O terceiro ponto de presença da CAMIX torna a resiliência local um teste do caminho Bépanda-ST-DIGITAL

Resumo

• O terceiro ponto de presença da CAMIX adiciona uma opção de conexão útil em Douala, mas os documentos públicos ainda não estabelecem que seus caminhos de comutação, transporte entre sites, energia e acesso de membros são independentes do antigo site de Bépanda.
• Os inventários públicos indicam um agregado de 40 Gbps para as portas listadas em Douala e 4 Gbps em Yaoundé, bem abaixo da capacidade reivindicada de 100 Gbps pela CAMIX; nenhum desses números indica a quantidade de tráfego nacional que permanece utilizável após a falha de um site, circuito ou route server.
• A prova mais sólida seria um exercício reproduzível de falha de um site mostrando os caminhos de membros sobreviventes, a convergência do route server, as interconexões alimentadas e o caminho de pacotes entre as redes camaronesas sem recorrer ao trânsito internacional.

O pacote que não deve sair de Camarões

Pegue um pacote enviado da rede de um provedor de acesso camaronês para um serviço hospedado atrás de outra rede camaronesa. Em condições normais, um ponto de troca de internet deve dar a esse pacote uma curta rota nacional: as duas redes anunciam sua alcançabilidade através de um tecido de comutação compartilhado, aprendem mutuamente suas rotas diretamente ou via um route server, e trocam o pacote sem comprar um desvio internacional. O pacote é uma melhor unidade de análise do que o número de alfinetes em um mapa, pois força cada dependência a ser visível.

Ele requer um cliente edge ativo, um circuito de acesso ativo, uma porta alimentada, um caminho de comutação funcional, um anúncio BGP válido e um caminho de saída ativo para o destino.

A CAMIX descreve sua missão nestes termos. Sua página institucional indica que o ponto de troca, gerenciado por seus membros e sem fins lucrativos, visa manter o tráfego nacional local, melhorar a qualidade de serviço e reduzir a dependência de links internacionais. Este objetivo é mais exigente do que manter um site ou um switch online. Um ponto de troca local só assegura a continuidade quando o pacote nacional ainda tem um caminho de ponta a ponta nacional.

Se uma entidade perder seu único cabo para a troca, ou se dois sites nominalmente separados dependerem do mesmo circuito interurbano, um switch operacional em outro lugar não salva o pacote.

O novo site esclarece a questão. Em um anúncio de 7 de abril de 2026, a CAMIX identificou um terceiro ponto de presença no data center ST-DIGITAL em Douala, ao lado de CAMTEL Bépanda em Douala e CAMPOST em Yaoundé. A CAMIX apresentou o site como um carrier hotel e indicou que INK e ST-DIGITAL estavam inicialmente conectados, com SANCFIS e Afri-IX preparando conexões e discussões em andamento com Orange, MTN e CAMTEL. Estas são indicações úteis de intenção e ocupação inicial.

Elas não dizem quais das redes nomeadas transportavam tráfego de produção através deste site na data de publicação, se alguma rede tinha uma conexão independente simultânea em dois sites da CAMIX, ou como o tráfego se moveria após o desaparecimento de Bépanda.

A página inicial pública da CAMIX atribui três outros números-chave à troca: mais de 12 membros ativos, uma capacidade de circuito Ethernet 100G e uma latência local de um milissegundo. Cada número descreve uma coisa diferente, e nenhum é um resultado de resiliência. Uma porta ou tecido pode ser capaz de 100 Gbps mesmo quando as portas dos membros conectados totalizam muito menos. Uma latência de um milissegundo pode descrever um caminho local bem-sucedido em condições normais, mas não diz nada sobre a rota tomada em caso de falha.

Um número de membros pode incluir conteúdo, serviços de infraestrutura e redes de acesso com diferentes esquemas de conexão. O número relevante durante uma falha é o número de entidades e prefixos alcançáveis independentemente no tecido sobrevivente.

Essa distinção é central porque a promessa pública do terceiro site não é apenas mais espaço em rack. É a possibilidade de separar domínios de falha. O antigo site de troca de Douala está na CAMTEL Bépanda; o novo está em outra instalação em Douala. Em princípio, essa separação poderia proteger o tráfego de troca local de uma falha de edifício, um evento de manutenção, um switch defeituoso ou um corte de fibra localizado.

Na prática, a proteção só existe se as duas instalações estiverem ligadas por um caminho que não falhe com o site original, se o site sobrevivente tiver seu próprio equipamento de troca alimentado, se os circuitos dos membros o alcançarem independentemente, e se as sessões do plano de controle reconvergirem sem deixar próximos saltos obsoletos ou inutilizáveis.

Três endereços, mas quantos domínios de falha?

As próprias descrições da CAMIX estabelecem uma pegada de três locais nos locais nomeados. Sua FAQ identifica CAMPOST Yaoundé, CAMTEL Bépanda em Douala e ST-DIGITAL em Douala, e descreve portas de membros de 1 Gbps a 100 Gbps. A lista de membros separada exibe 14 entradas ativas, incluindo operadores de acesso, redes e serviços de infraestrutura ou conteúdo. Essas páginas são declarações úteis de primeira parte, mas suas categorias não devem ser combinadas em uma afirmação de que 14 redes estão conectadas independentemente nos três locais. As páginas não publicam uma matriz de portas por site.

Dois registros externos mostram por que 'três pontos de presença' e 'três sites de troca operando independentemente' não devem ser tratados como sinônimos. O registro organizacional PeeringDB da CAMIX descreve três pontos de presença separados — dois em Douala e um em Yaoundé — mas remete a dois registros de troca, um para Douala e um para Yaoundé. O registro da troca de Douala lista CAMTEL Bépanda como instalação local e mostra dez conexões cujas capacidades exibidas totalizam 40 Gbps.

ST-DIGITAL aparece como uma rede conectada, mas a página não identifica o data center da ST-DIGITAL como uma segunda instalação local para esse registro de troca. A ausência pode refletir manutenção atrasada do registro, não uma realidade física; no entanto, significa que o registro atualmente não pode corroborar a topologia física do terceiro site.

O mesmo cuidado se aplica à Packet Clearing House. Sua entrada CAMIX Douala identifica uma troca ativa em Douala na CAMTEL Bépanda, enquanto sua entrada CAMIX Yaoundé identifica o local CAMPOST. Esses são instantâneos de diretório, não levantamentos de cabos. Seu valor reside em confirmar a pegada mais antiga de duas cidades e fornecer observações datadas que podem ser comparadas com a nova reivindicação da CAMIX. Eles não revelam se a ST-DIGITAL tem um switch de troca dedicado, uma extensão remota para Bépanda, ou um arranjo intermediário.

