Третий PoP CAMIX: локальная отказоустойчивость становится проверкой пути Bépanda — ST-DIGITAL

Краткое содержание

• Третья точка присутствия CAMIX добавляет полезную возможность подключения в Дуале, но публичные данные пока не подтверждают, что её пути коммутации, межплощадочного транспорта, электропитания и доступа участников независимы от старой площадки Bépanda.
• Публичные реестры показывают совокупно 40 Гбит/с по перечисленным портам в Дуале и 4 Гбит/с в Яунде, что заметно ниже заявленной CAMIX коммутационной среды с поддержкой 100G; ни одна из этих цифр не говорит, сколько внутреннего трафика останется доступным после отказа площадки, канала или сервера маршрутов.
• Самым веским доказательством стало бы воспроизводимое учение с отказом одной площадки, показывающее сохранившиеся пути участников, сходимость сервера маршрутов, запитанные кросс-коннекты и путь пакета между камерунскими сетями без использования международного транзита.

Пакет, который не должен покидать Камерун

Возьмём пакет, отправленный из сети одного камерунского провайдера доступа к сервису, размещённому за другой камерунской сетью. В нормальных условиях точка обмена трафиком должна дать этому пакету короткий внутренний маршрут: две сети анонсируют достижимость через общую коммутационную среду, узнают маршруты друг друга напрямую или через сервер маршрутов и обмениваются пакетом напрямую, без оплаты международного обходного маршрута. Пакет — лучшая единица анализа, чем количество точек на карте, потому что он заставляет учесть все зависимости.

Ему нужны работающее клиентское устройство, действующий канал доступа, запитанный порт, исправный путь коммутации, корректная достижимость по BGP и действующий путь выхода к получателю.

CAMIX описывает свою миссию именно в таких терминах. Настранице об организациисказано, что управляемая участниками некоммерческая точка обмена призвана сохранять национальный трафик внутри страны, повышать качество услуг и снижать зависимость от международных каналов. Эта цель строже, чем просто поддерживать сайт или коммутатор в рабочем состоянии. Локальная точка обмена обеспечивает непрерывность только тогда, когда у внутреннего пакета остаётся сквозной внутренний путь. Если участник теряет свой единственный кабель до точки обмена или если две номинально отдельные площадки зависят от одного междугороднего канала, работающий коммутатор в другом месте пакет не спасёт.

Новая площадка обостряет вопрос. Ванонсе от 7 апреля 2026 годаCAMIX объявила о третьей точке присутствия в дата-центре ST-DIGITAL в Дуале — в дополнение к CAMTEL Bépanda в Дуале и CAMPOST в Яунде. CAMIX представила площадку как нейтральную точку размещения операторов (carrier hotel) и сообщила, что изначально подключены INK и ST-DIGITAL, SANCFIS и Afri-IX готовят подключения, а с Orange, MTN и CAMTEL ведутся переговоры. Это полезные сигналы о намерениях и раннем заполнении площадки. Но они не говорят, какие из названных сетей на дату публикации пропускали через эту площадку рабочий трафик, была ли у какой-либо сети одновременная независимая точка подключения к двум площадкам CAMIX и как трафик повёл бы себя после исчезновения Bépanda.

Напубличной главной страницеCAMIX указаны ещё три ключевые цифры: более 12 активных участников, ёмкость каналов Ethernet 100G и локальная задержка в одну миллисекунду. Каждая цифра описывает разное, и ни одна не является показателем отказоустойчивости. Порт или коммутационная среда могут поддерживать 100 Гбит/с, даже когда сумма подключённых портов участников значительно меньше. Задержка в одну миллисекунду может описывать успешный локальный путь в обычных условиях, но ничего не говорит о маршруте во время отказа. В число участников могут входить контентные сервисы, инфраструктурные сервисы и сети доступа с разными схемами подключения. При сбое значимо число независимо достижимых участников и префиксов на выжившей коммутационной среде.

Это различие принципиально, потому что публичное обещание третьей площадки — не просто дополнительные стойки. Это возможность разделить домены отказа. Старая площадка обмена в Дуале находится в CAMTEL Bépanda, новая — в другом дуальском объекте. В принципе такое разделение способно защитить локальный обменный трафик от отказа здания, ремонтных работ, сбоя коммутатора или локального обрыва волокна.

На практике защита существует только если два объекта связаны путём, который не отказывает вместе с исходной площадкой, если на выжившей площадке есть собственное запитанное обменное оборудование, если каналы участников приходят туда независимо и если сессии плоскости управления сходятся заново, не оставляя устаревших или нерабочих следующих переходов.

Поэтому точку обмена нужно оценивать как цепочку, а не как три адреса. Первое звено — физическое: где реально стоят оборудование и кросс-коннекты. Второе — транспортное: как площадки образуют одну или несколько обменных коммутационных сред. Третье — электрическое: что обеспечивает питание каждого активного устройства и оптического стыка. Четвёртое — подключение участников: приходят ли они по раздельным путям. Пятое — управление: остаётся ли достижимость BGP корректной, когда исчезает один из компонентов. Шестое — результат: остаются ли показательные внутренние пакеты внутренними.

Третья площадка CAMIX создаёт возможность укрепить каждое звено; имеющиеся данные пока не доказывают всю цепочку.

Три адреса, но сколько доменов отказа?

Собственные описания CAMIX фиксируют присутствие в трёх точках на уровне названных площадок. Вчасто задаваемых вопросахуказаны CAMPOST в Яунде, CAMTEL Bépanda в Дуале и ST-DIGITAL в Дуале, а порты участников — от 1 Гбит/с до 100 Гбит/с. В отдельномсписке участников— 14 активных записей, включая операторов доступа, сети и инфраструктурные или контентные сервисы. Это полезные заявления самой организации, но их категории нельзя складывать в утверждение, что 14 сетей независимо подключены на всех трёх площадках. На страницах нет матрицы портов по площадкам.

Два внешних реестра показывают, почему «три PoP» и «три независимо работающие обменные площадки» не стоит считать синонимами.Запись организации в PeeringDBописывает три раздельные точки присутствия — две в Дуале и одну в Яунде — но ссылается на две записи о точке обмена: одну для Дуалы и одну для Яунде. Взаписи о точке обмена в Дуалелокальным объектом указан CAMTEL Bépanda, а также показаны десять подключений, чьи отображаемые ёмкости в сумме дают 40 Гбит/с. ST-DIGITAL значится как подключённая сеть, но страница не указывает дата-центр ST-DIGITAL вторым локальным объектом для этой записи. Отсутствие может отражать задержку обновления реестра, а не физическую реальность; тем не менее это означает, что реестр пока не может подтвердить физическую топологию третьей площадки.

