Le troisième point de présence de CAMIX fait de la résilience locale un test du chemin Bépanda-ST-DIGITAL

Résumé

• Le troisième point de présence de CAMIX ajoute une option de rattachement utile à Douala, mais les documents publics n'établissent pas encore que ses chemins de commutation, de transport inter-site, d'alimentation et d'accès des membres sont indépendants de l'ancien site de Bépanda.
• Les inventaires publics indiquent un agrégat de 40 Gbps pour les ports listés à Douala et 4 Gbps à Yaoundé, bien en deçà de la capacité revendiquée de 100 Gbps par CAMIX; aucun de ces chiffres n'indique la quantité de trafic national qui reste utilisable après la défaillance d'un site, d'un circuit ou d'un route server.
• La preuve la plus solide serait un exercice reproductible de panne d'un site montrant les chemins membres survivants, la convergence du route server, les interconnexions alimentées et le chemin de paquets entre les réseaux camerounais sans recours au transit international.

Le paquet qui ne doit pas quitter le Cameroun

Prenez un paquet envoyé depuis le réseau d'un fournisseur d'accès camerounais vers un service hébergé derrière un autre réseau camerounais. Dans des conditions normales, un point d'échange internet devrait donner à ce paquet une courte route nationale: les deux réseaux annoncent leur joignabilité à travers un tissu de commutation partagé, apprennent mutuellement leurs routes directement ou via un route server, et échangent le paquet sans acheter de détour international. Le paquet est une meilleure unité d'analyse que le nombre de punaises sur une carte car il force chaque dépendance à être visible.

Il nécessite un client edge actif, un circuit d'accès actif, un port alimenté, un chemin de commutation fonctionnel, une annonce BGP valide et un chemin de sortie actif vers la destination.

CAMIX décrit sa mission en ces termes. Sapage institutionnelleindique que le point d'échange, géré par ses membres et sans but lucratif, vise à maintenir le trafic national local, améliorer la qualité de service et réduire la dépendance aux liaisons internationales. Cet objectif est plus exigeant que de maintenir un site web ou un commutateur en ligne. Un échange local n'a assuré la continuité que lorsque le paquet national dispose encore d'un chemin de bout en bout national. Si un entité perd son seul câble vers l'échange, ou si deux sites nominalement séparés dépendent du même circuit interurbain, un commutateur opérationnel ailleurs ne sauve pas le paquet.

Le nouveau site précise la question. Dans uneannonce du 7 avril 2026, CAMIX a identifié un troisième point de présence au centre de données ST-DIGITAL à Douala, aux côtés de CAMTEL Bépanda à Douala et de CAMPOST à Yaoundé. CAMIX a présenté le site comme un carrier hotel et a indiqué que INK et ST-DIGITAL étaient initialement connectés, avec SANCFIS et Afri-IX préparant des connexions et des discussions en cours avec Orange, MTN et CAMTEL. Ce sont des indications utiles d'intention et d'occupation précoce. Elles ne disent pas lesquels des réseaux nommés transportaient du trafic de production via ce site à la date de publication, si un réseau avait une connexion indépendante simultanée sur deux sites de CAMIX, ou comment le trafic se déplacerait après la disparition de Bépanda.

Lapage d'accueil publiquede CAMIX attribue trois autres chiffres clés à l'échange: plus de 12 membres actifs, une capacité de circuit Ethernet 100G et une latence locale d'une milliseconde. Chaque chiffre décrit une chose différente, et aucun n'est un résultat de résilience. Un port ou un tissu peut être capable de 100 Gbps même lorsque les ports membres connectés totalisent beaucoup moins. Une latence d'une milliseconde peut décrire un chemin local réussi dans des conditions normales mais ne dit rien sur la route empruntée en cas de panne. Un nombre de membres peut inclure du contenu, des services d'infrastructure et des réseaux d'accès avec des schémas de rattachement différents. Le nombre pertinent lors d'une panne est le nombre de entités et de préfixes atteignables indépendamment sur le tissu survivant.

Cette distinction est centrale car la promesse publique du troisième site n'est pas seulement plus d'espace rack. C'est la possibilité de séparer les domaines de défaillance. L'ancien site d'échange de Douala se trouve chez CAMTEL Bépanda; le nouveau est dans une autre installation à Douala. En principe, cette séparation pourrait protéger le trafic d'échange local d'une panne de bâtiment, d'un événement de maintenance, d'un commutateur défaillant ou d'une coupure de fibre localisée.

En pratique, la protection n'existe que si les deux installations sont reliées par un chemin qui ne tombe pas en panne avec le site d'origine, si le site survivant dispose de son propre équipement d'échange alimenté, si les circuits membres l'atteignent indépendamment, et si les sessions du plan de contrôle reconvergent sans laisser de prochains sauts obsolètes ou inutilisables.

Un point d'échange doit donc être évalué comme une chaîne, pas comme trois adresses. Le premier maillon est physique: où se trouvent réellement l'équipement et les interconnexions. Le deuxième est le transport: comment les sites forment un ou plusieurs tissus d'échange. Le troisième est électrique: ce qui maintient chaque dispositif actif et chaque handoff optique alimenté. Le quatrième est le rattachement des membres: si les entités arrivent par des chemins distincts. Le cinquième est le contrôle: si la joignabilité BGP reste correcte lorsqu'un composant disparaît.

Le sixième est le résultat: si les paquets nationaux représentatifs restent nationaux. Le troisième site de CAMIX crée l'opportunité de renforcer chaque maillon; les preuves disponibles ne démontrent pas encore l'ensemble de la chaîne.

Trois adresses, mais combien de domaines de défaillance?

Les propres descriptions de CAMIX établissent une empreinte de trois emplacements au niveau des locaux nommés. Safoire aux questionsidentifie CAMPOST Yaoundé, CAMTEL Bépanda à Douala et ST-DIGITAL à Douala, et décrit des ports membres de 1 Gbps à 100 Gbps. Laliste des membresséparée affiche 14 entrées actives, incluant des opérateurs d'accès, des réseaux et des services d'infrastructure ou de contenu. Ces pages sont des déclarations utiles de première partie, mais leurs catégories ne doivent pas être combinées en une affirmation selon laquelle 14 réseaux sont rattachés indépendamment aux trois emplacements. Les pages ne publient pas de matrice de ports par site.

Deux registres externes montrent pourquoi « trois points de présence » et « trois sites d'échange fonctionnant indépendamment » ne doivent pas être traités comme des synonymes. L'enregistrement organisationnel PeeringDBde CAMIX décrit trois points de présence séparés — deux à Douala et un à Yaoundé — mais il renvoie à deux enregistrements d'échange, un pour Douala et un pour Yaoundé. L'enregistrement de l'échange de Doualaliste CAMTEL Bépanda comme installation locale et montre dix connexions dont les capacités affichées totalisent 40 Gbps. ST-DIGITAL apparaît comme un réseau connecté, mais la page n'identifie pas le centre de données de ST-DIGITAL comme une deuxième installation locale pour cet enregistrement d'échange. L'absence peut refléter une maintenance différée du registre plutôt qu'une réalité physique; elle signifie néanmoins que le registre ne peut actuellement corroborer la topologie physique du troisième site.