Uma página mantida pela comunidade oferece uma imagem mais granular, mas ainda provisória. A página da federação cmNOG Cameroon IXP nomeia CAMIX-Yde01, CAMIX-Dla01 e CAMIX-Dla02, colocando Dla02 na ST-DIGITAL e registrando uma data de final de 2024 com três pares. Esta entrada apoia a existência de uma terceira identidade operacional antes do anúncio de 2026, mas introduz uma cronologia que as outras páginas públicas não explicam. Pode descrever uma implantação inicial, uma fase de teste, um relançamento ou simplesmente uma página atualizada em um cronograma diferente. Ainda não publica um diagrama de caminho físico.

A conclusão responsável é estreita: três nomes de sites reaparecem em registros de primeira parte, de registros e da comunidade, enquanto a independência das dependências no nível do site permanece não comprovada.

A independência física tem várias camadas. Endereços diferentes protegem contra certos incidentes de edifício, mas não contra um duto metropolitano compartilhado. Racks separados protegem contra trabalho acidental em um armário, mas não contra uma unidade de distribuição de energia compartilhada no topo do rack. Switches separados protegem contra falha de hardware, mas não contra um único erro de gerenciamento remoto aplicado a cada dispositivo.

Geradores separados protegem contra uma interrupção da rede apenas se as ópticas de interconexão, os equipamentos de transmissão dos operadores e os roteadores dos membros também receberem energia de backup. Um segundo site alcançado apenas através do primeiro site protege contra muito pouco quando o primeiro site é a falha testada.

As diretrizes da indústria tornam essa hierarquia explícita. As recomendações físicas da Euro-IX tratam o design multi-site como uma forma de melhorar a independência geográfica e de desastres, mas também observam que a resiliência dos membros depende de roteadores duplos, interfaces e escolhas de acesso. Em outras palavras, um operador de troca pode construir um núcleo diversificado enquanto um membro individual permanece com tarifa única. Inversamente, um membro pode comprar dois circuitos que convergem em um único switch de troca ou duto comum. Ambas as perspectivas devem ser demonstradas.

O terceiro site da CAMIX é, portanto, melhor compreendido como uma hipótese de resiliência, ainda não o resultado. Seu novo domínio de falha deve ser demonstrado através de pelo menos cinco limites: edifício, energia, comutação de troca, transporte entre sites e acesso das entidades. As evidências públicas atualmente cruzam o primeiro limite — os locais são nomeados separadamente — e oferecem indicações no nível da instalação para a energia. É fina para os outros três. Isso não diminui o valor estratégico da expansão. Isso define o que deve ser medido antes que o valor possa ser traduzido em uma afirmação de continuidade.

O caminho Bépanda-ST-DIGITAL é o mapa faltante

O documento mais importante faltante é um mapa físico e lógico atual dos dois sites de Douala. Um mapa útil identificaria os switches de troca em Bépanda e ST-DIGITAL, cada link entre sites, a transportadora ou operadora responsável por cada segmento, a diversidade de rota entre os edifícios, os pontos de handoff óptico e elétrico, e se o terceiro site pode alcançar os membros de troca sobreviventes quando Bépanda está fora de serviço. Também separaria a capacidade própria da troca dos circuitos de acesso dos membros. Nenhum dos documentos públicos examinados fornece este mapa.

A página de serviço de peering da CAMIX atribui um tecido de camada 2 de mais de 100 Gbps, route servers BGP redundantes, filtragem RPKI e IRR, suporte IPv4 e IPv6, e portas de 1, 10 e 100 Gbps à troca. Essas declarações descrevem capacidades, não a topologia. 'Camada 2' poderia abranger switches independentes unidos em um anel protegido, uma estrela centrada em um site, uma única extensão entre sites, ou vários outros designs. 'Route servers redundantes' poderiam significar dois processos em hardware separado em um edifício, servidores distribuídos entre os sites, ou instâncias virtuais resilientes compartilhando uma dependência oculta.

Sem informações de posicionamento e caminho, nenhuma dessas interpretações pode ser escolhida como fato.

O quadro nacional de fibra pública dá contexto, mas não pode substituir um mapa de troca. O Ministério dos Correios e Telecomunicações de Camarões descreveu um programa de backbone nacional com milhares de quilômetros de fibra e um loop de 55 quilômetros em Douala, enquanto observava planos para um loop metropolitano de Yaoundé. Esta é uma evidência de infraestrutura de fibra nas cidades envolvidas. Isso não estabelece quais pares, dutos ou serviços de transporte a CAMIX utiliza, nem se a troca tem diversidade contratual ou física sobre eles.

A CAMTEL argumentou separadamente que seu backbone inclui uma rota redundante Douala–Bafoussam–Yaoundé. Essa afirmação pode ser relevante para a continuidade nacional, especialmente se a CAMIX comprar ou receber serviços em caminhos de backbone distintos. Nenhum documento público da CAMIX examinado aqui conecta o terceiro site a essa redundância, declara a capacidade protegida disponível para a troca, ou mostra que um circuito de membro para ST-DIGITAL evita o mesmo segmento CAMTEL usado para alcançar Bépanda. O escopo do backbone e o escopo da troca não são automaticamente o mesmo ativo.

Há uma razão prática para insistir em um roteamento exato. Uma declaração da Orange Camarões republicada após interrupções em setembro de 2024 atribuiu a instabilidade em Douala, Yaoundé e outros lugares a múltiplos cortes de fibra afetando as conexões de backbone entre as duas cidades. Este episódio não é uma prova de que a CAMIX falhou ou que um circuito de troca específico estava na rota afetada. É uma prova de que serviços aparentemente separados podem compartilhar um corredor cuja perturbação atinge ambas as metrópoles.

Um design de resiliência deve ser avaliado contra este evento correlacionado, não apenas contra uma falha de dispositivo única e limpa.

A questão do caminho de Douala tem duas versões. A primeira é intra-cidade: se o switch de troca de Bépanda, a energia do edifício ou as abordagens de fibra imediatas falharem, a ST-DIGITAL pode continuar trocando tráfego entre os membros fisicamente presentes lá? A segunda diz respeito a todo o tecido: os membros conectados apenas a Bépanda ainda podem ser alcançados através de um circuito alternativo, ou desaparecem até que sua própria conexão diversificada se torne ativa? A primeira versão pode ser resolvida na nova instalação com membros locais e rotas locais.

A segunda requer diversidade de ambos os lados da troca: um link central sobrevivente e um acesso de membro sobrevivente.