Та же осторожность нужна в отношении Packet Clearing House. Взаписи CAMIX для Дуалыуказана действующая точка обмена в Дуале в CAMTEL Bépanda, а взаписи CAMIX для Яунде— площадка CAMPOST. Это снимки каталога, а не обследование кабельной инфраструктуры. Их ценность в том, что они подтверждают прежнее присутствие в двух городах и дают датированные наблюдения для сравнения с новым заявлением CAMIX. Они не раскрывают, есть ли в ST-DIGITAL отдельный обменный коммутатор, удалённое расширение до Bépanda или некий промежуточный вариант.

Поддерживаемая сообществом страница даёт более детальную, но всё ещё предварительную картину. Настранице cmNOG о федерации камерунских точек обменаперечислены CAMIX-Yde01, CAMIX-Dla01 и CAMIX-Dla02; Dla02 отнесена к ST-DIGITAL с датой конца 2024 года и тремя пирами. Запись подтверждает существование третьего операционного объекта ещё до анонса 2026 года, но вводит хронологию, которую другие публичные страницы не объясняют. Это может быть раннее развёртывание, тестовая фаза, перезапуск или просто страница, обновляемая по другому графику. Схемы физических путей там тоже нет. Ответственный вывод узок: три названия площадок повторяются в записях самой организации, реестров и сообщества, но независимость зависимостей уровня площадок остаётся недоказанной.

Физическая независимость имеет несколько уровней. Разные адреса защищают от некоторых инцидентов в здании, но не от общей городской кабельной канализации. Отдельные стойки защищают от случайных работ в одной стойке, но не от общего блока распределения питания в верхней части стойки. Отдельные коммутаторы защищают от одной аппаратной ошибки, но не от одиночной ошибки удалённого управления, применённой ко всем устройствам. Отдельные генераторы защищают от перебоя в энергосети, только если оптика кросс-коннектов, транспортное оборудование операторов и маршрутизаторы участников тоже получают резервное питание.

Вторая площадка, достижимая только через первую, почти ни от чего не защищает, когда тестируется отказ именно первой площадки.

Отраслевые рекомендации делают эту иерархию явной. Вруководстве Euro-IX по физическим требованияммногоплощадочная архитектура рассматривается как средство повышения географической независимости и устойчивости к катастрофам, но там же отмечается, что отказоустойчивость участника зависит от резервирования маршрутизаторов, интерфейсов и схем доступа. Иными словами, оператор точки обмена может построить резервируемое ядро, пока отдельный участник остаётся с единственным подключением. И наоборот, участник может купить два канала, которые сходятся в один обменный коммутатор или одну общую кабельную канализацию. Нужно показывать обе перспективы.

Поэтому третью площадку CAMIX правильнее рассматривать как гипотезу об отказоустойчивости, а не как готовый результат. Её новый домен отказа должен быть продемонстрирован как минимум по пяти границам: здание, питание, обменная коммутация, межплощадочный транспорт и доступ участников. Публичные данные сейчас подтверждают первую границу — помещения названы раздельно — и дают указания об объекте по питанию. По остальным трём данных мало. Это не умаляет стратегической ценности расширения. Это определяет, что нужно измерить, прежде чем ценность можно будет превратить в заявление о непрерывности.

Путь Bépanda — ST-DIGITAL: отсутствующая карта

Самый важный отсутствующий документ — актуальная физическая и логическая карта двух площадок в Дуале. Полезная карта показала бы обменные коммутаторы в Bépanda и ST-DIGITAL, все межплощадочные каналы, оператора или владельца каждого сегмента, раздельность маршрутов между зданиями, точки оптического и электрического стыка, а также то, сможет ли третья площадка достать до выживших участников точки обмена, когда Bépanda обесточена. Она разделила бы и ёмкость, принадлежащую самой точке обмена, от каналов доступа, принадлежащих участникам. Ни один из просмотренных публичных материалов такой карты не даёт.

Настранице сервиса пирингаCAMIX заявляет для своей точки обмена коммутационную среду уровня 2 ёмкостью более 100 Гбит/с, резервируемые серверы маршрутов BGP, фильтрацию по RPKI и Internet Routing Registry, поддержку IPv4 и IPv6, а также порты 1, 10 и 100 Гбит/с. Эти утверждения описывают возможности, а не топологию. «Уровень 2» может означать и независимые коммутаторы в защищённом кольце, и звезду с центром на одной площадке, и один межплощадочный канал, и другие варианты. «Резервируемые» серверы маршрутов могут означать два процесса на разном оборудовании в одном здании, серверы, распределённые по площадкам, или отказоустойчивые виртуальные экземпляры со скрытой общей зависимостью. Без данных о размещении и путях ни одна из этих трактовок не может считаться фактом.

Публичная картина национальной волоконно-оптической сети даёт контекст, но не заменяет карту точки обмена. Министерство почт и телекоммуникаций Камеруна описалопрограмму национальной магистральной сетис тысячами километров волокна и 55-километровым кольцом в Дуале, отметив также планы городского кольца в Яунде. Это свидетельство наличия волоконно-оптической инфраструктуры в соответствующих городах. Но оно не устанавливает, какие волокна, канализации или транспортные услуги использует CAMIX и есть ли у точки обмена договорная или физическая раздельность на этих участках.

CAMTEL отдельно утверждала, что в её магистральную сеть входитрезервируемый маршрут Дуала — Бафусам — Яунде. Это заявление может быть значимо для национальной непрерывности, особенно если CAMIX покупает или получает услуги по разным магистральным путям. Ни один просмотренный здесь публичный документ CAMIX не связывает третью площадку с этим резервированием, не указывает защищённую ёмкость, доступную точке обмена, и не показывает, что канал участника до ST-DIGITAL избегает того же сегмента CAMTEL, который используется для доступа к Bépanda. Доступность в магистральной сети и доступность в точке обмена — не одно и то же.

Настаивать на точной маршрутизации есть практическая причина. Взаявлении Orange Cameroon, перепечатанном после сбоев в сентябре 2024 года, нестабильность в Дуале, Яунде и других местах объяснялась множественными обрывами волокна на магистральных соединениях между двумя городами. Этот эпизод не доказывает, что CAMIX отказывала или что какой-то обменный канал оказался на затронутом маршруте. Он доказывает, что внешне раздельные сервисы могут делить один коридор, нарушение которого достигает обоих городов. Архитектуру отказоустойчивости нужно оценивать против такого коррелированного события, а не только против чистого отказа одного устройства.

Вопрос о дуальском пути имеет две версии. Первая — внутригородская: если откажут обменный коммутатор Bépanda, питание здания или ближние волоконные подходы, сможет ли ST-DIGITAL продолжать обменивать трафик между участниками, физически присутствующими там? Вторая — в масштабе всей коммутационной среды: можно ли по-прежнему достигать участников, подключённых только в Bépanda, через альтернативный канал, или они исчезают, пока не активируется их собственное резервное подключение? Первая версия решается на новой площадке за счёт местных участников и местных маршрутов.