La même prudence s'applique à Packet Clearing House. Sonentrée CAMIX Doualaidentifie un échange actif à Douala chez CAMTEL Bépanda, tandis que sonentrée CAMIX Yaoundéidentifie l'emplacement CAMPOST. Ce sont des instantanés d'annuaire, pas des relevés de câbles. Leur valeur réside dans la confirmation de l'empreinte plus ancienne de deux villes et dans la fourniture d'observations datées qui peuvent être comparées à la nouvelle revendication de CAMIX. Ils ne révèlent pas si ST-DIGITAL dispose d'un commutateur d'échange dédié, d'une extension distante vers Bépanda, ou d'un arrangement intermédiaire.

Une page maintenue par la communauté offre une image plus granulaire mais toujours provisoire. Lapage de la fédération cmNOG Cameroon IXPnomme CAMIX-Yde01, CAMIX-Dla01 et CAMIX-Dla02, plaçant Dla02 chez ST-DIGITAL et enregistrant une date de fin 2024 avec trois pairs. Cette entrée soutient l'existence d'une troisième identité opérationnelle avant l'annonce de 2026, mais elle introduit une chronologie que les autres pages publiques n'expliquent pas. Elle pourrait décrire un déploiement précoce, une phase de test, un relancement ou simplement une page mise à jour selon un calendrier différent. Elle ne publie toujours pas de diagramme de chemin physique. La conclusion responsable est étroite: trois noms de sites réapparaissent dans les enregistrements de première partie, de registres et de la communauté, tandis que l'indépendance des dépendances au niveau du site reste non prouvée.

L'indépendance physique comporte plusieurs couches. Des adresses différentes protègent contre certains incidents de bâtiment mais pas contre un conduit métropolitain partagé. Des racks séparés protègent contre un travail accidentel dans une armoire mais pas contre une unité de distribution d'alimentation partagée en haut du rack. Des commutateurs séparés protègent contre une panne matérielle mais pas contre une seule erreur de gestion à distance appliquée à chaque dispositif.

Des générateurs séparés protègent contre une interruption du réseau seulement si les optiques d'interconnexion, les équipements de transmission des opérateurs et les routeurs membres reçoivent également une alimentation de secours. Un deuxième site atteint uniquement via le premier site protège contre très peu de choses lorsque le premier site est la panne testée.

Les directives de l'industrie rendent cette hiérarchie explicite. Lesrecommandations physiques d'Euro-IXtraitent la conception multi-emplacements comme un moyen d'améliorer l'indépendance géographique et face aux catastrophes, mais notent également que la résilience des membres dépend de routeurs doubles, d'interfaces et de choix d'accès. En d'autres termes, un opérateur d'échange peut construire un cœur diversifié tandis qu'un membre individuel reste monotarif. Inversement, un membre peut acheter deux circuits qui convergent sur un seul commutateur d'échange ou un conduit commun. Les deux perspectives doivent être démontrées.

Le troisième site de CAMIX est donc mieux compris comme une hypothèse de résilience, pas encore le résultat. Son nouveau domaine de défaillance doit être démontré à travers au moins cinq limites: bâtiment, alimentation, commutation d'échange, transport inter-site et accès des entités. Les preuves publiques franchissent actuellement la première limite — les locaux sont nommés séparément — et offrent des indications au niveau de l'installation pour l'alimentation. Elle est mince pour les trois autres. Cela ne diminue pas la valeur stratégique de l'expansion.

Cela définit ce qui doit être mesuré avant que la valeur puisse être traduite en affirmation de continuité.

Le chemin Bépanda-ST-DIGITAL est la carte manquante

Le document manquant le plus important est une carte physique et logique actuelle des deux sites de Douala. Une carte utile identifierait les commutateurs d'échange à Bépanda et ST-DIGITAL, chaque liaison inter-site, le transporteur ou l'opérateur responsable de chaque segment, la diversité de route entre les bâtiments, les points de handoff optique et électrique, et si le troisième site peut atteindre les membres d'échange survivants lorsque Bépanda est hors service. Elle séparerait également la capacité propre à l'échange des circuits d'accès des membres. Aucun des documents publics examinés ne fournit cette carte.

Lapage de service de peeringde CAMIX attribue un tissu de couche 2 de plus de 100 Gbps, des route servers BGP redondants, un filtrage RPKI et IRR, un support IPv4 et IPv6, et des ports à 1, 10 et 100 Gbps à l'échange. Ces déclarations décrivent des capacités, pas la topologie. « Couche 2 » pourrait englober des commutateurs indépendants joints dans un anneau protégé, une étoile centrée sur un site, une seule extension inter-site, ou plusieurs autres conceptions. Des route servers « redondants » pourraient signifier deux processus sur du matériel séparé dans un bâtiment, des serveurs distribués entre les sites, ou des instances virtuelles résilientes partageant une dépendance cachée. Sans informations de placement et de chemin, aucune de ces interprétations ne peut être choisie comme fait.

Le tableau national de fibre publique donne un contexte mais ne peut pas remplacer une carte d'échange. Le Ministère des Postes et Télécommunications du Cameroun a décrit unprogramme de backbone nationalavec des milliers de kilomètres de fibre et une boucle de 55 kilomètres à Douala, tout en notant des plans pour une boucle métropolitaine de Yaoundé. C'est une preuve d'infrastructure de fibre dans les villes concernées. Cela n'établit pas quelles paires, conduits ou services de transport CAMIX utilise, ni si l'échange dispose d'une diversité contractuelle ou physique sur ceux-ci.

CAMTEL a séparément soutenu que son backbone comprend uneroute redondante Douala–Bafoussam–Yaoundé. Cette affirmation peut être pertinente pour la continuité nationale, en particulier si CAMIX achète ou reçoit des services sur des chemins de backbone distincts. Aucun document public de CAMIX examiné ici ne relie le troisième site à cette redondance, ne déclare la capacité protégée disponible pour l'échange, ou ne montre qu'un circuit membre vers ST-DIGITAL évite le même segment CAMTEL utilisé pour atteindre Bépanda. La portée du backbone et la portée de l'échange ne sont pas automatiquement le même actif.

Il y a une raison pratique d'insister sur un routage exact. Unedéclaration d'Orange Cameroun republiée après des perturbations en septembre 2024attribuait l'instabilité à Douala, Yaoundé et ailleurs à de multiples coupures de fibre affectant les connexions backbone entre les deux villes. Cet épisode n'est pas une preuve que CAMIX a échoué ou qu'un circuit d'échange particulier était sur la route affectée. C'est une preuve que des services apparemment séparés peuvent partager un corridor dont la perturbation atteint les deux métropoles. Une conception de résilience doit être évaluée face à cet événement corrélé, pas seulement face à une panne de dispositif unique et propre.

La question du chemin de Douala a deux versions. La première est intra-ville: si le commutateur d'échange de Bépanda, l'alimentation du bâtiment ou les approches de fibre immédiates tombent en panne, ST-DIGITAL peut-elle continuer à échanger du trafic entre les membres physiquement présents là-bas? La seconde concerne l'ensemble du tissu: les membres rattachés uniquement à Bépanda peuvent-ils encore être atteints via un circuit alternatif, ou disparaissent-ils jusqu'à ce que leur propre rattachement diversifié devienne actif? La première version peut être résolue sur la nouvelle installation avec des membres locaux et des routes locales.