A distinção também impede uma interpretação enganosa do termo 'carrier hotel'. Uma instalação neutra pode oferecer muitas operadoras e opções de interconexão, o que é valioso. Mas a escolha no ponto final não prova caminhos diversificados depois que esses cabos saem do edifício. Dois serviços de operadora podem compartilhar um duto, uma plataforma óptica, uma ponte, um risco de corte na beira da estrada ou uma operadora de transporte upstream comum. Um mapa de caminho apropriado deve, portanto, mostrar grupos de risco compartilhado em vez de apenas nomes de fornecedores.

Quando as rotas de fibra exatas não podem ser tornadas públicas por razões de segurança ou comerciais, a CAMIX ainda pode publicar uma topologia abstrata com atestações de caminho independente, datas de teste e descrições limitadas das dependências comuns.

Até que tais evidências apareçam, a leitura mais defensável é que a ST-DIGITAL adiciona um local distinto para se conectar em Douala e pode adicionar um ponto de comutação local distinto. Se isso cria ou não um caminho de troca sobrevivível independentemente permanece uma questão operacional em aberto. Não é um pedido de coordenadas comercialmente sensíveis. É um pedido pela informação mínima necessária para distinguir um terceiro domínio de falha de um terceiro ponto de extremidade.

Yaoundé transforma uma questão metropolitana em questão nacional

CAMPOST Yaoundé não é apenas mais um rack no tecido de Douala. É o site que transforma a afirmação de continuidade da CAMIX de uma resiliência metropolitana para uma resiliência nacional. Se um incidente grave em Douala remover os dois locais de troca de Douala, um tecido funcional em Yaoundé ainda poderia manter o tráfego local entre as redes independentemente conectadas lá. Se o transporte interurbano sobreviver, mas um site de Douala falhar, Yaoundé também poderia fazer parte de um caminho de troca alternativo. Ambos os resultados dependem de quem está conectado, a que capacidade e em quais rotas físicas.

O registro da troca de Yaoundé no PeeringDB exibe atualmente quatro conexões de 1 Gbps, totalizando 4 Gbps. As redes listadas — CAMTEL, Matrix Telecoms, MTN Cameroon e Newtelnet — também aparecem no registro da troca de Douala. Essa sobreposição é potencialmente valiosa, pois a presença em ambas as cidades pode apoiar a continuidade geográfica. O registro não especifica se as duas conexões de cada operadora usam roteadores, fontes de alimentação e transportes independentes, nem se anunciam ativamente a mesma alcançabilidade em ambos os sites. Portanto, indica uma oportunidade multi-site, não um failover comprovado.

O registro da instalação fornece evidências também limitadas. A entrada de instalação CAMPOST no PeeringDB associa o site à CAMIX Yaoundé e lista um pequeno número de redes. Ela não divulga subestações elétricas diversificadas, alimentação dos switches de troca, entradas de operadoras ou rota dos circuitos dos membros. A entrada de instalação CAMTEL Bépanda correspondente identifica o antigo local de Douala e uma presença de rede maior, mas também não contém detalhes públicos de diversidade de subestação. Essas omissões não devem ser lidas como prova de que a diversidade está ausente.

Elas mostram que um registro de instalação sozinho não pode responder à questão da continuidade.

O Internet Society Pulse adiciona uma síntese datada do mesmo material de registro. Sua página de monitoramento CAMIX Douala reportava 40 Gbps de capacidade visível e dez sistemas autônomos em maio de 2026. Sua visão de monitoramento CAMIX Yaoundé reportava 4 Gbps e quatro sistemas autônomos em um instantâneo do final de 2025. Esses números são úteis para comparar as bordas publicamente listadas dos dois tecidos. Eles herdam as limitações e a cadência de atualização do registro subjacente; não são medições em tempo real do tráfego, margem ou sobrevivência a falhas.

A assimetria é importante. Se o total de conexão visível em Douala é dez vezes o total de Yaoundé, uma perda completa de Douala poderia deixar muito menos capacidade de troca disponível nacionalmente, mesmo quando cada porta de Yaoundé funciona. A capacidade sozinha não é a única restrição: as quatro redes sobreviventes podem não originar ou fornecer caminhos para todos os destinos nacionais normalmente trocados em Douala. Os caches de conteúdo presentes apenas em Douala poderiam desaparecer do caminho local.

Um usuário ainda poderia alcançar o conteúdo via trânsito internacional, mas isso não satisfaria o teste mais restrito de continuidade nacional.

A direção inversa também importa. Se CAMPOST falhar, as redes com conexões verdadeiramente independentes em Douala devem continuar trocando localmente. No entanto, um membro de Yaoundé cuja presença em Douala é alcançada através de um serviço interurbano comum poderia perder ambas as conexões lógicas a partir de um único evento de transporte. Os rótulos multi-cidades são mais fortes quando acompanhados por diversidade no nível do roteador e do circuito. São mais fracos quando uma porta remota é efetivamente uma extensão remota da mesma borda do membro.

A análise da Internet Society sobre peering local e remoto, The Peering Disconnect, explica o trade-off mais amplo. A conexão remota pode estender os benefícios de uma troca para redes que não podem se colocalizar localmente, mas a concentração em intermediários e infraestrutura remota também pode criar dependências ocultas. Para a CAMIX, o acesso remoto pode ser comercial e geograficamente necessário. Deve ser descrito separadamente da conexão fisicamente diversificada para que os membros entendam quais falhas cada arranjo sobrevive.

Yaoundé deve, portanto, ser avaliado como sua própria ilha de continuidade e como um nó em um tecido nacional. O teste da ilha pergunta quais entidades podem trocar dentro de Yaoundé com todas as dependências de Douala removidas. O teste do tecido nacional pergunta quais rotas e tráfego podem se mover entre os sites sobreviventes após a falha de um único caminho entre sites. Publicar ambos os resultados mostraria se a CAMIX tem três locais operacionais ou um sistema verdadeiramente resiliente de três sites.

As portas anunciadas não são a capacidade sobrevivente a uma falha

Os números de capacidade em torno da CAMIX referem-se a pelo menos quatro camadas diferentes. Há a velocidade máxima de um produto ou porta, a capacidade de comutação instalada, a soma das portas de membros contratadas ou listadas, e o tráfego que pode realmente ser transportado após uma falha. O número atribuído de 100G pela CAMIX parece descrever a primeira ou segunda camada. Os totais visíveis nos registros — 40 Gbps em Douala e 4 Gbps em Yaoundé — descrevem porções da terceira. Nenhum mede diretamente a quarta.

As descrições de serviço da CAMIX são intrinsecamente consistentes quanto à oferta de interfaces de alta velocidade. Sua página de peering lista portas de 1, 10 e 100 Gbps; sua FAQ descreve a mesma faixa. Sua reivindicação de capacidade 100G é plausível como capacidade de equipamento e pode refletir uma interconexão ou interface de comutação de 100 Gbps. As páginas públicas não identificam um membro usando uma porta de 100 Gbps, o backplane total instalado em cada site, ou a capacidade dos links Bépanda–ST-DIGITAL e Douala–Yaoundé.