Вторая требует раздельности с обеих сторон точки обмена: выжившего канала ядра и выжившего доступа участников.

Это различие защищает и от превратного понимания термина «carrier hotel». Нейтральная площадка может предложить множество операторов и вариантов кросс-коннектов, и это ценно. Но выбор на конечной точке не доказывает раздельности путей после выхода кабелей из здания. Два сервиса разных операторов могут делить кабельную канализацию, оптическую платформу, мост, риск перекуса у дороги или общего вышестоящего транспортного оператора. Поэтому правильная карта путей должна показывать группы общего риска, а не только названия поставщиков.

Если точные трассы волокна нельзя публиковать по соображениям безопасности или коммерции, CAMIX может опубликовать абстрактную топологию с подтверждением независимости путей, датами тестов и ограниченными описаниями общих зависимостей.

Пока такие данные не появятся, самая защитимая трактовка следующая: ST-DIGITAL добавляет отдельную точку подключения в Дуале и, возможно, отдельную локальную точку коммутации. Создаёт ли она независимо выживающий путь точки обмена — остаётся открытым операционным вопросом. Это не требование раскрыть коммерчески чувствительные координаты. Это запрос на минимум информации, необходимой, чтобы отличить третий домен отказа от третьей конечной точки.

Яунде превращает городской вопрос в национальный

CAMPOST в Яунде — не просто ещё одна стойка на дуальской коммутационной среде. Это площадка, которая превращает заявление CAMIX о непрерывности из городской отказоустойчивости в национальную. Если крупный инцидент в Дуале выведет из строя обе дуальские обменные площадки, работающая среда в Яунде всё ещё сможет держать трафик локальным между сетями, независимо подключёнными там. Если межгородской транспорт переживёт сбой, но одна дуальская площадка откажет, Яунде тоже сможет стать частью альтернативного обменного пути. Оба исхода зависят от того, кто подключён, на какой ёмкости и по каким физическим маршрутам.

Взаписи PeeringDB о точке обмена в Яундесейчас отображаются четыре подключения по 1 Гбит/с, в сумме 4 Гбит/с. Перечисленные сети — CAMTEL, Matrix Telecoms, MTN Cameroon и Newtelnet — есть и в записи о дуальской точке обмена. Такое пересечение потенциально ценно, потому что присутствие в обоих городах может поддерживать географическую непрерывность. Реестр не уточняет, используют ли два подключения каждого оператора независимые маршрутизаторы, линии питания и транспорт, и анонсируют ли они активно одну и ту же достижимость на обеих площадках. Поэтому он указывает на многоплощадочную возможность, а не на доказанное переключение при отказе.

Записи об объектах дают столь же ограниченные сведения.Запись об объекте CAMPOST в PeeringDBсвязывает площадку с CAMIX в Яунде и перечисляет небольшое число сетей. В ней не раскрыты раздельные трансформаторные подстанции, питание обменного коммутатора, вводы операторов или маршруты каналов участников. Соответствующаязапись об объекте CAMTEL Bépandaидентифицирует старую дуальскую площадку и более широкое присутствие сетей, но тоже не содержит публичных деталей о раздельности подстанций. Эти пробелы не стоит читать как доказательство отсутствия раздельности. Они показывают, что реестр объектов сам по себе не может ответить на вопрос о непрерывности.

Internet Society Pulse добавляет датированный синтез тех же реестровых данных. Настранице трекера CAMIX для Дуалыв мае 2026 года сообщалось о 40 Гбит/с видимой ёмкости и десяти автономных системах.Представление трекера CAMIX для Яундев снимке конца 2025 года показывало 4 Гбит/с и четыре автономные системы. Эти цифры полезны для сравнения публично перечисленных подключений двух коммутационных сред. Они наследуют ограничения и периодичность обновления исходного реестра; это не живые измерения трафика, запаса ёмкости или переживания сбоев.

Асимметрия важна. Если видимый объём подключений в Дуале в десять раз больше, чем в Яунде, полная потеря Дуалы может оставить стране значительно меньше обменной ёмкости, даже когда все порты Яунде работают. Ёмкость — не единственное ограничение: выжившие четыре сети могут не обслуживать и не давать путей ко всем внутренним получателям, которыми обычно обмениваются в Дуале. Контентные кэши, присутствующие только в Дуале, могут исчезнуть из локального пути. Пользователь всё ещё мог бы получить контент через международный транзит, но это не удовлетворяет более строгому критерию внутренней непрерывности.

Важно и обратное направление. Если откажет CAMPOST, сети с реально независимыми подключениями в Дуале должны продолжать обмениваться локально. Но участник в Яунде, чьё дуальское присутствие реализовано через общий междугородний сервис, может потерять оба логических подключения из-за одного транспортного события. Ярлыки «два города» сильнее всего, когда их подкрепляет раздельность на уровне маршрутизаторов и каналов. Они слабее всего, когда дальний порт фактически является удалённым расширением того же граничного узла участника.

Ванализе Internet Society о локальном и удалённом пирингеобъясняется более широкий компромисс. Удалённое подключение может распространить преимущества точки обмена на сети, которые не могут разместить оборудование локально, но концентрация на посредниках и удалённой инфраструктуре способна создавать скрытые зависимости. Для CAMIX удалённый доступ может быть необходим по коммерческим и географическим причинам. Его нужно описывать отдельно от физически раздельного подключения, чтобы участники понимали, какие отказы переживает каждая схема.

Поэтому Яунде нужно оценивать и как собственный островок непрерывности, и как узел национальной коммутационной среды. Островной тест спрашивает, какие участники смогут обмениваться внутри Яунде при удалении всех дуальских зависимостей. Тест национальной среды спрашивает, какие маршруты и трафик смогут перемещаться между выжившими площадками после отказа одного межплощадочного пути. Публикация обоих результатов показала бы, есть ли у CAMIX три работающие точки или по-настоящему отказоустойчивая трёхплощадочная система.

Анонсируемые порты — не ёмкость, переживающая отказ

Цифры ёмкости вокруг CAMIX относятся как минимум к четырём разным уровням. Есть максимальная скорость продукта или порта, установленная коммутационная ёмкость, сумма контрактованных или перечисленных портов участников и трафик, который реально можно пропустить после отказа. Приписываемая CAMIX цифра 100G, судя по всему, описывает первый или второй уровень. Видимые итоги реестров — 40 Гбит/с в Дуале и 4 Гбит/с в Яунде — описывают части третьего. Ни одна из них напрямую не измеряет четвёртый.