La seconde nécessite une diversité des deux côtés de l'échange: un lien central survivant et un accès membre survivant.

La distinction empêche également une interprétation trompeuse du terme « carrier hotel ». Une installation neutre peut offrir de nombreux transporteurs et choix d'interconnexion, ce qui est précieux. Mais le choix au point final ne prouve pas des chemins diversifiés après que ces câbles quittent le bâtiment. Deux services de transporteur peuvent partager un conduit, une plateforme optique, un pont, un risque de coupure en bord de route ou un opérateur de transport en amont commun. Une carte de chemin appropriée devrait donc montrer les groupes à risque partagé plutôt que seulement les noms de fournisseurs.

Lorsque les routes de fibre exactes ne peuvent pas être rendues publiques pour des raisons de sécurité ou commerciales, CAMIX peut toujours publier une topologie abstraite avec des attestations de chemin indépendant, des dates de test et des descriptions bornées des dépendances communes.

Jusqu'à ce que de telles preuves apparaissent, la lecture la plus défendable est que ST-DIGITAL ajoute un lieu distinct pour se rattacher à Douala et peut ajouter un point de commutation local distinct. Que cela crée ou non un chemin d'échange survivable indépendamment reste une question opérationnelle ouverte. Ce n'est pas une demande de coordonnées commercialement sensibles. C'est une demande pour l'information minimale nécessaire pour distinguer un troisième domaine de défaillance d'un troisième point d'extrémité.

Yaoundé transforme une question métropolitaine en question nationale

CAMPOST Yaoundé n'est pas simplement un autre rack sur le tissu de Douala. C'est le site qui transforme l'affirmation de continuité de CAMIX d'une résilience métropolitaine à une résilience nationale. Si un incident majeur à Douala supprime les deux emplacements d'échange de Douala, un tissu fonctionnel à Yaoundé pourrait toujours maintenir le trafic local parmi les réseaux indépendamment rattachés là-bas. Si le transport interurbain survit mais qu'un site de Douala tombe en panne, Yaoundé pourrait également faire partie d'un chemin d'échange alternatif.

Les deux résultats dépendent de qui est connecté, à quelle capacité et sur quelles routes physiques.

L'enregistrement de l'échange de Yaoundé sur PeeringDBaffiche actuellement quatre connexions de 1 Gbps, pour un total de 4 Gbps. Les réseaux listés — CAMTEL, Matrix Telecoms, MTN Cameroon et Newtelnet — apparaissent également sur l'enregistrement de l'échange de Douala. Ce chevauchement est potentiellement précieux car la présence dans les deux villes peut soutenir la continuité géographique. Le registre ne spécifie pas si les deux rattachements de chaque opérateur utilisent des routeurs, des alimentations et des transports indépendants, ni s'ils annoncent activement la même joignabilité sur les deux sites. Il indique donc une opportunité multi-sites, pas un basculement prouvé.

L'enregistrement de l'installation fournit des preuves également bornées. L'entrée d'installation CAMPOST sur PeeringDBassocie le site à CAMIX Yaoundé et liste un petit nombre de réseaux. Elle ne divulgue pas de sous-stations électriques diversifiées, d'alimentation des commutateurs d'échange, d'entrées de transporteurs ou de route des circuits membres. L'entrée d'installation CAMTEL Bépanda correspondanteidentifie l'ancien emplacement de Douala et une présence réseau plus importante, mais ne contient pas non plus de détail public de diversité de sous-station. Ces omissions ne doivent pas être lues comme une preuve que la diversité est absente. Elles montrent qu'un registre d'installation ne peut pas répondre à lui seul à la question de continuité.

Internet Society Pulse ajoute une synthèse datée du même matériel de registre. Sapage de suivi CAMIX Doualarapportait 40 Gbps de capacité visible et dix systèmes autonomes en mai 2026. Savue de suivi CAMIX Yaoundérapportait 4 Gbps et quatre systèmes autonomes dans un instantané de fin 2025. Ces chiffres sont utiles pour comparer les bords publiquement listés des deux tissus. Ils héritent des limitations et de la cadence de mise à jour du registre sous-jacent; ce ne sont pas des mesures en direct du trafic, de la marge ou de la survie aux pannes.

L'asymétrie est importante. Si le total de rattachement visible à Douala est dix fois le total de Yaoundé, une perte complète de Douala pourrait laisser beaucoup moins de capacité d'échange disponible au niveau national même lorsque chaque port de Yaoundé fonctionne. La capacité seule n'est pas la seule contrainte: les quatre réseaux survivants peuvent ne pas être à l'origine ou fournir des chemins vers toutes les destinations nationales normalement échangées à Douala. Les caches de contenu présents uniquement à Douala pourraient disparaître du chemin local.

Un utilisateur pourrait encore atteindre le contenu via un transit international, mais cela ne satisferait pas le test plus étroit de continuité nationale.

La direction inverse compte aussi. Si CAMPOST tombe en panne, les réseaux avec de véritables rattachements indépendants à Douala devraient continuer à échanger localement. Pourtant, un membre de Yaoundé dont la présence à Douala est atteinte via un service interurbain commun pourrait perdre les deux rattachements logiques à partir d'un seul événement de transport. Les étiquettes multi-villes sont les plus fortes lorsqu'elles sont accompagnées d'une diversité au niveau du routeur et du circuit. Elles sont les plus faibles lorsqu'un port distant est effectivement une extension distante de la même bordure membre.

L'analyse de l'Internet Society sur le peering local et distant,The Peering Disconnect, explique le compromis plus large. Le rattachement distant peut étendre les avantages d'un échange aux réseaux qui ne peuvent pas se colocaliser localement, mais la concentration chez les intermédiaires et l'infrastructure distante peut également créer des dépendances cachées. Pour CAMIX, l'accès distant peut être commercialement et géographiquement nécessaire. Il devrait être décrit séparément du rattachement physiquement diversifié afin que les membres comprennent quelles pannes chaque arrangement survit.

Yaoundé devrait donc être évalué comme sa propre île de continuité et comme un nœud dans un tissu national. Le test de l'île demande quels entités peuvent échanger au sein de Yaoundé avec toutes les dépendances de Douala supprimées. Le test du tissu national demande quelles routes et quel trafic peuvent se déplacer entre les sites survivants après la défaillance d'un seul chemin inter-site. Publier les deux résultats montrerait si CAMIX a trois emplacements opérationnels ou un système véritablement résilient de trois sites.

Les ports annoncés ne sont pas la capacité survivant à une panne

Les chiffres de capacité autour de CAMIX se réfèrent à au moins quatre couches différentes. Il y a la vitesse maximale d'un produit ou d'un port, la capacité de commutation installée, la somme des ports membres contractés ou listés, et le trafic qui peut réellement être transporté après une panne. Le chiffre attribué de 100G par CAMIX semble décrire la première ou la deuxième couche. Les totaux visibles dans les registres — 40 Gbps à Douala et 4 Gbps à Yaoundé — décrivent des portions de la troisième. Aucun ne mesure directement la quatrième.