Um tecido com uma interface de 100 Gbps ainda poderia ser limitado por um caminho entre sites de 10 Gbps ou por um acesso de membro de 1 Gbps.

Os registros PeeringDB oferecem uma aritmética transparente, mas incompleta. As conexões exibidas em Douala totalizam 40 Gbps; as de Yaoundé totalizam 4 Gbps. Estes são valores nominais de porta fornecidos através de um registro comunitário, não necessariamente taxas de informação garantidas ou capacidades atualmente acesas. Algumas conexões pertencem a serviços de troca ou route servers, não a redes de acesso finais. Uma porta nominal pode transportar pouco tráfego, ser reservada para um serviço, ou ficar indisponível durante manutenção. Inversamente, uma nova porta ativa pode existir antes que o registro seja atualizado.

Os totais devem ser rotulados como capacidade de porta conectada exibida em uma determinada data, não como throughput de troca medido.

A Packet Clearing House ilustra a importância do carimbo de data/hora. Seus diretórios de troca são observações externas úteis, mas os campos de entidade, capacidade e tráfego podem mudar entre os instantâneos à medida que os registros são atualizados. Um valor de diretório único não deve ser promovido a fato técnico duradouro. A capacidade de troca da internet é particularmente sujeita a erros de categoria porque a taxa de tráfego, a capacidade da porta e a capacidade de comutação usam todos bits por segundo, mas descrevem restrições diferentes.

A capacidade utilizável após falha requer um cálculo mais exigente. Suponha que Bépanda contenha a maioria das portas de membros visíveis e que ST-DIGITAL tenha apenas seus dois ocupantes inicialmente nomeados. Perder Bépanda poderia remover a maioria dos pontos de extremidade antes que o link entre sites se torne um gargalo. Suponha, em vez disso, que os principais membros estejam duplamente conectados, mas que ambos os circuitos de acesso compartilhem um duto. A soma nominal superestimaria a capacidade sobrevivente. Ou suponha que cada circuito físico sobreviva enquanto uma falha de route server retira um grande conjunto de rotas.

A capacidade elétrica e óptica permaneceria, mas a capacidade roteada utilizável poderia cair drasticamente.

Uma declaração de capacidade crível após uma falha de site requer, portanto, uma matriz, não um único número. Para cada cenário de falha, deve mostrar a capacidade de comutação de troca sobrevivente, a capacidade entre sites sobrevivente, as portas de membros sobreviventes, o número esperado de rotas, o tráfego de pico observado e a margem disponível. Deve indicar se a capacidade está instalada, ligada, alimentada, operacional e transportando tráfego representativo. Deve distinguir a capacidade protegida da capacidade que se torna indisponível com o site com falha.

O registro de rede dos serviços CAMIX reforça a necessidade de rótulos de escopo. Ele identifica CAMIX Services sob AS328091, lista uma conexão de 1 Gbps em Douala e associa a rede a CAMPOST e CAMTEL Bépanda. Esta é uma evidência sobre uma rede de serviços de troca, não o tamanho do tecido de comutação. O registro do route server CAMIX identifica AS37718 como a rede do route server. Mais uma vez, um registro de sistema autônomo confirma uma identidade de plano de controle; não revela o posicionamento do host do route server, a distribuição das sessões ou a capacidade de encaminhamento.

A telemetria de tráfego pública ajudaria a reconciliar as categorias, mas a página looking-glass da CAMIX indica que a visualização BGP deve se tornar disponível, em vez de apresentar uma visualização pública atual. Um looking glass sozinho não mostraria a diversidade física, mas poderia revelar a disponibilidade de rotas, o comportamento do próximo salto e a convergência em torno de manutenções anunciadas. Gráficos de tráfego por site, o estado das sessões dos route servers e tabelas de capacidade datadas permitiriam que membros e pesquisadores testassem se a capacidade anunciada corresponde ao uso operacional.

A conclusão correta atual não é que a CAMIX carece de capacidade. É que as evidências públicas suportam vários números atribuídos de capacidade e conexão cujos escopos diferem. O número 100G deve permanecer ligado à própria descrição da CAMIX. Os totais de 40 Gbps e 4 Gbps devem permanecer ligados às visualizações de registro datadas. A capacidade utilizável após falha permanece não divulgada e não deve ser inferida somando ou comparando esses números sem cenário.

Os membros se conectam a tecidos, não a um registro

A adesão é institucionalmente importante, mas uma análise de resiliência precisa de detalhes de conexão. O registro público da CAMIX contém 14 entradas, enquanto a página inicial usa a expressão mais frouxa '12+ membros ativos' e o anúncio do terceiro site nomeia duas conexões iniciais mais várias prospectivas. Essas declarações podem ser todas verdadeiras em datas diferentes ou sob definições diferentes. Elas não estabelecem quantas redes de produção estão conectadas a cada switch, quantas anunciam rotas, ou quantas têm acesso diversificado.

A unidade central é um caminho de membro. Começa em um roteador de entidade, atravessa uma interconexão local ou um serviço de acesso remoto, atinge uma porta de troca e termina em um domínio de comutação a partir do qual outras entidades são alcançáveis. Um membro resiliente tem pelo menos dois caminhos que não compartilham a falha contra a qual se protege. Duas VLANs lógicas em uma única fibra não são dois caminhos físicos. Duas fibras em um duto podem proteger contra uma falha óptica, mas não contra uma escavação. Duas portas em um roteador podem proteger contra uma falha de porta, mas não contra uma falha de roteador ou energia.

Dois sites de troca alcançados pelo mesmo hub de transporte podem não proteger contra a perda desse hub.

A imagem inicial dos membros da ST-DIGITAL é encorajadora, mas estreita. A CAMIX nomeou INK e ST-DIGITAL como conectados e descreveu outras organizações em diferentes estágios de engajamento. Essa redação não deve ser convertida na suposição de que cada entidade prospectiva já troca rotas ou tráfego. Nem a presença de um operador de data center em sua própria instalação deve ser contada como prova de que as grandes redes de acesso têm circuitos de último quilômetro independentes lá.

Uma nota técnica do cmNOG mostra como os detalhes operacionais podem mudar a interpretação. Um rascunho de ata de reunião de setembro de 2024 discutia um link de trânsito ponto a ponto MTN para um cache Cloudflare no antigo site de Douala, observava perda de pacotes de uma vista, identificava a necessidade de um segundo link físico para Dla01, e antecipava uma presença posterior em Dla02. A ata é provisória, datada e específica a um arranjo; não pode estabelecer o estado atual de MTN, Cloudflare ou CAMIX. Seu valor é diagnóstico.

