> For the complete documentation index, see [llms.txt](https://docs.console.zenlayer.com/welcome/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.console.zenlayer.com/welcome/cn/elastic-compute/networking/01-overview-4/06-best-practices.md).

# 自带 IP 最佳实践

以下建议按保护目标分组：**安全发布前缀**、在日常使用中保持**运营整洁**，以及在**退役**时避免意外。后附故障排查清单。

## 发布前缀

* **先发布 ROA，而非最后才发布。** 如果 RPKI 对 `(前缀, ASN)` 组合未返回 `Valid`，创建请求将失败。请先发布 ROA，等待传播，通过公共验证器确认，*然后*再创建。
* **保持 `maxLength` 与实际宣告的前缀长度一致。** 如果您计划宣告 `/24`，请确保 `maxLength` 覆盖 `/24`。仅覆盖 `/22` 的 ROA 会导致更具体的 `/24` 宣告返回 `Invalid`。
* **提前选定受支持的源 ASN。** Console 中的受支持 ASN 列表是权威来源。选择不在支持列表中的 ASN — 包括任何私有 ASN — 会导致创建失败，且不会产生任何宣告。
* **不要在另一网络上保持同一前缀活跃。** 如果第二个网络仍在宣告该前缀，流量可能出现抖动或黑洞。在将生产流量引入客户 IP 池之前，请协调好割接时机。

## 日常运营

* **使用客户自有标记进行审计。** 在确认关键工作负载使用的是您自有地址空间而非默认 Zenlayer EIP 池时，按客户自有标记过滤 EIP。该标记是回答"这个 EIP 是我们的吗？"最快速的方式。
* **在发生分配的地方记录池 ID。** 池 ID 是区分面向您 CIDR 的分配与面向默认池的分配的唯一标识。请将其保存在驱动 EIP 创建的运行手册或模板中。
* **在 ASN 变更前更新 ROA，而非之后。** 如果您计划更换源 ASN，请先发布新的 ROA，确认传播后，再提交 ASN 更新请求。更新操作会重新运行 RPKI 检查，否则将被拒绝。
* **不要依赖 ASN 变更来修复在线可达性问题。** ASN 更新不影响分配；它改变的是前缀的宣告方式。如果流量路由异常，请先排查路由问题，再考虑更改身份标识。

## 退役

* **先排空再删除。** 删除路径会检查已分配的地址，并在有地址仍在使用时拒绝删除。请先迁移工作负载、释放 EIP，然后再删除 CIDR。
* **如需迁移前缀，请清理 ROA。** 如果前缀正在迁移至另一网络，请移除 Zenlayer 在您 RIR 处的 ROA 授权，以免新的源被一个仍然 `Valid` 的旧授权所遮蔽。

***

## 故障排查

| 现象                                 | 排查方向                                                                                                   |
| ---------------------------------- | ------------------------------------------------------------------------------------------------------ |
| **创建时出现 RPKI 错误**                  | (1) 确认该前缀存在 ROA。(2) 确认 ROA 授权了您提交的确切 ASN。(3) 确认 `maxLength` 覆盖了该前缀长度。(4) 确认 ROA 未过期。重新发布并等待传播后重试。      |
| **创建时出现不受支持的 ASN 错误**              | 该 ASN 不在受支持 ASN 列表中。请从列表中选择，或通过 [support](mailto:support@zenlayer.com) 联系 Zenlayer 申请添加。私有 ASN 始终会被拒绝。 |
| **EIP 分配落在 Zenlayer 分配的地址，而非您的地址** | 分配时未指定客户 IP 池。检查 EIP 上的客户自有标记；释放后使用正确的池 ID 重新分配。                                                       |
| **CIDR 一直停留在 `验证中` 状态**            | RPKI 检查尚未返回 `Valid`。最常见原因是新发布的 ROA 尚未完成传播 — 请等待，并使用公共验证器重新确认。                                          |
| **CIDR 删除失败**                      | 仍有一个或多个地址处于已分配状态。查询 CIDR 的 IP 分配详情，解绑工作负载，释放 EIP，然后重试删除。                                               |
| **ASN 更新后，合作伙伴报告前缀为 `Invalid`**    | 新的 ROA 尚未传播，或与宣告内容不匹配。等待传播或修复 ROA；Zenlayer 侧的更新仅在验证通过时成功，因此下游看到 `Invalid` 意味着 ROA 与源宣告不同步。             |