Les descriptions de service de CAMIX sont intrinsèquement cohérentes quant à l'offre d'interfaces à haute vitesse. Sa page de peering liste des ports à 1, 10 et 100 Gbps; sa FAQ décrit la même gamme. Sa revendication de capacité 100G est plausible en tant que capacité d'équipement et peut refléter une interconnexion ou une interface de commutation à 100 Gbps. Les pages publiques n'identifient pas un membre utilisant un port à 100 Gbps, le backplane total installé sur chaque site, ou la capacité des liaisons Bépanda–ST-DIGITAL et Douala–Yaoundé.

Un tissu avec une interface à 100 Gbps pourrait encore être contraint par un chemin inter-site à 10 Gbps ou par un accès membre à 1 Gbps.

Les enregistrements PeeringDB offrent une arithmétique transparente mais incomplète. Les connexions affichées à Douala totalisent 40 Gbps; celles de Yaoundé totalisent 4 Gbps. Ce sont des valeurs nominales de port fournies via un registre communautaire, pas nécessairement des débits d'information garantis ou des capacités actuellement allumées. Certaines connexions appartiennent à des services d'échange ou des route servers plutôt qu'à des réseaux d'accès finaux. Un port nominal peut transporter peu de trafic, être réservé pour un service, ou être indisponible pendant une maintenance.

Inversement, un nouveau port actif peut exister avant que le registre ne soit mis à jour. Les totaux devraient être étiquetés comme capacité de port connecté affichée à une date donnée, pas comme débit d'échange mesuré.

Packet Clearing House illustre l'importance de l'horodatage. Ses annuaires d'échange sont des observations externes utiles, mais les champs de entité, capacité et trafic peuvent changer entre les instantanés à mesure que les enregistrements sont actualisés. Une valeur d'annuaire unique ne doit pas être promue en fait technique durable. La capacité d'échange internet est particulièrement sujette aux erreurs de catégorie car le taux de trafic, la capacité de port et la capacité de commutation utilisent tous des bits par seconde tout en décrivant des contraintes différentes.

La capacité utilisable après panne nécessite un calcul plus exigeant. Supposons que Bépanda contienne la plupart des ports membres visibles et que ST-DIGITAL n'ait que ses deux occupants initialement nommés. Perdre Bépanda pourrait supprimer la majorité des points d'extrémité avant que la liaison inter-site ne devienne un goulot d'étranglement. Supposons plutôt que les membres majeurs soient doublement rattachés mais que les deux circuits d'accès partagent un conduit. La somme nominale surestimerait la capacité survivante. Ou supposons que chaque circuit physique survive tandis qu'une panne de route server retire un grand ensemble de routes.

La capacité électrique et optique resterait, mais la capacité routée utilisable pourrait chuter fortement.

Une déclaration de capacité crédible après une panne de site nécessite donc une matrice, pas un seul chiffre. Pour chaque scénario de panne, elle devrait montrer la capacité de commutation d'échange survivante, la capacité inter-site survivante, les ports membres survivants, le nombre de routes attendu, le trafic de pointe observé et la marge disponible. Elle devrait indiquer si la capacité est installée, allumée, alimentée, opérationnelle et transporte du trafic représentatif. Elle devrait distinguer la capacité protégée de la capacité qui devient indisponible avec le site défaillant.

L'enregistrement réseau des services CAMIXrenforce le besoin d'étiquettes de portée. Il identifie CAMIX Services sous AS328091, liste une connexion de 1 Gbps à Douala et associe le réseau à CAMPOST et CAMTEL Bépanda. C'est une preuve concernant un réseau de services d'échange, pas la taille du tissu de commutation. L'enregistrement du route server CAMIXidentifie AS37718 comme le réseau du route server. Encore une fois, un enregistrement de système autonome confirme une identité de plan de contrôle; il ne révèle pas le placement de l'hôte du route server, la distribution des sessions ou la capacité de transfert.

La télémétrie de trafic publique aiderait à concilier les catégories, mais lapage looking-glassde CAMIX indique que la vue BGP doit devenir disponible plutôt que de présenter une vue publique actuelle. Un looking glass ne montrerait pas à lui seul la diversité physique, mais il pourrait révéler la disponibilité des routes, le comportement du prochain saut et la convergence autour des maintenances annoncées. Des graphiques de trafic par site, l'état des sessions des route servers et des tableaux de capacité datés permettraient aux membres et chercheurs de tester si la capacité annoncée correspond à l'utilisation opérationnelle.

La conclusion correcte actuelle n'est pas que CAMIX manque de capacité. C'est que les preuves publiques soutiennent plusieurs chiffres attribués de capacité et de connexion dont les portées diffèrent. Le nombre 100G devrait rester attaché à la propre description de CAMIX. Les totaux de 40 Gbps et 4 Gbps devraient rester attachés aux vues de registre datées. La capacité utilisable après panne reste non divulguée et ne devrait pas être déduite en additionnant ou comparant ces nombres sans scénario.

Les membres se rattachent à des tissus, pas à un registre

L'adhésion est institutionnellement importante, mais une analyse de résilience a besoin de détails de rattachement. Le registre public de CAMIX contient 14 entrées, tandis que la page d'accueil utilise l'expression plus lâche « 12+ membres actifs » et l'annonce du troisième site nomme deux connexions initiales plus plusieurs prospectives. Ces déclarations peuvent toutes être vraies à des dates différentes ou sous des définitions différentes. Elles n'établissent pas combien de réseaux de production sont rattachés à chaque commutateur, combien annoncent des routes, ou combien ont un accès diversifié.

L'unité centrale est un chemin membre. Il commence sur un routeur entité, traverse une interconnexion locale ou un service d'accès distant, atteint un port d'échange, et se termine sur un domaine de commutation depuis lequel d'autres entités sont atteignables. Un membre résilient a au moins deux chemins qui ne partagent pas la panne contre laquelle on se protège. Deux VLAN logiques sur une seule fibre ne sont pas deux chemins physiques. Deux fibres dans un conduit peuvent protéger contre une panne optique mais pas contre une excavation.

Deux ports sur un routeur peuvent protéger contre une panne de port mais pas contre une panne de routeur ou d'alimentation. Deux sites d'échange atteints par le même hub de transport peuvent ne pas protéger contre la perte de ce hub.

L'image initiale des membres de ST-DIGITAL est encourageante mais étroite. CAMIX a nommé INK et ST-DIGITAL comme connectés et a décrit d'autres organisations à différents stades d'engagement. Ce libellé ne doit pas être converti en hypothèse que chaque entité prospectif échange maintenant des routes ou du trafic. Ni la présence d'un opérateur de centre de données dans sa propre installation ne doit être comptée comme une preuve que les grands réseaux d'accès ont des circuits de dernier kilomètre indépendants là-bas.

