餐提供 IPv6 PA /48，因此其 ROA 必须由 SKNK 管理。IPv6 PI 是另一项独立资源申请，具有不同的资格、协议、费用及 RPKI 运作安排；它不是保留同一 PA 地址的“升级”。如果独立地址是必要条件，应在购买 PA 服务前另行评估 PI 方案。
9. 创建 AS-SET（可选）
as-set 对象可以把 ASN 分组；部分上游和 IXP 会用它生成前缀过滤器。只有当它符合你的实际路由策略或上游要求时再创建。标准服务不包含 AS-SET 的创建和持续维护；应由你或路由服务商凭相应 maintainer 授权办理。
- 在 RIPE Database 中选择 Create an Object
- 对象类型选择 as-set
- 填写：
| 字段 | 说明 | 示例 |
|---|---|---|
as-set |
AS-SET 名称，必须以 AS- 开头 |
AS-YOURNAME |
descr |
简短描述 | Your Company AS-SET |
members |
你的 ASN | AS215000 |
tech-c |
技术联系人 role 主键 | AB1234-RIPE |
admin-c |
管理联系人 role 主键 | AB1234-RIPE |
mnt-by |
有权维护该对象的 maintainer | 仅在已获授权时填写 YOURNAME-MNT |
- 点击 SUBMIT
10. 常见问题
Q: 我是个人用户，没有公司，可以申请吗？
可以。SKNK 接受自然人、合法注册组织及已登记个体经营者，三者都先下单付款，再由双方签署协议，补齐 RIPE 资料并完成审核后，向 RIPE NCC 提交申请。自然人提交有效 Passport 或 National ID card（二选一）；组织或已登记个体经营者提交可验证的注册文件。所有申请仍需说明符合政策的网络用途，并接受 SKNK 和 RIPE NCC 的审核。
Q: RIPE Database 里 role/mntner/org 的关系太复杂了，搞不懂怎么办？
简单理解：
- organisation = 你的身份（谁拥有这些资源）
- role = 你的联系方式（出了问题找谁）
- mntner = 你的钥匙（只有你能改自己的东西）
Q: 创建对象时提示认证失败？
确保你已登录 RIPE NCC Access。创建 role+mntner 时使用上面提供的专用链接，它会自动处理初始认证。
Q: 忘记 mntner 密码/失去访问权限怎么办？
使用 RIPE NCC 的 mntner 恢复工具。你需要用 RIPE NCC Access 账号登录来验证身份。
Q: 我的 IPv6 前缀是 PA 还是 PI？
SKNK 提供来自其 LIR 地址分配的 IPv6 PA（Provider Aggregatable）/48。只要上游接受就可以宣告，但 RIPE NCC 不保证全球可路由性。PA 在功能和合同上都不等同于 PI：该前缀依赖 SKNK、ROA 由 SKNK 管理，服务终止时通常必须撤销并重新编号。
Q: 拿到 ASN 后怎么开始跑 BGP？
你需要：
- 确认 SKNK 创建的 ROA 和匹配
route/route6对象与你的 Origin ASN 一致；如上游要求 AS-SET 或其他超出范围的 IRR 工作，请在具备相应 maintainer 授权后办理 - 在 VPS 或服务器上安装 BGP 守护进程（推荐 BIRD 2 或 FRRouting）
- 联系你的上游提供商获取 BGP session 配置参数
- 配置并建立 BGP 对等
SKNK 不提供 BGP 配置支持，但网上有大量教程可供参考。
Q: 可以换 LIR 吗？
ASN 和 IPv6 要分开看：
- ASN：ASN 是指派给终端用户的独立资源。签署新协议并完成 RIPE NCC 赞助关系变更流程后，通常可以由新的 Sponsoring LIR 继续维护；这不是把 ASN 所有权转让给另一组织。
- IPv6 PA 前缀：不能带走。PA 前缀是从 SKNK 的 LIR 资源中分配的，归属 SKNK 而非你的 ORG。换 LIR 后需要新 LIR 重新分配前缀。
- 如果必须使用可携带的 IPv6，应在下单前评估单独的 PI（Provider Independent） 申请；它不是把现有 PA 地址自动升级成 PI。
附录 A：PA vs PI 对比
SKNK 标准套餐提供 PA（Provider Aggregatable）空间。PI（Provider Independent）是另一项独立资源申请，不是同一前缀的升级。
| PA（SKNK 标准服务） | PI（单独申请） | |
|---|---|---|
| 前缀归属 | 注册在 SKNK 的 LIR 下 | 直接分配给你的 ORG |
| 路由 | 受上游接受条件和路由策略影响 | 受上游接受条件和路由策略影响 |
| 可携带性 | 不会迁移到其他赞助商；通常需要重新编号 | 作为独立终端用户指派，仍受其赞助协议约束 |
| RPKI 管理 | 由 SKNK 管理 | 需与提供 PI 赞助的 LIR 确认具体 CA/ROA 运作方式 |
| 适用场景 | 能接受赞助商依赖及 PA 生命周期的项目 | 确实需要独立地址的终端用户基础设施 |
验证公网路由数据
发布 ROA 或 Route Object 后，不要只依赖后台确认，应检查公网实际结果：
- RPKI 与 BGP 状态查询 — 确认起源授权、maxLength、路由可见度和观测路径。
- IRR Route Object 查询 — 确认 RIPE Database 中存在精确的
route或route6对象。 - BGP 与 IRR 一致性审计 — 找出 BGP 宣告与公开 IRR 记录不匹配的地方。
- 反向 DNS 一致性检查 — 检查已分配 Prefix 的反向 DNS 委派覆盖。
本文档最后更新：2026 年 9 月 17 日
有问题？联系 SKNK：[email protected]