Описания сервисов CAMIX внутренне согласованы в части высокоскоростных интерфейсов. На странице пиринга перечислены порты 1, 10 и 100 Гбит/с; в FAQ указан тот же диапазон. Заявление о поддержке 100G правдоподобно как характеристика оборудования и может отражать интерконнект или коммутационный интерфейс 100 Гбит/с. На публичных страницах нет данных о том, какой участник использует порт 100 Гбит/с, какова суммарная установленная ёмкость коммутации каждой площадки и какова ёмкость каналов Bépanda — ST-DIGITAL и Дуала — Яунде. Среда с интерфейсом 100 Гбит/с может упираться в межплощадочный путь 10 Гбит/с или в доступ участника 1 Гбит/с.

Записи PeeringDB дают прозрачную, но неполную арифметику. Отображаемые подключения Дуалы в сумме дают 40 Гбит/с; Яунде — 4 Гбит/с. Это номинальные значения портов, внесённые через реестр сообщества, а не обязательно гарантированные скорости (CIR) или реально задействованная ёмкость. Некоторые подключения относятся к обменным сервисам или серверам маршрутов, а не к сетям доступа конечных пользователей. Номинальный порт может нести мало трафика, быть зарезервирован под сервис или быть недоступен на время обслуживания. И наоборот, новый активный порт может появиться раньше обновления реестра.

Итоги следует помечать как отображаемую ёмкость подключённых портов на указанную дату, а не как измеренную пропускную способность точки обмена.

Packet Clearing House иллюстрирует важность датировки. Его каталоги точек обмена — полезные внешние наблюдения, но поля участников, ёмкости и трафика могут меняться между снимками по мере обновления записей. Отдельное значение из каталога не стоит возводить в неизменный инженерный факт. Ёмкость точек обмена особенно подвержена ошибкам категорий, потому что скорость трафика, ёмкость портов и коммутационные возможности все измеряются в битах в секунду, но описывают разные ограничения.

Ёмкость, пригодная при отказе, требует более строгого расчёта. Предположим, в Bépanda сосредоточена большая часть видимых портов участников, а в ST-DIGITAL только два изначально названных клиента. Потеря Bépanda может убрать большинство конечных точек ещё до того, как межплощадочный канал станет узким местом. Предположим иначе: крупные участники подключены к двум точкам, но оба канала доступа лежат в одной кабельной канализации. Номинальная сумма завысит выживающую ёмкость. Или предположим, что все физические цепи уцелели, но сбой сервера маршрутов отозвал большой набор маршрутов.

Электрическая и оптическая ёмкость останется, а пригодная для маршрутизации ёмкость может резко упасть.

Поэтому заслуживающее доверия заявление о ёмкости после отказа площадки требует матрицы, а не одного заголовка. Для каждого сценария отказа в ней должны быть указаны выжившая ёмкость обменных коммутаторов, выжившая межплощадочная ёмкость, выжившие порты участников, ожидаемое число маршрутов, наблюдаемый пиковый трафик и доступный запас. Нужно указать, установлена ли ёмкость, задействована ли, запитан ли, работает ли и пропускает ли показательный трафик. Нужно различать защищённую ёмкость и ёмкость, которая становится недоступной вместе с отказавшей площадкой.

Запись сети сервисов CAMIXусиливает необходимость маркировки области действия. Она идентифицирует CAMIX Services под номером AS328091, указывает подключение 1 Гбит/с в Дуале и связывает сеть с CAMPOST и CAMTEL Bépanda. Это сведения о сервисной сети точки обмена, а не о размере коммутационной среды.Запись сервера маршрутов CAMIXидентифицирует AS37718 как сеть сервера маршрутов. И снова: запись автономной системы подтверждает идентичность плоскости управления, но не раскрывает размещение хостов серверов маршрутов, распределение сессий или мощность передачи данных.

Публичная телеметрия трафика помогла бы согласовать категории, но настранице looking glassCAMIX сказано, что BGP-представление должно появиться, а не показана актуальная публичная сводка. Looking glass сам по себе не продемонстрирует физическую раздельность, но может показать доступность маршрутов, поведение следующих переходов и сходимость вокруг анонсированных ремонтных работ. Графики трафика по площадкам, состояние сессий серверов маршрутов и датированные таблицы ёмкости позволили бы участникам и исследователям проверить, соответствует ли заявленная ёмкость реальной эксплуатации.

Правильный текущий вывод не в том, что CAMIX не хватает ёмкости. А в том, что публичные данные поддерживают несколько приписываемых значений возможностей и подключений с разной областью действия. Цифру 100G следует оставить связанной с собственным описанием CAMIX. Итоги 40 Гбит/с и 4 Гбит/с следует оставить связанными с датированными представлениями реестров. Ёмкость, пригодная при отказе, остаётся нераскрытой, и её нельзя выводить сложением или сравнением этих чисел без сценария.

Участники подключаются к средам, а не к списку

Членство институционально важно, но анализ отказоустойчивости требует деталей подключения. В публичном списке CAMIX 14 записей, на главной странице используется более свободная формулировка «12+ активных участников», а анонс третьей площадки называет два первоначальных подключения и ещё несколько планируемых. Все эти утверждения могут быть верны на разные даты или при разных определениях. Они не показывают, сколько производственных сетей подключено к каждому коммутатору, сколько анонсирует маршруты и у скольких есть раздельный доступ.

Центральная единица — путь участника. Он начинается на маршрутизаторе участника, проходит через локальный кросс-коннект или сервис удалённого доступа, достигает порта точки обмена и завершается в коммутационном домене, из которого достижимы другие участники. Отказоустойчивый участник имеет как минимум два пути, не разделяющих тот отказ, от которого идёт защита. Два логических VLAN на одном волокне — не два физических пути. Два волокна в одной кабельной канализации могут защитить от отказа оптики, но не от земляных работ. Два порта на одном маршрутизаторе могут защитить от отказа порта, но не от отказа маршрутизатора или питания.

Две обменные площадки, достигаемые через один транспортный узел, могут не защитить от потери этого узла.

Первоначальная картина участников ST-DIGITAL обнадёживает, но узка. CAMIX назвала INK и ST-DIGITAL подключёнными, а другие организации описала как находящиеся на разных стадиях взаимодействия. Эту формулировку не стоит превращать в допущение, что каждый перспективный участник уже обменивается маршрутами или трафиком. И присутствие оператора дата-центра в собственном объекте не следует считать доказательством того, что у крупных сетей доступа там есть независимые каналы последней мили.

Техническая заметка cmNOG показывает, как операционные детали меняют трактовку. Вчерновом протоколе встречи от сентября 2024 годаобсуждался транзитный канал точка-точка от MTN для кэша Cloudflare на старой дуальской площадке; отмечались потери пакетов с одной точки наблюдения; указывалась потребность во втором физическом канале к Dla01 и ожидалось последующее присутствие на Dla02. Запись предварительная, датированная и относится к одной конкретной схеме; она не может установить текущее состояние MTN, Cloudflare или CAMIX. Её ценность — диагностическая. Она показывает, что вторые физические каналы и присутствие на новой площадке воспринимались как конкретные инженерные задачи, а не как автоматическое следствие добавления точки.

