工业网络通过各RIR购买全球IPv4地址的流程解析

购买全球IPv4地址，意味着通过区域互联网注册管理机构（RIR，如ARIN、RIPE NCC或APNIC）记录的转让流程，获得某个地址块的注册权。

购买协议确定交易条款，但只有当注册管理机构按照自身政策完成转让登记后，该地址块才真正归你所有。

对于工业现场而言，公网地址块通常位于厂区边界，而非厂区内部。本文将介绍公网IPv4在工业网络中的定位、购买流程，以及ARIN、RIPE NCC和APNIC在转让和路由来源认证方面的差异。

要点总结

厂区网络运行在RFC 1918规定的私有地址范围内；公网IPv4应部署在边界位置，即工业隔离区（DMZ）。

购买地址块意味着获取注册权，且必须由RIR完成转让登记。

每个RIR都有各自的转让规则，例如APNIC对来自103/8地址段的分配设有五年限制。

路由来源授权（ROA）需要在各RIR的门户网站中创建，不同机构的菜单和操作步骤各不相同。

在完成交易前，应核查地址块的注册信息、路由历史和信誉记录。

公网IPv4在厂区网络中的位置

在厂区内部，控制器、驱动器和人机界面（HMI）使用RFC 1918规定的三个私有地址段：10.0.0.0/8、172.16.0.0/12和192.168.0.0/16。通往云服务的出站连接通常可以通过网络地址转换（NAT）访问互联网，无需专用的公网地址块。

公网IPv4的价值体现在边界位置，用于VPN网关、供应商远程访问端点以及严格管控的合作伙伴连接等服务。

NIST SP 800-82第三版描述了企业系统与厂区系统之间的工业隔离区，这些面向外部的服务正应部署在该区域。控制器绝不应直接暴露在互联网上。

在购买之前，需要梳理哪些服务确实需要入站可达性以及所需的地址空间大小。这种先梳理流量再规划设备的方法，与指导厂区网络随自动化程度提升而扩容的思路一致，也有助于将申请控制在合理且可论证的最小地址块范围内。

购买流程的具体步骤

尽管各地区的政策存在差异，但整体步骤大致相同。

确定申请规模。根据梳理出的边界服务需求匹配地址块大小。在ARIN管辖区域，预批准环节可在协商前确认你能够合理申请的规模。

确认所属区域和转让路径。确定地址块归属哪个RIR管理，以及适用哪种政策。跨区域转让必须同时满足两个注册机构的规则。

核实注册信息。通过RDAP查询确切的地址前缀，并核对注册机构信息是否与销售文件中的卖方一致。

审查路由历史和信誉记录。使用RIPEstat等工具检查过往的BGP宣告记录，并查询Spamhaus的SBL、XBL和DROP等黑名单列表。如果某个前缀出现在DROP列表中，应暂停交易直至问题解决。

商定合同条款与担保事宜。明确具体的地址前缀以及双方的清理责任，并将担保金的释放与注册登记的转让完成挂钩，而非仅凭授权函。

完成注册机构的转让登记。买卖双方需提供RIR要求的文件。只有在注册机构完成变更登记后，地址块才真正归你所有。

在地址清单中将该地址块标记为待处理状态，直至转让完成，并且在路由授权就绪前不要投入使用。

各RIR流程差异对比

如果你的厂区分布在多个区域，转让和路由来源认证的具体步骤和规则在各注册机构之间存在差异。以下ROA相关细节参考了国际号码资源组织（NRO）对各RIR门户网站的对比资料。

RIPE NCC的管理面板会列出你的BGP宣告记录及其有效性状态，这在替换卖方的ROA时很有帮助。APNIC则会在创建ROA时未设置最大前缀长度的情况下发出提示。

通过市场平台或经纪商购买

缺乏注册管理经验的团队通常会选择通过市场平台或经纪商购买，而非直接与持有者协商。例如IPv4 Connect这类市场平台提供从/24到/12的固定价格地址块，支持安全电汇或担保交易方式付款。每个挂牌的子网都附带免费的黑名单检测报告，覆盖100多个全球黑名单库。

该公司还会在地址块转让前清除旧的BGP宣告记录、路由记录和DNS条目，并提供地理位置信息服务支持。转让流程全程托管，并在ARIN、RIPE和APNIC管辖区域提供预批准协助，涵盖上述多个步骤。

无论使用哪家服务商，都应自行掌握交易文件。独立重复进行重要的注册信息和信誉核查，并确认由谁来准备接收方文件以及交易完成后出现问题时由谁处理。

转让完成后：ROA创建与记录清理

注册机构完成转让登记后，需在该地址块承载厂区流量前理顺路由记录：

重新查询RDAP，确认注册信息显示为你的机构名称。

在你所在RIR的门户网站中为你的自治系统号（ASN）创建ROA，最大前缀长度不应超过你计划宣告的前缀范围。

创建对应的互联网路由注册（IRR）路由对象，并确认卖方的旧对象已被删除。

为需要的边界主机设置反向DNS授权。

重复进行信誉检查，并与交易完成前的检查结果进行对比。

随后分阶段上线边界服务，若地址分配允许，可先从一个/24地址段开始。在VPN网关和供应商访问通过可达性测试之前，保留原有地址方案的可用性。

将公网地址块保留在边界位置

对大多数厂区而言，公网IPv4只是在边界位置进行的一项小规模、经过审慎规划的补充，而非对厂区本身地址方案的改动。应根据实际需要的服务来确定地址块大小，遵循所属注册机构的转让规则，并在宣告之前在该机构门户完成ROA设置。

从待处理的转让状态到最终的路由对象，每一步都应记录在地址清单中。这些记录将使未来的审计、扩容或供应商交接工作更加顺畅。

Q&A

Q1：工业厂区网络内部的设备需要使用公网IPv4地址吗？

A：通常不需要。厂区内的设备运行在私有地址上，出站的云服务流量一般可通过NAT访问互联网。专用的公网地址块主要用于VPN网关或供应商访问等边界服务。

Q2：购买全球IPv4地址块的核心流程是什么？

A：核心流程包括确定申请规模、确认转让路径、核实注册信息、审查路由历史与信誉、签订合同并设置担保，最后通过所属RIR完成转让登记，地址块才真正归属买方。

Q3：APNIC对IPv4地址转让有什么特殊限制？

A：APNIC对来自103/8地址段分配的地址设有五年转让限制，只有在分配满五年后才可以进行转让，购买前需要先核查地址的分配日期。