Mostra que os segundos caminhos físicos e a presença no novo site eram tratados como tarefas de engenharia concretas, não consequências automáticas da adição de um local.

Esta lição se aplica às quatro redes que aparecem em ambos os registros de troca PeeringDB. Listagens simultâneas em Douala e Yaoundé são evidência de presença lógica multi-site. Para transformar isso em evidência de continuidade, a CAMIX ou as entidades devem indicar se usam roteadores de borda separados, caminhos de operadora ou auto-construídos separados, entradas de edifício separadas e anúncios de rotas ativas em ambos os sites. Uma falha controlada poderia então verificar se o tráfego se move para o caminho sobrevivente em um intervalo de convergência observado.

A composição do registro também afeta o resultado 'permanecer nacional'. Uma troca pode manter um pacote local apenas se o prefixo de destino ou uma rota local válida permanecer alcançável no site sobrevivente. Se um provedor de acesso sobreviver, mas um cache de conteúdo estiver conectado apenas no site com falha, os usuários podem recorrer a uma cópia internacional. Se uma instituição pública tiver apenas uma conexão local, o tráfego governamental para os usuários pode sair do caminho de troca nacional, mesmo que as redes comerciais permaneçam conectadas.

A continuidade deve, portanto, ser medida por rota e categoria de serviço, não apenas por número de entidades.

O programa MANRS para trocas de internet adiciona uma dimensão de segurança de roteamento. Suas expectativas incluem filtragem baseada em informações de rota autoritativas, proteção da plataforma de troca, coordenação de incidentes e fornecimento de informações de roteamento úteis aos membros. Essas práticas reduzem o risco de um tecido sobrevivente transportar uma alcançabilidade ruim após uma falha. Elas não substituem a diversidade física; tornam o plano de controle sobrevivente mais confiável.

A confidencialidade dos membros não é um obstáculo para uma divulgação significativa. A CAMIX poderia publicar classes de conexão anonimizadas: colocalizado com tarifa única, colocalizado com tarifa dupla, conectado remotamente em um caminho, conectado remotamente em caminhos protegidos, e presente em dois ou três sites. Poderia associar essas contagens ao número de sessões BGP ativas e prefixos por site. As grandes entidades poderiam voluntariamente publicar suas próprias afirmações de diversidade. O resultado seria muito mais útil do que um simples registro de logotipos, preservando os detalhes sensíveis dos circuitos.

Até lá, as evidências visíveis suportam uma conclusão modesta. A CAMIX tem uma comunidade mais ampla do que as portas exibidas em um único registro externo, e o terceiro site atraiu uma conexão inicial. O número de caminhos de membros que sobrevivem à perda de Bépanda, ST-DIGITAL ou CAMPOST não está estabelecido publicamente. Essa incógnita está diretamente entre a afirmação de três pontos de presença e o resultado de continuidade nacional.

O route server pode falhar enquanto os switches continuam transmitindo

A resiliência das trocas de internet é frequentemente discutida como se fosse puramente uma questão de fibra e energia. O route server mostra por que isso é incompleto. Um route server aceita as rotas BGP das entidades e distribui informações de alcançabilidade selecionadas para outros clientes, reduzindo a necessidade de cada membro estabelecer uma sessão bilateral com cada par. Ele normalmente permanece fora do caminho de dados: os pacotes fluem diretamente entre os roteadores das entidades usando o próximo salto aprendido via BGP.

A RFC 7947 formaliza essa separação. Um route server serve como intermediário para as informações do plano de controle, preservando o próximo salto da entidade em vez de encaminhar os pacotes do usuário. Isso significa que um host route server pode falhar enquanto as rotas já aprendidas continuam sendo encaminhadas até que os timers BGP, retiradas ou mudanças de política entrem em vigor. Isso também significa que um route server saudável pode anunciar um caminho cujo próximo salto do plano de dados está inacessível devido a uma falha de camada 2. Um plano de controle verde não garante a entrega de pacotes.

A RFC 7948 descreve as práticas operacionais para route servers, incluindo o valor de servidores múltiplos e as proteções contra vazamentos de rotas. Ela também destaca uma falha de camada 2 não transitiva: dois clientes podem cada um alcançar o route server enquanto são incapazes de se alcançar mutuamente. Este cenário é muito relevante para uma troca multi-site. Se o route server estiver em um ponto acessível de Bépanda e ST-DIGITAL, mas o caminho de entidade para entidade através do tecido estiver quebrado, as sessões BGP podem permanecer estabelecidas enquanto os pacotes nacionais falham.

A CAMIX indica que opera route servers BIRD redundantes. A declaração é útil, mas a resiliência depende da localização desses servidores e do que eles compartilham. Dois processos em um único host protegem contra falha de processo de software, mas não contra falha de host. Dois hosts em um rack protegem contra falha de host, mas podem compartilhar um switch, energia e um edifício. Dois hosts em sites diferentes melhoram a separação física, mas ainda podem depender de um caminho de controle entre sites ou de uma configuração comum. O registro público AS37718 identifica a identidade do route server, não esse posicionamento.

O route server também molda o comportamento em caso de falha dos membros que dependem exclusivamente dele. Uma entidade com sessões de peering bilaterais pode reter algumas rotas nacionais quando cada route server está indisponível. Uma entidade que aprende todas as rotas de troca apenas do route server pode reter rotas obsoletas temporariamente e depois perdê-las, dependendo do estado da sessão e dos timers. Uma entidade conectada a dois sites pode receber dois caminhos, mas selecionar um com base em atributos que não correspondem à diversidade física.

A topologia das sessões BGP deve, portanto, ser testada em paralelo com a topologia dos cabos.

As recomendações de gerenciamento da Euro-IX advertem que um route server pode se tornar um ponto único de falha e recomendam vários servidores, monitoramento sólido e observação de tráfego. Para a CAMIX, o teste deve ser específico ao site. A remoção do route server ou da conexão de controle em Bépanda não deve impedir que os membros de ST-DIGITAL e Yaoundé aprendam rotas sobreviventes válidas. A remoção de ST-DIGITAL não deve deixar próximos saltos apontando para portas de entidades inacessíveis.

A remoção do link interurbano deve produzir duas ilhas internamente consistentes, em vez de um conjunto de sessões enganosamente saudáveis com encaminhamento quebrado.

O tempo de convergência deve ser relatado como uma distribuição, não um mínimo de marketing. Deve incluir a detecção de perda de sessão BGP, a retirada ou substituição de rota, a atualização da tabela de encaminhamento e o primeiro pacote representativo bem-sucedido no caminho sobrevivente. Diferentes membros podem usar diferentes timers e políticas, então uma rota pode se recuperar enquanto outra permanece indisponível. O exercício também deve detectar oscilação de rota e failover acidental via trânsito internacional, que pode fazer um serviço parecer restaurado enquanto frustra o objetivo de continuidade nacional.