Этот урок применим и к четырём сетям, присутствующим в обеих записях PeeringDB о точках обмена. Одновременное перечисление в Дуале и Яунде — свидетельство многоплощадочного логического присутствия. Чтобы превратить это в доказательство непрерывности, CAMIX или самим участникам нужно указать, используют ли они отдельные граничные маршрутизаторы, отдельные пути операторов или собственные линии, отдельные вводы в здания и активные анонсы маршрутов на обеих площадках. Контролируемый отказ тогда позволил бы проверить, что трафик переходит на выживший путь за наблюдаемый интервал сходимости.

Состав списка влияет и на результат «остаться внутри страны». Точка обмена может держать пакет локальным, только пока префикс получателя или корректный локальный маршрут остаётся достижимым на выжившей площадке. Если провайдер доступа выжил, но контентный кэш подключён только на отказавшей площадке, пользователи могут откатиться на международную копию. Если у госучреждения только одно локальное подключение, трафик «государство — гражданин» может уйти с внутреннего обменного пути, даже когда коммерческие сети остаются подключёнными. Поэтому непрерывность нужно измерять по категориям маршрутов и сервисов, а не только по числу участников.

Программа MANRS для точек обмена трафикомдобавляет измерение безопасности маршрутизации. Её требования включают фильтрацию на основе авторитетной информации о маршрутах, защиту платформы точки обмена, координацию инцидентов и предоставление участникам полезной маршрутной информации. Эти практики снижают риск того, что выжившая среда после отказа будет нести неверную достижимость. Они не заменяют физическую раздельность; они делают выжившую плоскость управления более надёжной.

Конфиденциальность участников не мешает содержательному раскрытию. CAMIX могла бы публиковать анонимизированные классы подключений: локальное размещение с единственным каналом, локальное размещение с двумя независимыми каналами, удалённое подключение по одному пути, удалённое подключение по защищённым путям, присутствие на двух или трёх площадках. Эти количества можно дополнить числом активных BGP-сессий и префиксов по каждой площадке. Крупные участники могли бы добровольно публиковать собственные заявления о раздельности. Результат был бы гораздо полезнее плоского списка логотипов и при этом сохранял бы чувствительные детали каналов.

До тех пор видимые данные поддерживают скромный вывод. Сообщество CAMIX шире, чем порты, отображаемые в каком-либо одном внешнем реестре, и третья площадка уже привлекла первых участников. Число путей участников, переживающих потерю Bépanda, ST-DIGITAL или CAMPOST, публично не установлено. Эта неизвестность лежит ровно между заявлением о трёх PoP и результатом внутренней непрерывности.

Сервер маршрутов может отказать, пока коммутаторы передают трафик

Об отказоустойчивости точек обмена часто говорят так, будто дело только в волокне и питании. Сервер маршрутов показывает, почему это неполно. Сервер маршрутов принимает BGP-маршруты от участников и распространяет выбранную информацию о достижимости другим клиентам, снижая необходимость каждому участнику устанавливать двустороннюю сессию с каждым пиром. Обычно он находится вне пути данных: пакеты идут напрямую между маршрутизаторами участников через следующий переход, узнанный по BGP.

RFC 7947оформляет это разделение формально. Сервер маршрутов выступает посредником для информации плоскости управления, сохраняя следующий переход участника, а не пересылая пользовательские пакеты. Это значит, что хост сервера маршрутов может отказать, а уже выученные маршруты продолжат передавать трафик, пока не сработают таймеры BGP, отзывы маршрутов или изменения политик. Это также значит, что исправный сервер маршрутов может анонсировать путь, чей следующий переход в плоскости данных недостижим из-за неисправности уровня 2. Исправная плоскость управления не гарантирует доставку пакетов.

RFC 7948описывает операционные практики для серверов маршрутов, включая ценность нескольких серверов и защиту от утечек маршрутов. В нём также выделен нетранзитивный отказ уровня 2: два клиента могут каждый достигать сервера маршрутов, но не достигать друг друга. Этот сценарий крайне релевантен для многоплощадочной точки обмена. Если сервер маршрутов находится в точке, достижимой из Bépanda и ST-DIGITAL, но путь между участниками через коммутационную среду нарушен, BGP-сессии могут оставаться установленными, пока внутренние пакеты не доставляются.

CAMIX сообщает, что эксплуатирует резервируемые серверы маршрутов на базе BIRD. Это полезное заявление, но отказоустойчивость зависит от того, где работают эти серверы и что у них общего. Два процесса на одном хосте защищают от сбоя программного процесса, но не от отказа хоста. Два хоста в одной стойке защищают от отказа хоста, но могут делить коммутатор, линию питания и здание. Два хоста на разных площадках улучшают физическую разнесённость, но всё ещё могут зависеть от одного управляющего пути между площадками или общей конфигурации. Публичная запись AS37718 идентифицирует сеть сервера маршрутов, а не его размещение.

Сервер маршрутов определяет и поведение при отказе участников, которые полагаются только на него. Участник с двусторонними пиринговыми сессиями может сохранить часть внутренних маршрутов, когда все серверы маршрутов недоступны. Участник, узнающий все обменные маршруты только от сервера маршрутов, может временно держать устаревшие маршруты, а затем потерять их — в зависимости от состояния сессий и таймеров. Участник, подключённый к двум площадкам, может получать два пути, но выбирать один по атрибутам, не соответствующим физической раздельности. Поэтому топологию BGP-сессий нужно тестировать вместе с топологией кабелей.

Руководство Euro-IX по управлению точкой обменапредупреждает, что сервер маршрутов может стать единственной точкой отказа, и рекомендует несколько серверов, надёжный мониторинг и наблюдение за трафиком. Для CAMIX тест должен быть привязан к конкретным площадкам. Удаление сервера маршрутов или управляющего соединения в Bépanda не должно мешать участникам в ST-DIGITAL и Яунде узнавать корректные выжившие маршруты. Удаление ST-DIGITAL не должно оставлять следующие переходы, указывающие на недостижимые порты участников. Удаление междугороднего канала должно давать два внутренне согласованных острова, а не обманчиво здоровый набор сессий с нарушенной передачей.

Время сходимости следует публиковать как распределение, а не как маркетинговый минимум. Оно должно включать обнаружение потери BGP-сессии, отзыв или замену маршрута, обновление таблицы передачи и первый успешный показательный пакет на выжившем пути. У разных участников могут быть разные таймеры и политики, поэтому один маршрут может восстановиться, пока другой остаётся недоступным. Учение должно также фиксировать осцилляцию маршрутов и случайный уход на международный транзит — это может создать видимость восстановления сервиса, сводя на нет цель внутренней непрерывности.