Une note technique du cmNOG montre comment les détails opérationnels peuvent changer l'interprétation. Unprojet de compte rendu de réunion de septembre 2024discutait d'une liaison de transit point à point MTN pour un cache Cloudflare sur l'ancien site de Douala, observait une perte de paquets depuis une vue, identifiait le besoin d'une seconde liaison physique vers Dla01, et anticipait une présence ultérieure sur Dla02. Le compte rendu est provisoire, daté et spécifique à un arrangement; il ne peut pas établir l'état actuel de MTN, Cloudflare ou CAMIX. Sa valeur est diagnostique. Il montre que les seconds chemins physiques et la présence sur le nouveau site étaient traités comme des tâches d'ingénierie concrètes plutôt que des conséquences automatiques de l'ajout d'un emplacement.

Cette leçon s'applique aux quatre réseaux apparaissant dans les deux enregistrements d'échange PeeringDB. Des listages simultanés à Douala et Yaoundé sont une preuve de présence logique multi-sites. Pour transformer cela en preuve de continuité, CAMIX ou les entités devraient indiquer s'ils utilisent des routeurs périphériques séparés, des chemins porteurs ou auto-construits séparés, des entrées de bâtiment séparées, et des annonces de routes actives sur les deux sites. Une panne contrôlée pourrait alors vérifier que le trafic se déplace vers le chemin survivant dans un intervalle de convergence observé.

La composition du registre affecte également le résultat « rester national ». Un échange peut maintenir un paquet local seulement si le préfixe de destination ou une route locale valide reste atteignable sur le site survivant. Si un fournisseur d'accès survit mais qu'un cache de contenu est connecté uniquement sur le site défaillant, les utilisateurs peuvent revenir à une copie internationale. Si une institution publique n'a qu'un seul rattachement local, le trafic gouvernemental vers les utilisateurs peut quitter le chemin d'échange national même si les réseaux commerciaux restent connectés.

La continuité doit donc être mesurée par route et catégorie de service, pas seulement par nombre de entités.

Le programme MANRS pour les échanges internet ajoute une dimension de sécurité de routage. Ses attentes incluent le filtrage basé sur des informations de route autoritatives, la protection de la plateforme d'échange, la coordination des incidents et la fourniture d'informations de routage utiles aux membres. Ces pratiques réduisent le risque qu'un tissu survivant transporte une mauvaise joignabilité après une panne. Elles ne remplacent pas la diversité physique; elles rendent le plan de contrôle survivant plus fiable.

La confidentialité des membres n'est pas un obstacle à une divulgation significative. CAMIX pourrait publier des classes de rattachement anonymisées: colocalisé monotarif, colocalisé bitarif, connecté à distance sur un chemin, connecté à distance sur des chemins protégés, et présent sur deux ou trois sites. Il pourrait associer ces comptages au nombre de sessions BGP actives et de préfixes par site. Les grands entités pourraient volontairement publier leurs propres affirmations de diversité. Le résultat serait bien plus utile qu'un simple registre de logos tout en préservant les détails sensibles des circuits.

Jusque-là, les preuves visibles soutiennent une conclusion modeste. CAMIX a une communauté plus large que les ports affichés dans un seul registre externe, et le troisième site a attiré un rattachement initial. Le nombre de chemins membres qui survivent à la perte de Bépanda, ST-DIGITAL ou CAMPOST n'est pas établi publiquement. Cette inconnue se situe directement entre l'affirmation de trois points de présence et le résultat de continuité nationale.

Le route server peut tomber en panne tandis que les commutateurs continuent de transmettre

La résilience des échanges internet est souvent discutée comme si elle était purement une question de fibre et d'alimentation. Le route server montre pourquoi cela est incomplet. Un route server accepte les routes BGP des entités et distribue des informations de joignabilité sélectionnées aux autres clients, réduisant le besoin pour chaque membre d'établir une session bilatérale avec chaque pair. Il reste normalement en dehors du chemin de données: les paquets circulent directement entre les routeurs entités en utilisant le prochain saut appris via BGP.

RFC 7947formalise cette séparation. Un route server sert d'intermédiaire pour les informations du plan de contrôle tout en préservant le prochain saut du entité plutôt que de transmettre les paquets utilisateurs. Cela signifie qu'un hôte route server peut tomber en panne tandis que les routes déjà apprises continuent d'être transmises jusqu'à ce que les temporisateurs BGP, les retraits ou les changements de politique prennent effet. Cela signifie également qu'un route server en bonne santé peut annoncer un chemin dont le prochain saut du plan de données est inaccessible en raison d'une panne de couche 2. Un plan de contrôle vert ne garantit pas la livraison des paquets.

RFC 7948décrit les pratiques opérationnelles pour les route servers, y compris la valeur de serveurs multiples et les garde-fous contre les fuites de routes. Elle met également en évidence une panne de couche 2 non transitive: deux clients peuvent chacun atteindre le route server tout en étant incapables de s'atteindre mutuellement. Ce scénario est très pertinent pour un échange multi-sites. Si le route server se trouve à un point accessible depuis Bépanda et ST-DIGITAL mais que le chemin de entité à entité à travers le tissu est cassé, les sessions BGP peuvent rester établies tandis que les paquets nationaux échouent.

CAMIX indique qu'il exploite des route servers BIRD redondants. La déclaration est utile, mais la résilience dépend de l'emplacement de ces serveurs et de ce qu'ils partagent. Deux processus sur un seul hôte protègent contre une panne de processus logiciel mais pas une panne d'hôte. Deux hôtes dans un rack protègent contre une panne d'hôte mais peuvent partager un commutateur, une alimentation et un bâtiment. Deux hôtes dans des sites différents améliorent la séparation physique mais peuvent toujours dépendre d'un chemin de contrôle inter-site ou d'une configuration commune.

L'enregistrement public AS37718 identifie l'identité du route server, pas ce placement.

Le route server façonne également le comportement en cas de panne des membres qui comptent exclusivement sur lui. Un entité avec des sessions de peering bilatérales peut conserver certaines routes nationales lorsque chaque route server est indisponible. Un entité qui n'apprend toutes les routes d'échange que du route server peut conserver des routes obsolètes temporairement puis les perdre, en fonction de l'état de session et des temporisateurs. Un entité connecté à deux sites peut recevoir deux chemins mais en sélectionner un basé sur des attributs qui ne correspondent pas à la diversité physique.

La topologie des sessions BGP doit donc être testée parallèlement à la topologie des câbles.

Lesrecommandations de gestion d'Euro-IXavertissent qu'un route server peut devenir un point de défaillance unique et recommandent plusieurs serveurs, une surveillance solide et une observation du trafic. Pour CAMIX, le test devrait être spécifique au site. La suppression du route server ou de la connexion de contrôle à Bépanda ne devrait pas empêcher les membres de ST-DIGITAL et Yaoundé d'apprendre des routes survivantes valides. La suppression de ST-DIGITAL ne devrait pas laisser des prochains sauts pointant vers des ports entités inaccessibles. La suppression de la liaison interurbaine devrait produire deux îles internement cohérentes plutôt qu'un ensemble de sessions trompeusement saines avec un transfert cassé.

Le temps de convergence devrait être rapporté comme une distribution, pas un minimum marketing. Il devrait inclure la détection de perte de session BGP, le retrait ou remplacement de route, la mise à jour de la table de transfert et le premier paquet représentatif réussi sur le chemin survivant. Différents membres peuvent utiliser différents temporisateurs et politiques, donc une route peut récupérer tandis qu'une autre reste indisponible.