A segurança do roteamento deve permanecer ativa durante o evento. Se o failover fizer uma entidade anunciar um conjunto de prefixos mais amplo ou diferente, os filtros do route server devem aceitar apenas as origens autorizadas e as rotas em conformidade com a política. As verificações RPKI e de registro ajudam, mas seus caches locais, validadores e conexões de gerenciamento também têm dependências. Um teste completo registra se a filtragem e o monitoramento permanecem disponíveis quando o site que hospeda um desses serviços de suporte é removido.

A CAMIX pode demonstrar isso sem expor a política de roteamento individual. Pode publicar o número de instâncias de route server, os domínios de falha em que estão colocadas, o número de sessões ativas por site, a fração de rotas disponíveis após cada teste e um resultado de convergência limitado. Pode também mostrar uma alcançabilidade sintética entre prefixos de teste em cada local. Esses dados ligariam sua afirmação de route servers redundantes a um resultado operacional observável.

A independência de energia termina no handoff não alimentado mais fraco

A ST-DIGITAL oferece à CAMIX uma instalação que enfatiza publicamente a continuidade. A página do data center da operadora descreve o site de Douala como uma instalação Tier III com redundância elétrica, refrigeração de precisão e múltiplas opções de conectividade. Um anúncio de certificação OIX-2 identifica DLA01 como um site de data center certificado com uma sala de encontro e serviços de interconexão. Esses registros apoiam a caracterização da ST-DIGITAL como um ambiente neutro especialmente projetado. Eles não certificam o caminho de energia preciso do switch, óptica ou interconexões de membros da CAMIX.

A ST-DIGITAL publicou afirmações de continuidade excepcionalmente específicas em um relato de suas medidas energéticas. A operadora indica que os geradores podem suportar a carga total por 48 horas, com combustível adicional armazenado prolongando esse período, que a autonomia da bateria excede 18 horas, e que os equipamentos são testados mensalmente. Estes são números atribuídos pela operadora, não resultados de autonomia observados independentemente. Eles estabelecem a capacidade pretendida da instalação e identificam afirmações testáveis.

Uma avaliação de site Open Compute Project fornece mais detalhes através de uma autoavaliação: duas alimentações de utilidade, três geradores, uma bateria, uma carga crítica de TI declarada e uma lista de operadoras. Seu formato torna a proveniência clara — a instalação forneceu as respostas. É uma evidência útil sobre a redundância projetada no DLA01, não a prova de que cada componente CAMIX é duplamente alimentado ou que as operadoras saem por rotas fisicamente diversas.

O princípio do handoff mais fraco conta porque um caminho de troca atravessa equipamentos pertencentes a várias partes. As alimentações de utilidade da instalação podem ser diversas enquanto o switch CAMIX tem uma única alimentação. O switch pode ser duplamente alimentado enquanto um conversor de mídia ou amplificador óptico tem uma única alimentação. Ambos podem ser protegidos enquanto um roteador membro depende de um circuito não protegido. O data center pode funcionar por dias enquanto um armário de operadora fora da sala protegida perde energia.

Cada condição quebra o caminho do pacote mesmo que a instalação principal permaneça operacional.

A independência de energia também tem um lado geográfico. Um problema na rede pode afetar um distrito, enquanto a logística de combustível, calor extremo ou um erro no sistema de controle podem criar riscos comuns mais amplos. O exame da Internet Society sobre apagões em hubs de internet, Blackouts and Byteouts, descreve como as instalações usam geradores e baterias, mas ainda podem encontrar dependências em cascata no resfriamento, combustível e redes circundantes. A lição para a CAMIX não é que as proteções da ST-DIGITAL são inadequadas.

É que a resiliência da instalação deve ser acompanhada pela resiliência do dispositivo de troca e da rede de acesso.

Os sites antigos exigem o mesmo nível de evidência. CAMPOST Yaoundé e CAMTEL Bépanda são locais nomeados, mas as páginas públicas examinadas não detalham suas alimentações de utilidade, autonomia dos geradores, estado das baterias, redundância de refrigeração ou alocação de carga da CAMIX. Seria errado inferir que eles carecem de backup simplesmente porque os detalhes públicos são escassos. Seria igualmente errado supor que três sites alimentados têm resistência equivalente.

Um teste de energia útil isolaria cada site da alimentação de utilidade em condições controladas e observaria o caminho de troca completo. O registro deve mostrar a transferência para a bateria e o gerador, a disponibilidade do switch e do route server, a continuidade do sinal óptico, a continuidade das sessões dos membros, temperatura, estado do combustível e o desempenho de qualquer handoff de operadora servindo o site. Deve incluir a restauração, pois o retorno à alimentação de utilidade pode causar uma interrupção.

Um teste controlado mais curto pode verificar o comportamento de transição; um exercício de instalação mais longo pode testar a resistência e as suposições de reabastecimento.

Os resultados de energia devem ser expressos por dependência. 'O data center permaneceu online' é um resultado. 'O tecido CAMIX e os caminhos de membros representativos permaneceram operacionais' é um resultado mais forte. 'O tráfego nacional entre prefixos selecionados permaneceu local durante todo o teste' é o resultado alinhado com o objetivo público da troca. Os três não devem ser confundidos.

O terceiro site melhora as opções da CAMIX porque coloca uma presença de troca em uma instalação com ambições de continuidade documentadas e um ambiente de interconexão neutro. Sua contribuição para a resiliência se torna mensurável quando a CAMIX identifica os componentes de troca alimentados, confirma o uso de alimentações diversas, testa os handoffs de operadoras e mostra que os membros podem usar os caminhos sobreviventes. As referências da instalação são um ponto de partida sólido, não a prova final no nível do pacote.

O que a falha de um site faria ao tráfego nacional

Nenhum documento público único responde atualmente à contraparte central: se um site CAMIX desaparecer, qual tráfego nacional permanece interno? As evidências permitem limitar os resultados prováveis, desde que sejam rotulados como inferências em vez de observações.

Comecemos por Bépanda. O registro público da troca de Douala coloca a instalação de troca lá e lista a maioria das conexões visíveis de Douala. Se Bépanda hospedar um switch central ou um link entre sites essencial, sua perda poderia remover tanto as portas locais quanto a alcançabilidade remota. Se a ST-DIGITAL tiver um switch autônomo, um route server sobrevivente e membros locais, parte do tráfego entre esses membros pode continuar. Saber se eles podem alcançar o resto da CAMIX depende de um caminho independente de Bépanda para Yaoundé ou para outras entidades sobreviventes.

Como esse caminho não é público, a fração do tráfego nacional que permanece local não pode ser calculada.