Безопасность маршрутизации должна оставаться активной во время события. Если при переключении участник начинает анонсировать более широкий или иной набор префиксов, фильтры сервера маршрутов должны принимать только авторизованные источники и маршруты, соответствующие политике. Проверки RPKI и реестров помогают, но у их локальных кэшей, валидаторов и управляющих соединений тоже есть зависимости. Полный тест фиксирует, остаются ли фильтрация и мониторинг доступными, когда удаляется площадка, на которой размещён один из этих вспомогательных сервисов.

CAMIX может продемонстрировать это, не раскрывая индивидуальные политики маршрутизации. Можно опубликовать число экземпляров серверов маршрутов, домены отказа, по которым они распределены, число активных сессий по площадкам, долю доступных маршрутов после каждого теста и ограниченный результат по сходимости. Можно также показать синтетическую достижимость между тестовыми префиксами на каждой площадке. Эти данные связали бы заявление о резервируемых серверах маршрутов с наблюдаемым операционным результатом.

Независимость питания заканчивается на самом слабом незапитанном стыке

ST-DIGITAL даёт CAMIX объект, который публично делает акцент на непрерывности. Настранице дата-центраоператор описывает дуальскую площадку как объект уровня Tier III с резервированием электропитания, прецизионным охлаждением и множеством вариантов подключения. Ванонсе сертификации OIX-2DLA01 назван сертифицированной площадкой дата-центра с залом межоператорского взаимодействия (meet-me room) и сервисами взаимоподключения. Эти записи поддерживают характеристику ST-DIGITAL как специально построенной оператор-нейтральной среды. Они не подтверждают точный путь питания коммутатора, оптики или кросс-коннектов участников CAMIX.

ST-DIGITAL опубликовал необычно конкретные заявления о непрерывности вотчёте о мерах в области энергоснабжения. Оператор сообщает, что генераторы могут поддерживать полную нагрузку 48 часов, а дополнительный запас топлива продлевает этот срок, что автономия аккумуляторов превышает 18 часов и что оборудование тестируется ежемесячно. Это цифры со слов оператора, а не независимо наблюдаемые результаты работы. Они определяют заявленную возможность объекта и задают проверяемые утверждения.

Оценка объекта Open Compute Projectдобавляет детали в формате самоотчёта: два ввода от энергосети, три генератора, банк аккумуляторов, заявленная критическая ИТ-нагрузка и список операторов. Формат проясняет происхождение данных — ответы предоставил сам объект. Это полезное свидетельство о запроектированном резервировании DLA01, но не доказательство того, что каждый компонент CAMIX имеет два ввода питания или что операторы выходят из здания по физически раздельным маршрутам.

Принцип самого слабого стыка важен, потому что обменный путь проходит через оборудование, принадлежащее нескольким сторонам. Вводы питания объекта могут быть раздельными, а коммутатор CAMIX — иметь один блок питания. Коммутатор может питаться от двух вводов, а медиаконвертер или оптический усилитель — от одного. Оба могут быть защищены, а маршрутизатор участника — сидеть на незащищённой цепи. Дата-центр может работать днями, а стойка оператора вне защищённого зала — потерять питание. Каждое из этих условий разрывает путь пакета, даже когда основной объект остаётся работоспособным.

У независимости питания есть и географическая сторона. Проблема в энергосети может затронуть целый район, а логистика топлива, сильная жара или ошибка системы управления могут создать более широкие общие риски. Вобзоре Internet Society об отказах электричества на интернет-узлахописано, как объекты используют генераторы и аккумуляторы, но всё равно могут столкнуться с каскадными зависимостями в охлаждении, топливе и окружающих сетях. Урок для CAMIX не в том, что защита ST-DIGITAL недостаточна. А в том, что отказоустойчивость объекта нужно соединять с отказоустойчивостью обменного оборудования и сетей доступа.

Для старых площадок нужен тот же стандарт доказательств. CAMPOST в Яунде и CAMTEL Bépanda — названные точки, но просмотренные публичные страницы не раскрывают их вводы питания, автономию генераторов, состояние батарей, резервирование охлаждения или распределение нагрузки CAMIX. Было бы неверно делать отсюда вывод об отсутствии резервирования только из-за скудости публичных деталей. Столь же неверно предполагать, что три запитанные площадки обладают одинаковой выносливостью.

Полезный тест питания отключал бы каждую площадку от сети в контролируемых условиях и наблюдал бы весь обменный путь. В протоколе должны отражаться переход на батареи и генератор, аптайм коммутаторов и серверов маршрутов, непрерывность оптического сигнала, непрерывность сессий участников, температура, состояние топлива и поведение операторских стыков, обслуживающих площадку. Нужно включить и восстановление, потому что возврат на питание от сети сам по себе может вызвать перерыв. Более короткий контролируемый тест проверяет поведение переходов; более длинное учение на объекте — выносливость и допущения о дозаправке.

Результаты по питанию нужно выражать по каждой зависимости. «Дата-центр оставался онлайн» — один результат. «Коммутационная среда CAMIX и показательные пути участников оставались работоспособными» — более сильный результат. «Внутренний трафик между выбранными префиксами оставался локальным на протяжении всего теста» — результат, соответствующий публичной цели точки обмена. Их нельзя смешивать.

Третья площадка расширяет возможности CAMIX, потому что размещает присутствие точки обмена в объекте с задокументированными амбициями по непрерывности и нейтральной средой взаимоподключения. Её вклад в отказоустойчивость становится измеримым, когда CAMIX называет запитанные обменные компоненты, подтверждает использование раздельных вводов, тестирует операторские стыки и показывает, что участники могут пользоваться выжившими путями. Паспорт объекта — сильная отправная точка, но не финальное доказательство на уровне пакетов.

Что отказ одной площадки сделал бы с внутренним трафиком

Ни один публичный документ сегодня не отвечает на центральный контрфактический вопрос: если одна площадка CAMIX исчезнет, какой внутренний трафик останется в национальной сети? Имеющиеся данные всё же позволяют ограничить вероятные исходы — при условии, что они помечены как выводы, а не как наблюдения.

Начнём с Bépanda. Публичный реестр дуальской точки обмена помещает обменный объект туда и перечисляет большинство видимых дуальских подключений. Если в Bépanda стоит центральный коммутатор или критичный межплощадочный канал, её потеря может убрать и локальные порты, и удалённую достижимость. Если у ST-DIGITAL есть автономный коммутатор, выживший сервер маршрутов и локальные участники, часть трафика между этими участниками может продолжиться. Смогут ли они достать до остальной CAMIX — зависит от пути к Яунде или к другим выжившим участникам, не зависящего от Bépanda.