L'exercice devrait également détecter l'oscillation de route et le basculement accidentel via le transit international, qui peut faire apparaître un service comme rétabli tout en contrecarrant l'objectif de continuité nationale.

La sécurité du routage doit rester active pendant l'événement. Si le basculement amène un entité à annoncer un ensemble de préfixes plus large ou différent, les filtres du route server ne devraient accepter que les origines autorisées et les routes conformes à la politique. Les vérifications RPKI et de registre aident, mais leurs caches locaux, validateurs et connexions de gestion ont également des dépendances. Un test complet enregistre si le filtrage et la surveillance restent disponibles lorsque le site hébergeant l'un de ces services de support est supprimé.

CAMIX peut démontrer cela sans exposer la politique de routage individuelle. Il peut publier le nombre d'instances de route server, les domaines de défaillance sur lesquels elles sont placées, le nombre de sessions actives par site, la fraction de routes disponibles après chaque test, et un résultat de convergence borné. Il peut également montrer une joignabilité synthétique entre des préfixes de test à chaque emplacement. Ces données relieraient son affirmation de route servers redondants à un résultat opérationnel observable.

L'indépendance d'alimentation se termine au handoff non alimenté le plus faible

ST-DIGITAL offre à CAMIX une installation qui met publiquement l'accent sur la continuité. Lapage du centre de donnéesde l'opérateur décrit le site de Douala comme une installation de niveau III avec redondance électrique, refroidissement de précision et multiples options de connectivité. Uneannonce de certification OIX-2identifie DLA01 comme un site de centre de données certifié avec une salle de rencontre et des services d'interconnexion. Ces enregistrements soutiennent la caractérisation de ST-DIGITAL comme un environnement neutre spécialement conçu. Ils ne certifient pas le chemin d'alimentation précis du commutateur, de l'optique ou des interconnexions membres de CAMIX.

ST-DIGITAL a publié des affirmations de continuité inhabituellement spécifiques dans uncompte rendu de ses mesures énergétiques. L'opérateur indique que les générateurs peuvent supporter la pleine charge pendant 48 heures avec du carburant supplémentaire stocké prolongeant cette période, que l'autonomie des batteries dépasse 18 heures, et que les équipements sont testés mensuellement. Ce sont des chiffres attribués par l'opérateur plutôt que des résultats d'autonomie observés indépendamment. Ils établissent la capacité visée de l'installation et identifient des affirmations testables.

Uneévaluation de site Open Compute Projectfournit plus de détails via une auto-évaluation: deux alimentations utilitaires, trois générateurs, une batterie, une charge informatique critique déclarée et une liste de transporteurs. Son format rend la provenance claire — l'installation a fourni les réponses. C'est une preuve utile sur la redondance conçue chez DLA01, pas la preuve que chaque composant CAMIX est doublement alimenté ou que les transporteurs partent par des routes physiquement diverses.

Le principe du handoff le plus faible compte car un chemin d'échange traverse des équipements appartenant à plusieurs parties. Les alimentations utilitaires de l'installation peuvent être diverses tandis que le commutateur CAMIX a une seule alimentation. Le commutateur peut être doublement alimenté tandis qu'un convertisseur de média ou un amplificateur optique a une seule alimentation. Les deux peuvent être protégés tandis qu'un routeur membre repose sur un circuit non protégé. Le centre de données peut fonctionner pendant des jours tandis qu'une armoire de transporteur à l'extérieur de la salle protégée perd de l'alimentation.

Chaque condition casse le chemin du paquet même si l'installation principale reste opérationnelle.

L'indépendance d'alimentation a également un côté géographique. Un problème de réseau peut affecter un district, tandis que la logistique de carburant, la chaleur extrême ou une erreur de système de contrôle peuvent créer des risques communs plus larges. L'examen de l'Internet Society sur les pannes électriques dans les hubs internet,Blackouts and Byteouts, décrit comment les installations utilisent des générateurs et des batteries mais peuvent encore rencontrer des dépendances en cascade dans le refroidissement, le carburant et les réseaux environnants. La leçon pour CAMIX n'est pas que les protections de ST-DIGITAL sont inadéquates. C'est que la résilience de l'installation doit être jointe à la résilience du dispositif d'échange et du réseau d'accès.

Les anciens sites nécessitent le même niveau de preuve. CAMPOST Yaoundé et CAMTEL Bépanda sont des emplacements nommés, mais les pages publiques examinées ne détaillent pas leurs alimentations utilitaires, l'autonomie des générateurs, l'état des batteries, la redondance du refroidissement ou l'allocation de charge CAMIX. Il serait erroné d'en déduire qu'ils manquent de secours simplement parce que les détails publics sont rares. Il serait tout aussi erroné de supposer que trois sites alimentés ont une endurance équivalente.

Un test d'alimentation utile isolerait chaque site de l'alimentation utilitaire dans des conditions contrôlées et observerait le chemin d'échange complet. L'enregistrement devrait montrer le transfert vers la batterie et le générateur, la disponibilité du commutateur et du route server, la continuité du signal optique, la continuité des sessions membres, la température, l'état du carburant et les performances de tout handoff de transporteur desservant le site. Il devrait inclure la restauration, car le retour à l'alimentation utilitaire peut lui-même causer une interruption.

Un test contrôlé plus court peut vérifier le comportement de transition; un exercice d'installation plus long peut tester l'endurance et les hypothèses de ravitaillement.

Les résultats d'alimentation devraient être exprimés par dépendance. « Le centre de données est resté en ligne » est un résultat. « Le tissu CAMIX et les chemins membres représentatifs sont restés opérationnels » est un résultat plus fort. « Le trafic national entre les préfixes sélectionnés est resté local pendant tout le test » est le résultat aligné avec l'objectif public de l'échange. Les trois ne devraient pas être confondus.

Le troisième site améliore les options de CAMIX car il place une présence d'échange dans une installation avec des ambitions de continuité documentées et un environnement d'interconnexion neutre. Sa contribution à la résilience devient mesurable lorsque CAMIX identifie les composants d'échange alimentés, confirme l'utilisation d'alimentations diverses, teste les handoffs de transporteurs et montre que les membres peuvent utiliser les chemins survivants. Les références de l'installation sont un point de départ solide, pas la preuve finale au niveau du paquet.

Ce que ferait la panne d'un site au trafic national

Aucun document public unique ne répond actuellement à la contrepartie centrale: si un site CAMIX disparaît, quel trafic national reste en interne? Les preuves permettent de borner les résultats probables, à condition qu'ils soient étiquetés comme des inférences plutôt que des observations.

Commençons par Bépanda. Le registre public de l'échange de Douala place l'installation d'échange là-bas et liste la plupart des connexions visibles de Douala. Si Bépanda héberge un commutateur central ou une liaison inter-site essentielle, sa perte pourrait supprimer à la fois les ports locaux et la joignabilité distante. Si ST-DIGITAL dispose d'un commutateur autonome, d'un route server survivant et de membres locaux, une partie du trafic entre ces membres pourrait continuer. Savoir s'ils peuvent atteindre le reste de CAMIX dépend d'un chemin indépendant de Bépanda vers Yaoundé ou vers d'autres entités survivants.