Removamos agora ST-DIGITAL. Os registros de Bépanda e Yaoundé indicam que uma troca existia antes da expansão do terceiro site, então grande parte da conectividade anteriormente estabelecida pode continuar. O tráfego afetado incluiria os membros ou serviços conectados apenas no novo site e qualquer caminho cujo transporte passa inadvertidamente por ele. O impacto pode ser pequeno no geral, mas grave para uma entidade particular. Gráficos de tráfego agregado sozinhos não identificariam essa perda.

Removamos CAMPOST Yaoundé. Os dois locais de Douala poderiam, em princípio, continuar a troca metropolitana, e o total maior de portas Douala exibido sugere mais capacidade visível lá. No entanto, as entidades ou caminhos de acesso apenas em Yaoundé desapareceriam. As redes listadas em ambas as cidades poderiam se mudar para Douala se sua presença dupla for física e eletricamente independente. Se seu caminho Douala depender da mesma rota interurbana com falha, o rótulo de dois sites do registro não se traduziria em sobrevivência.

Há também falhas que não respeitam os limites dos sites. Um corte em um corredor compartilhado Douala–Yaoundé poderia dividir a troca em ilhas metropolitanas, deixando cada edifício alimentado. Um erro de configuração poderia afetar todos os switches ou route servers de uma vez. A perda de um serviço comum de autenticação, monitoramento ou validação RPKI poderia degradar o controle sem remover o tecido de encaminhamento. Um evento de fibra perto de Bépanda poderia remover tanto o acesso do membro quanto o caminho da ST-DIGITAL se eles convergirem lá.

Um design útil trata esses eventos de risco compartilhado separadamente dos casos simples de falha de site.

A apresentação dos pontos de troca pela Internet Society identifica os ingredientes básicos — instalações neutras, equipamento de comutação e roteamento, energia, refrigeração, segurança e operações qualificadas. Para a CAMIX, cada ingrediente deve sobreviver na combinação necessária para o pacote. Um switch ativo sem rota, uma rota ativa sem próximo salto, ou um membro ativo sem o serviço de destino não preserva a troca nacional.

O trânsito internacional complica a observação. Durante uma falha da CAMIX, duas redes ainda podem se comunicar porque ambas mantêm rotas upstream via Europa ou outro hub externo. Um teste de disponibilidade convencional marcaria o serviço como disponível. Um teste de resiliência nacional deve adicionalmente inspecionar o caminho e a latência, ou usar prefixos de teste cujas políticas de troca e trânsito são conhecidas. O resultado deve distinguir continuidade totalmente local, serviço restaurado via trânsito internacional, alcançabilidade parcial e perda completa.

A reivindicação oficial de latência de um milissegundo pode ser usada como referência apenas com atribuição e escopo. Se um caminho aumentar fortemente durante uma falha, pode sinalizar um desvio internacional, mas a latência sozinha não pode provar a geografia. Uma rota nacional alternativa também pode ser mais longa, e uma rota internacional pode às vezes ser surpreendentemente rápida. Traceroute, dados de próximo salto BGP e confirmação das entidades fornecem evidências mais fortes quando combinados com a latência.

A resposta provável hoje é condicional. O tráfego entre membros independentemente conectados a um site CAMIX sobrevivente, com rotas sobreviventes válidas e um destino ainda presente lá, pode permanecer nacional. O tráfego envolvendo um membro com tarifa única no site com falha não pode usar a CAMIX a menos que esse membro tenha outro caminho ativo. O tráfego que depende de um link entre sites com falha pode se fragmentar em ilhas locais. O tráfego pode permanecer alcançável via trânsito internacional sem permanecer nacional. O tamanho de cada categoria não é quantificado publicamente.

Essa resposta limitada é mais útil do que declarar a rede de três sites como resiliente ou frágil. Ela mostra exatamente quais fatos mudariam a avaliação: as sessões de membros no nível do site, as atestações de caminho independente, a topologia dos links entre sites, a alocação de energia, o posicionamento dos route servers e as observações de falhas. Cada um pode ser medido sem publicar cargas úteis de pacotes sensíveis ou rotas de fibra detalhadas no nível da rua.

Um programa de teste que transformaria afirmações em evidências

A CAMIX pode converter sua afirmação de três sites em evidência crível de continuidade nacional através de um exercício reproduzível. O exercício deve começar com uma linha de base declarada: carimbo de data/hora, sites de entidades, prefixos de teste, sessões de membros ativas, estado do route server, caminho normal, latência normal e nível de tráfego. Deve identificar o limite de falha antecipadamente e declarar as dependências deliberadamente deixadas de fora do teste. Isso evita apresentar uma reinicialização de switch como um resultado de falha de site completa.

O primeiro exercício deve remover Bépanda na borda da troca. A CAMIX poderia desativar os links de tecido relevantes e as instâncias de route server sob manutenção controlada, deixando os sistemas de medição fora do domínio afetado. O tráfego de teste deve circular entre prefixos representativos em ST-DIGITAL, Yaoundé e membros duplamente conectados. O registro deve mostrar perda de pacotes, tempo de convergência, localidade do caminho, número de rotas e capacidade sobrevivente. Um teste físico de energia pode seguir depois que o comportamento lógico é compreendido.

O segundo exercício deve remover ST-DIGITAL. Isso valida que o novo site não se tornou uma dependência inesperada para o tecido antigo e mede o efeito sobre seus membros localmente conectados. O terceiro deve remover CAMPOST e o link interurbano separadamente. Tratar esses dois testes distingue a falha de edifício da partição de transporte. No teste de partição, cada metrópole deve manter um encaminhamento interno válido sem anunciar próximos saltos inalcançáveis através da ruptura.

O quarto exercício deve derrubar cada route server independentemente e depois o serviço de route server como classe. As entidades com sessões bilaterais e aquelas dependentes da distribuição do route server devem ser observadas separadamente. O teste deve incluir uma falha sintética de camada 2 não transitiva para que o monitoramento tenha que detectar um estado onde as sessões do route server permanecem estabelecidas, mas os próximos saltos dos pares falham. Esta é a falha mais propensa a expor a lacuna entre uma sessão de controle saudável e um caminho de pacotes funcional.

O quinto exercício deve validar a conexão dos membros. Uma amostra de membros bi-site deve remover um circuito de acesso de cada vez e mostrar que o alternativo não atravessa o site com falha ou o duto local compartilhado. Entidades remotas devem identificar a classe de serviço protegido que compram. O resultado pode ser agregado para proteger detalhes comerciais: número de caminhos testados, número que satisfez a afirmação de independência e causas comuns onde não foi o caso.