Поскольку этот путь не публичен, долю внутреннего трафика, остающегося локальным, рассчитать нельзя.

Теперь уберём ST-DIGITAL. Более старые записи Bépanda и Яунде указывают, что точка обмена существовала до расширения на третью площадку, поэтому значительная часть ранее налаженной связности может сохраниться. Затронутый трафик включал бы участников или сервисы, подключённые только на новой площадке, и любой путь, транспорт которого неожиданно проходит через неё. В сумме ущерб может быть небольшим, но для отдельного участника — серьёзным. Одни агрегированные графики трафика этой потери не покажут.

Уберём CAMPOST в Яунде. Две дуальские площадки в принципе могли бы продолжать городской обмен, а больший отображаемый объём дуальских портов говорит о большей видимой ёмкости там. Но участники или пути доступа, существующие только в Яунде, исчезли бы. Сети, перечисленные в обоих городах, могли бы переключиться на Дуалу, если их двойное присутствие физически и электрически независимо. Если их дуальский путь зависит от того же отказавшего междугороднего маршрута, ярлык «два города» в реестре не превратится в выживание.

Существуют и отказы, не уважающие границы площадок. Обрыв на общем коридоре Дуала — Яунде может разделить точку обмена на городские острова, оставив все здания запитанными. Ошибка конфигурации может затронуть все коммутаторы или серверы маршрутов сразу. Потеря общего сервиса аутентификации, мониторинга или валидации RPKI может ухудшить управление, не убирая коммутационную среду. Событие с волокном у Bépanda может убрать и доступ участников, и путь от ST-DIGITAL, если они сходятся там. Полезная архитектура рассматривает такие события общего риска отдельно от простых случаев отказа площадки.

Вобзоре Internet Society о точках обменаперечислены базовые составляющие: нейтральные объекты, коммутация, маршрутизирующее оборудование, питание, охлаждение, безопасность и квалифицированная эксплуатация. Для CAMIX каждая составляющая должна выжить в той комбинации, которая нужна пакету. Живой коммутатор без маршрута, живой маршрут без следующего перехода или живой участник без сервиса получателя не сохраняют внутреннюю точку обмена.

Международный транзит усложняет наблюдение. Во время отказа CAMIX две сети всё ещё могут общаться, потому что у обеих остаются вышестоящие маршруты через Европу или другой внешний узел. Обычный тест аптайма пометил бы сервис как доступный. Тест национальной отказоустойчивости должен дополнительно проверять путь и задержку либо использовать контролируемые тестовые префиксы с известными обменными и транзитными политиками. Результат должен различать полностью локальную непрерывность, восстановление сервиса через международный транзит, частичную достижимость и полную потерю.

Официальную цифру задержки в одну миллисекунду можно использовать как исходную точку только с указанием источника и области действия. Если во время отказа задержка пути резко растёт, это может сигнализировать об уходе за границу, но сама по себе задержка не доказывает географию. Внутренний альтернативный маршрут тоже может быть длиннее, а международный — иногда неожиданно быстрым. Traceroute, данные о следующих переходах BGP и подтверждение участников в сочетании с задержкой дают более сильные доказательства.

Вероятный ответ сегодня — условный. Трафик между участниками, независимо подключёнными к выжившей площадке CAMIX, с корректными выжившими маршрутами и получателем, всё ещё присутствующим там, может оставаться внутренним. Трафик, в котором участвует участник с единственным подключением к отказавшей площадке, не может использовать CAMIX, если у этого участника нет другого активного пути. Трафик, зависящий от отказавшего межплощадочного канала, может распасться на локальные острова. Трафик может оставаться достижимым через международный транзит, не оставаясь внутренним. Объём каждой категории публично не оценён.

Такой ограниченный ответ полезнее, чем объявление трёхплощадочной сети либо отказоустойчивой, либо хрупкой. Он точно показывает, какие факты изменили бы оценку: сессии участников по площадкам, подтверждения независимости путей, топология межплощадочных каналов, распределение питания, размещение серверов маршрутов и наблюдения за отказами. Каждое можно измерить, не публикуя чувствительное содержимое пакетов или детальные трассы волокна на уровне улиц.

Программа испытаний, которая превратит заявления в доказательства

CAMIX может превратить заявление о трёх площадках в заслуживающее доверия свидетельство национальной непрерывности с помощью воспроизводимого учения. Учение должно начинаться с объявленной исходной точки: отметка времени, участвующие площадки, тестовые префиксы, активные сессии участников, состояние серверов маршрутов, обычный путь, обычная задержка и уровень трафика. Граница отказа должна быть определена заранее, а зависимости, намеренно оставленные за пределами теста, — названы. Это не позволит выдать перезагрузку коммутатора за результат полного отказа площадки.

Первое учение должно убрать Bépanda на краю точки обмена. CAMIX могла бы отключить соответствующие каналы коммутационной среды и экземпляры серверов маршрутов в режиме контролируемых работ, оставив измерительные системы за пределами затронутого домена. Тестовый трафик должен идти между показательными префиксами в ST-DIGITAL, Яунде и у участников с двойным подключением. Протокол должен показать потери пакетов, время сходимости, локальность пути, число маршрутов и выжившую ёмкость. Физический тест питания можно провести после того, как логическое поведение будет понято.

Второе учение должно убрать ST-DIGITAL. Оно проверяет, что новая площадка не стала неожиданной зависимостью для старой коммутационной среды, и измеряет эффект для её локально подключённых участников. Третье должно убрать CAMPOST и междугородний канал раздельно. Рассмотрение их как двух тестов отличает отказ здания от разделения транспортной сети. При тесте разделения в каждом городе должна сохраняться внутренне корректная передача, без анонсирования недостижимых следующих переходов через разрыв.

Четвёртое учение должно отказывать каждый сервер маршрутов независимо, а затем и весь класс сервиса серверов маршрутов. Участники с двусторонними сессиями и участники, зависящие от распределения через сервер маршрутов, должны наблюдаться отдельно. Тест должен включать синтетический нетранзитивный отказ уровня 2, чтобы мониторинг был вынужден обнаружить состояние, в котором сессии сервера маршрутов остаются установленными, а следующие переходы пиров не работают. Это отказ, который с наибольшей вероятностью вскрывает разрыв между исправной управляющей сессией и работающим путём пакета.

Пятое учение должно проверить подключение участников. Выборка участников с подключением на двух площадках должна по очереди отключать по одному каналу доступа и показывать, что альтернатива не проходит через отказавшую площадку или общую местную кабельную канализацию. Удалённые участники должны назвать класс приобретаемого защищённого сервиса. Результаты можно агрегировать, чтобы защитить коммерческие детали: число проверенных путей, число путей, выполнивших требование независимости, и общие причины там, где не выполнили.