Comme ce chemin n'est pas public, la fraction du trafic national qui reste locale ne peut pas être calculée.

Supprimons maintenant ST-DIGITAL. Les enregistrements de Bépanda et Yaoundé indiquent qu'un échange existait avant l'expansion du troisième site, donc une grande partie de la connectivité précédemment établie peut continuer. Le trafic affecté inclurait les membres ou services rattachés uniquement sur le nouveau site et tout chemin dont le transport traverse par inadvertance celui-ci. L'impact pourrait être faible dans l'ensemble tout en étant grave pour un entité particulier. Les graphiques de trafic agrégé seuls n'identifieraient pas cette perte.

Supprimons CAMPOST Yaoundé. Les deux emplacements de Douala pourraient en principe continuer l'échange métropolitain, et le total plus grand de ports Douala affiché suggère plus de capacité visible là-bas. Pourtant, les entités ou chemins d'accès uniquement à Yaoundé disparaîtraient. Les réseaux listés dans les deux villes pourraient se déplacer vers Douala si leur double présence est physiquement et électriquement indépendante. Si leur chemin Douala dépend de la même route interurbaine défaillante, l'étiquette de deux sites du registre ne se traduirait pas en survie.

Il y a aussi des pannes qui ne respectent pas les limites des sites. Une coupure sur un corridor partagé Douala–Yaoundé pourrait diviser l'échange en îles métropolitaines tout en laissant chaque bâtiment alimenté. Une erreur de configuration pourrait affecter tous les commutateurs ou route servers à la fois. La perte d'un service commun d'authentification, de surveillance ou de validation RPKI pourrait dégrader le contrôle sans supprimer le tissu de transmission. Un événement de fibre près de Bépanda pourrait supprimer à la fois l'accès membre et le chemin depuis ST-DIGITAL s'ils convergent là-bas.

Une conception utile traite ces événements à risque partagé séparément des cas simples de panne de site.

Laprésentation des points d'échange par l'Internet Societyidentifie les ingrédients de base — installations neutres, équipement de commutation et de routage, alimentation, refroidissement, sécurité et opérations qualifiées. Pour CAMIX, chaque ingrédient doit survivre dans la combinaison nécessaire au paquet. Un commutateur actif sans route, une route active sans prochain saut, ou un membre actif sans le service de destination ne préserve pas l'échange national.

Le transit international complique l'observation. Lors d'une panne de CAMIX, deux réseaux peuvent encore communiquer car les deux conservent des routes en amont via l'Europe ou un autre hub externe. Un test de disponibilité conventionnel marquerait le service comme disponible. Un test de résilience nationale doit en outre inspecter le chemin et la latence, ou utiliser des préfixes de test dont les politiques d'échange et de transit sont connues. Le résultat devrait distinguer la continuité entièrement locale, le service rétabli via un transit international, la joignabilité partielle et la perte complète.

La revendication officielle de latence d'une milliseconde peut être utilisée comme référence uniquement avec attribution et portée. Si un chemin augmente fortement pendant une panne, cela peut signaler une déviation internationale, mais la latence seule ne peut pas prouver la géographie. Une route nationale alternative peut également être plus longue, et une route internationale peut parfois être étonnamment rapide. Traceroute, les données de prochain saut BGP et la confirmation des entités fournissent des preuves plus solides lorsqu'elles sont combinées avec la latence.

La réponse probable aujourd'hui est conditionnelle. Le trafic entre des membres indépendamment rattachés à un site CAMIX survivant, avec des routes survivantes valides et une destination toujours présente là-bas, peut rester national. Le trafic impliquant un membre monotarif sur le site défaillant ne peut pas utiliser CAMIX à moins que ce membre n'ait un autre chemin actif. Le trafic qui dépend d'une liaison inter-site défaillante peut se fragmenter en îles locales. Le trafic peut rester atteignable via un transit international sans rester national. La taille de chaque catégorie n'est pas quantifiée publiquement.

Cette réponse bornée est plus utile que de déclarer le réseau de trois sites soit résilient soit fragile. Elle montre exactement quels faits changeraient l'évaluation: les sessions membres au niveau du site, les attestations de chemin indépendant, la topologie des liaisons inter-sites, l'allocation d'alimentation, le placement des route servers et les observations de pannes. Chacune peut être mesurée sans publier de charges utiles de paquets sensibles ni de routes de fibre détaillées au niveau de la rue.

Un programme de test qui transformerait les affirmations en preuves

CAMIX peut convertir son affirmation de trois sites en preuve crédible de continuité nationale grâce à un exercice reproductible. L'exercice devrait commencer par une base de référence déclarée: horodatage, sites entités, préfixes de test, sessions membres actives, état du route server, chemin normal, latence normale et niveau de trafic. Il devrait identifier la limite de panne à l'avance et énoncer les dépendances délibérément laissées en dehors du test. Cela évite de présenter un redémarrage de commutateur comme un résultat de panne de site complet.

Le premier exercice devrait supprimer Bépanda à la bordure de l'échange. CAMIX pourrait désactiver les liaisons de tissu pertinentes et les instances de route server sous maintenance contrôlée tout en laissant les systèmes de mesure en dehors du domaine affecté. Le trafic de test devrait circuler entre des préfixes représentatifs à ST-DIGITAL, Yaoundé et des membres doublement rattachés. L'enregistrement devrait montrer la perte de paquets, le temps de convergence, la localité du chemin, le nombre de routes et la capacité survivante. Un test physique d'alimentation peut suivre après que le comportement logique est compris.

Le deuxième exercice devrait supprimer ST-DIGITAL. Cela valide que le nouveau site n'est pas devenu une dépendance inattendue pour l'ancien tissu et mesure l'effet sur ses membres localement rattachés. Le troisième devrait supprimer CAMPOST et le chemin interurbain séparément. Traiter ces deux tests distingue la panne de bâtiment de la partition de transport. Dans le test de partition, chaque métropole devrait conserver un transfert interne valide sans annoncer de prochains sauts inatteignables à travers la rupture.

Le quatrième exercice devrait faire tomber chaque route server indépendamment puis le service de route server comme classe. Les entités avec des sessions bilatérales et ceux dépendant de la distribution du route server devraient être observés séparément. Le test devrait inclure une panne synthétique de couche 2 non transitive afin que la surveillance doive détecter un état où les sessions du route server restent établies mais les prochains sauts des pairs échouent. C'est la panne la plus susceptible d'exposer l'écart entre une session de contrôle saine et un chemin de paquets fonctionnel.

Le cinquième exercice devrait valider le rattachement des membres. Un échantillon de membres bi-sites devrait supprimer un circuit d'accès à la fois et montrer que l'alternatif ne traverse pas le site défaillant ou le conduit local partagé. Les entités distants devraient identifier la classe de service protégé qu'ils achètent. Le résultat peut être agrégé pour protéger les détails commerciaux: nombre de chemins testés, nombre qui ont satisfait l'affirmation d'indépendance, et causes communes là où ce n'est pas le cas.