O sexto deve validar a transferência de energia nos três sites. Deve observar o switch de troca, o route server, o equipamento óptico, o handoff da operadora e um roteador de entidade representativo, em vez de apenas a alimentação da instalação. As afirmações de autonomia do gerador não precisam ser testadas até o esgotamento toda vez; a inspeção de combustível, registros de manutenção e exercícios periódicos de resistência podem complementar testes de transferência ao vivo mais curtos. Os resultados devem incluir a restauração da alimentação de utilidade.

O relatório público pode ser compacto. Para cada cenário, deve indicar o domínio de falha, o resultado esperado, o resultado observado, o intervalo de convergência, a porcentagem de rotas de teste preservadas, o tráfego que permaneceu nacional, a margem sobrevivente mínima e as dependências comuns não resolvidas. Deve datar cada resultado e identificar se o teste foi simulado, logicamente isolado ou fisicamente desligado. Os resultados históricos devem permanecer acessíveis para que os membros possam ver se a resiliência melhora à medida que o terceiro site ganha entidades.

Os registros externos devem então ser reconciliados com as operações. A CAMIX pode atualizar o registro de troca de Douala para identificar a instalação ST-DIGITAL quando apropriado, publicar uma matriz de conexão por site ou um agregado, e expor um looking glass funcional e gráficos de tráfego. Os valores dos registros não precisam corresponder aos contadores internos da troca em tempo real, mas as divergências devem ser explicadas pela data e escopo. O público saberia então por que uma interface capaz de 100G, 44 Gbps de portas de site listadas e um pico de tráfego inferior não são contraditórios.

O design da medição deve usar a independência de falhas como princípio organizador. Cada backup afirmado deve ser testado contra o componente que deveria substituir e contra as dependências compartilhadas que poderiam remover ambos. Isso é consistente com a prática padrão de trocas, mas adaptado à geografia de Camarões e à pegada particular de três sites da CAMIX. Isso também produz evidências que os usuários do setor público e os membros comerciais podem incorporar em seu próprio planejamento de continuidade.

A publicação não é a última etapa. A CAMIX deve estabelecer uma cadência após mudanças importantes de topologia, novos grandes membros, atualizações de route servers e modificações de energia das instalações. Um terceiro ponto de presença é um sistema em movimento: sua resiliência pode melhorar à medida que os membros se duplicam, ou enfraquecer à medida que o tráfego cresce mais rápido que a capacidade protegida. A repetição datada transforma uma demonstração pontual em um dossiê operacional.

O veredito de resiliência e os pontos de vigilância

O terceiro ponto de presença da CAMIX é estrategicamente significativo. Ele adiciona uma instalação nomeada separada em Douala, um ambiente neutro, um local adicional para as redes se encontrarem e uma rota plausível longe da dependência de um edifício mais antigo. Também pode tornar a troca geral mais atraente para redes cuja primeira conexão é mais fácil na ST-DIGITAL. Estas são vantagens reais mesmo antes que a independência completa de falha seja demonstrada.

As evidências são mais fortes no nível da intenção institucional e da localização. A CAMIX descreve consistentemente três sites e uma missão de manter o tráfego local local. Registros externos e comunitários corroboram os antigos sites de Bépanda e CAMPOST e fornecem sinais para a presença da ST-DIGITAL. Fontes de instalação descrevem proteções de energia e interconexão substanciais no DLA01. Registros de registro expõem as conexões lógicas de troca atuais em Douala e Yaoundé.

As evidências são médias no nível da capacidade conectada. Os registros públicos datados permitem uma soma de 40 Gbps de conexões exibidas em Douala e 4 Gbps em Yaoundé, enquanto a CAMIX atribui a si mesma uma infraestrutura capaz de 100G. Esses números são compatíveis porque medem camadas diferentes. Eles não estabelecem a capacidade instalada em cada site, a capacidade dos links entre sites, o tráfego atual, a margem reservada ou a quantidade utilizável após uma falha.

As evidências são mais fracas onde a resiliência é realmente decidida. Não há topologia pública examinada para o caminho Bépanda–ST-DIGITAL, nenhuma declaração de diversidade de rota para o transporte de troca Douala–Yaoundé, nenhuma matriz de conexão de membros por site, nenhum posicionamento divulgado dos route servers redundantes, nenhuma descrição de caminho de energia para o equipamento CAMIX nos três sites, e nenhum registro no nível do pacote de failover de um site. Estas são ausências no dossiê público, não prova de má engenharia.

Quatro pontos de vigilância devem determinar se o terceiro site amadurece em um ativo nacional independente. O primeiro é a densidade dos membros: as grandes redes de acesso e serviços de conteúdo estabelecem portas ativas e fisicamente diversificadas na ST-DIGITAL? O segundo é o transporte: o novo site tem um caminho independente de Bépanda para o resto do tecido e um caminho resiliente para Yaoundé? O terceiro é o controle: o posicionamento dos route servers, monitoramento e filtragem sobrevivem à perda de um site?

O quarto é o resultado observado: pacotes representativos podem permanecer entre as redes camaronesas, em Camarões, durante o teste?

A ordem importa. Adicionar membros sem transporte protegido pode aumentar o tráfego concentrado em um link compartilhado. Adicionar um link entre sites sem acesso de membro diversificado pode deixar a maioria dos pontos de extremidade com tarifa única. Adicionar route servers redundantes sem testar o encaminhamento de par a par pode deixar uma falha de camada 2 oculta. Uma resiliência forte só emerge quando as camadas são testadas juntas.

A CAMIX também deve resistir à tentação de reduzir todo progresso a um único número. 'Três pontos de presença', 'capaz de 100G', '14 membros' e 'um milissegundo' são sinais concisos, mas cada um pode obscurecer uma dependência diferente. Uma tabela pública de continuidade com resultados de teste datados seria mais persuasiva para operadores, usuários governamentais e investidores, pois ligaria os números aos resultados de falhas.

Por enquanto, o veredito é deliberadamente condicional. O terceiro ponto de presença expande o conjunto de oportunidades físicas da CAMIX e já pode melhorar o acesso para algumas entidades de Douala. As evidências públicas são insuficientes para dizer que a CAMIX pode perder um site enquanto preserva um amplo caminho de troca nacional. A lacuna é preenchível: mapear riscos compartilhados, identificar componentes alimentados, classificar caminhos de membros, publicar o posicionamento do plano de controle e executar a falha.

Quando um pacote puder começar em uma rede camaronesa, atravessar um site CAMIX sobrevivente e alcançar outra rede camaronesa após Bépanda, ST-DIGITAL ou CAMPOST ter sido deliberadamente removido — sem desvio internacional — o terceiro ponto de presença terá passado no teste implícito de seu nome. Até que esse rastro de pacote exista, a CAMIX tem três pontos de presença e uma proposta de resiliência importante ainda aguardando prova.