Шестое должно проверить переключение питания на всех трёх площадках. Наблюдать нужно обменный коммутатор, сервер маршрутов, оптическое оборудование, операторский стык и показательный маршрутизатор участника, а не только ввод питания объекта. Заявления о времени работы генераторов не обязательно каждый раз проверять до полного исчерпания; осмотр топлива, журналы обслуживания и периодические учения на выносливость дополняют более короткие живые тесты переключения. В результаты нужно включать восстановление питания от сети.

Публичный отчёт может быть компактным. По каждому сценарию он должен указывать отказавший домен, ожидаемый результат, наблюдаемый результат, интервал сходимости, процент сохранённых тестовых маршрутов, оставшийся внутренним трафик, минимальный выживший запас ёмкости и нерешённые общие зависимости. Каждый результат должен быть датирован, с пометкой, был ли тест смоделирован, логически изолирован или физически обесточен. Исторические результаты должны оставаться доступными, чтобы участники видели, улучшается ли отказоустойчивость по мере появления участников на третьей площадке.

Затем внешние реестры нужно привести в соответствие с эксплуатацией. CAMIX может обновить запись о дуальской точке обмена, указав объект ST-DIGITAL, когда это уместно, опубликовать матрицу подключений по площадкам или агрегированные данные и открыть работающий looking glass и графики трафика. Значения в реестрах не обязаны совпадать с внутренними счётчиками точки обмена в реальном времени, но расхождения следует объяснять датой и областью действия. Тогда публике будет понятно, почему интерфейс с поддержкой 100G, 44 Гбит/с перечисленных портов площадок и более низкий пик трафика не противоречат друг другу.

Дизайн измерений должен использовать независимость отказов в качестве организующего принципа. Каждое заявленное резервирование нужно тестировать против компонента, который оно призвано заменить, и против общих зависимостей, способных убрать оба. Это согласуется со стандартной практикой точек обмена, но адаптировано к географии Камеруна и конкретной трёхплощадочной конфигурации CAMIX. Это также даёт доказательства, которые пользователи из госсектора и коммерческие участники могут включить в собственное планирование непрерывности.

Публикация — не финальный шаг. CAMIX следует установить периодичность после крупных изменений топологии, прихода новых крупных участников, обновлений серверов маршрутов и модификаций питания на объектах. Третья точка присутствия — движущаяся система: её отказоустойчивость может расти по мере перехода участников на двойное подключение или ослабевать, если трафик растёт быстрее защищённой ёмкости. Датированная повторяемость превращает разовую демонстрацию в эксплуатационный архив.

Вердикт об отказоустойчивости и контрольные индикаторы

Третья точка присутствия CAMIX стратегически значима. Она добавляет отдельный названный объект в Дуале, оператор-нейтральную среду, дополнительное место встречи сетей и правдоподобный способ уйти от зависимости от одного старого здания. Она также может сделать всю точку обмена привлекательнее для сетей, которым проще впервые подключиться в ST-DIGITAL. Это реальные преимущества ещё до демонстрации полной независимости отказов.

Данные сильнее всего на уровне институциональных намерений и местоположений. CAMIX последовательно описывает три площадки и миссию удерживать локальный трафик локальным. Внешние записи и записи сообщества подтверждают старые площадки Bépanda и CAMPOST и дают сигналы о присутствии ST-DIGITAL. Источники об объектах описывают значительную защиту питания и взаимоподключения в DLA01. Записи реестров показывают текущие логические подключения точки обмена в Дуале и Яунде.

Данные средние на уровне подключённой ёмкости. Датированные публичные записи позволяют насчитать 40 Гбит/с по отображаемым подключениям Дуалы и 4 Гбит/с в Яунде, тогда как CAMIX приписывает себе инфраструктуру с поддержкой 100G. Эти цифры совместимы, потому что измеряют разные уровни. Они не устанавливают установленную ёмкость каждой площадки, ёмкость межплощадочных каналов, текущий трафик, зарезервированный запас или объём, пригодный после отказа.

Данные слабее всего там, где отказоустойчивость фактически решается. Нет просмотренной публичной топологии пути Bépanda — ST-DIGITAL, нет заявления о раздельности маршрутов для обменного транспорта Дуала — Яунде, нет матрицы подключений участников по площадкам, не раскрыто размещение резервируемых серверов маршрутов, нет описания путей питания оборудования CAMIX на всех трёх площадках и нет записи на уровне пакетов о переключении при отказе одной площадки. Это пробелы в публичном массиве, а не доказательство плохой инженерии.

Четыре контрольных индикатора определят, превратится ли третья площадка в самостоятельный национальный актив. Первый — плотность участников: создают ли крупные сети доступа и контентные сервисы активные, физически раздельные порты в ST-DIGITAL? Второй — транспорт: есть ли у новой площадки независимый от Bépanda путь к остальной коммутационной среде и отказоустойчивый путь к Яунде? Третий — управление: переживают ли потерю любой площадки размещение серверов маршрутов, мониторинг и фильтрация? Четвёртый — наблюдаемый результат: могут ли показательные пакеты во время теста оставаться между камерунскими сетями внутри Камеруна?

Последовательность имеет значение. Добавление участников без защищённого транспорта может увеличить трафик, сконцентрированный на общем канале. Добавление межплощадочного канала без раздельного доступа участников может оставить большинство конечных точек с единственным подключением. Добавление резервируемых серверов маршрутов без тестирования передачи между пирами может оставить скрытую неисправность уровня 2. Сильная отказоустойчивость возникает только при совместном тестировании уровней.

CAMIX стоит также удержаться от соблазна свести весь прогресс к одной цифре. «Три PoP», «поддержка 100G», «14 участников» и «одна миллисекунда» — краткие сигналы, но каждый может скрывать свою зависимость. Публичная таблица непрерывности с датированными результатами тестов была бы убедительнее для операторов, пользователей из госсектора и инвесторов, потому что связывала бы цифры с исходами отказов.

Пока вердикт намеренно условен. Третий PoP расширяет набор физических возможностей CAMIX и, возможно, уже улучшает доступ для части дуальских участников. Публичных данных недостаточно, чтобы утверждать, что CAMIX может потерять любую из площадок, сохранив широкий внутренний обменный путь. Этот пробел закрываем: нанести на карту общие риски, перечислить запитанные компоненты, классифицировать пути участников, опубликовать размещение плоскости управления и провести учение с отказом.

Когда пакет сможет начать путь в одной камерунской сети, пройти через выжившую площадку CAMIX и достичь другой камерунской сети после намеренного удаления Bépanda, ST-DIGITAL или CAMPOST — без международного обхода, — третий PoP пройдёт тест, подразумеваемый его названием. Пока такой трассы пакета нет, у CAMIX есть три точки присутствия и важное предложение об отказоустойчивости, которое ещё предстоит доказать.