Le sixième devrait valider le transfert d'alimentation sur les trois sites. Il devrait observer le commutateur d'échange, le route server, l'équipement optique, le handoff du transporteur et un routeur entité représentatif, plutôt que seulement l'alimentation de l'installation. Les affirmations d'autonomie du générateur n'ont pas besoin d'être testées jusqu'à épuisement à chaque fois; l'inspection du carburant, les registres de maintenance et les exercices d'endurance périodiques peuvent compléter des tests de transfert en direct plus courts. Les résultats devraient inclure la restauration de l'alimentation utilitaire.

Le rapport public peut être compact. Pour chaque scénario, il devrait indiquer le domaine défaillant, le résultat attendu, le résultat observé, l'intervalle de convergence, le pourcentage de routes de test conservées, le trafic resté national, la marge survivante minimale et les dépendances communes non résolues. Il devrait dater chaque résultat et identifier si le test était simulé, logiquement isolé ou physiquement hors tension. Les résultats historiques devraient rester accessibles afin que les membres puissent voir si la résilience s'améliore à mesure que le troisième site gagne des entités.

Les registres externes devraient ensuite être réconciliés avec les opérations. CAMIX peut mettre à jour l'enregistrement d'échange de Douala pour identifier l'installation ST-DIGITAL lorsque approprié, publier une matrice de connexion par site ou un agrégat, et exposer un looking glass fonctionnel et des graphiques de trafic. Les valeurs des registres n'ont pas besoin de correspondre aux compteurs internes de l'échange en temps réel, mais les divergences devraient être expliquées par la date et la portée.

Le public saurait alors pourquoi une interface capable de 100G, 44 Gbps de ports de site listés et un pic de trafic inférieur ne sont pas contradictoires.

La conception de la mesure devrait utiliser l'indépendance des pannes comme principe d'organisation. Chaque sauvegarde affirmée devrait être testée contre le composant qu'elle est censée remplacer et contre les dépendances partagées qui pourraient supprimer les deux. Ceci est cohérent avec la pratique standard des échanges, mais adapté à la géographie du Cameroun et à l'empreinte particulière de trois sites de CAMIX. Cela produit également des preuves que les utilisateurs du secteur public et les membres commerciaux peuvent incorporer dans leur propre planification de continuité.

La publication n'est pas la dernière étape. CAMIX devrait établir une cadence après les changements majeurs de topologie, les nouveaux grands membres, les mises à niveau des route servers et les modifications d'alimentation des installations. Un troisième point de présence est un système en mouvement: sa résilience peut s'améliorer à mesure que les membres se doublement, ou s'affaiblir à mesure que le trafic croît plus vite que la capacité protégée. La répétition datée transforme une démonstration ponctuelle en un dossier opérationnel.

Le verdict de résilience et les points de vigilance

Le troisième point de présence de CAMIX est stratégiquement significatif. Il ajoute une installation nommée séparée à Douala, un environnement neutre, un lieu supplémentaire pour que les réseaux se rencontrent et une route plausible loin de la dépendance à un bâtiment plus ancien. Il peut également rendre l'échange global plus attractif pour les réseaux dont la première connexion est plus facile chez ST-DIGITAL. Ce sont des avantages réels même avant que l'indépendance complète de panne soit démontrée.

Les preuves sont les plus fortes au niveau de l'intention institutionnelle et de l'emplacement. CAMIX décrit systématiquement trois sites et une mission de maintien du trafic local local. Les enregistrements externes et communautaires corroborent les anciens sites de Bépanda et CAMPOST et fournissent des signaux pour la présence de ST-DIGITAL. Les sources d'installation décrivent des protections d'alimentation et d'interconnexion substantielles chez DLA01. Les enregistrements de registre exposent les connexions logiques d'échange actuelles à Douala et Yaoundé.

Les preuves sont moyennes au niveau de la capacité connectée. Les enregistrements publics datés permettent une somme de 40 Gbps de connexions affichées à Douala et 4 Gbps à Yaoundé, tandis que CAMIX attribue une infrastructure capable de 100G à lui-même. Ces chiffres sont compatibles car ils mesurent différentes couches. Ils n'établissent pas la capacité installée à chaque site, la capacité des liaisons inter-sites, le trafic actuel, la marge réservée ou la quantité utilisable après une panne.

Les preuves sont les plus faibles là où la résilience est réellement décidée. Il n'existe aucune topologie publique examinée pour le chemin Bépanda–ST-DIGITAL, aucune déclaration de diversité de route pour le transport d'échange Douala–Yaoundé, aucune matrice de rattachement des membres par site, aucun placement divulgué des route servers redondants, aucune description de chemin d'alimentation pour l'équipement CAMIX sur les trois sites, et aucun enregistrement au niveau du paquet de basculement d'un site. Ce sont des absences dans le dossier public, pas la preuve d'une mauvaise ingénierie.

Quatre points de vigilance devraient déterminer si le troisième site mûrit en un actif national indépendant. Le premier est la densité des membres: les grands réseaux d'accès et services de contenu établissent-ils des ports actifs et physiquement diversifiés chez ST-DIGITAL? Le deuxième est le transport: le nouveau site a-t-il un chemin indépendant de Bépanda vers le reste du tissu et un chemin résilient vers Yaoundé? Le troisième est le contrôle: le placement des route servers, la surveillance et le filtrage survivent-ils à la perte d'un site?

Le quatrième est le résultat observé: des paquets représentatifs peuvent-ils rester entre les réseaux camerounais, au Cameroun, pendant le test?

L'ordre compte. Ajouter des membres sans transport protégé peut augmenter le trafic concentré sur une liaison partagée. Ajouter une liaison inter-site sans accès membre diversifié peut laisser la plupart des points d'extrémité monotarifs. Ajouter des route servers redondants sans tester le transfert de pair à pair peut laisser une panne de couche 2 cachée. Une résilience forte n'émerge que lorsque les couches sont testées ensemble.

CAMIX devrait également résister à la tentation de réduire tout progrès à un seul nombre. « Trois points de présence », « capable de 100G », « 14 membres » et « une milliseconde » sont des signaux concis, mais chacun peut obscurcir une dépendance différente. Un tableau public de continuité avec des résultats de test datés serait plus persuasif pour les opérateurs, les utilisateurs gouvernementaux et les investisseurs car il relierait les chiffres aux résultats de pannes.

Pour l'instant, le verdict est délibérément conditionnel. Le troisième point de présence élargit l'ensemble des opportunités physiques de CAMIX et peut déjà améliorer l'accès pour certains entités de Douala. Les preuves publiques sont insuffisantes pour dire que CAMIX peut perdre un site tout en préservant un large chemin d'échange national. L'écart est comblable: cartographier les risques partagés, identifier les composants alimentés, classer les chemins membres, publier le placement du plan de contrôle, et exécuter la panne.

Lorsqu'un paquet pourra commencer sur un réseau camerounais, traverser un site CAMIX survivant, et atteindre un autre réseau camerounais après que Bépanda, ST-DIGITAL ou CAMPOST aura été délibérément supprimé — sans détour international — le troisième point de présence aura passé le test implicite de son nom. Jusqu'à ce que cette trace de paquet existe, CAMIX a trois points de présence et une proposition de résilience importante encore en attente de preuve.