2005 年 Cogent-Level 3 对等互联终止：全网可达性成为转接问责考验

摘要

2005 年 10 月 5 日，Level 3 停止与 Cogent 直接交换流量。公开记录显示，部分客户失去了跨越该分隔的某些目的地的可达性，而完整的客户与前缀影响范围仍属未知。[1][21][22]
Cogent 公开要求 Level 3 在进一步谈判之前恢复连接。Level 3 留存的公开立场称，试验性互联安排已不再满足其条件。这些是双方各自提出的商业立场，并非认定任何一方违反合同或行为违法。[1][22]
已注册前缀和客户合同并不能自动产生可用的路径。可达性取决于 AS174 与 AS3356 之间交换、接受并选用的路由，以及客户实际拥有的任何备用转接或多宿主连接。
Merit 利用选定的 RouteViews 观测数据，研究了 Cogent 的 38.0.0.0/8 的可达性。RouteViews 与 RIPE RIS 可以保存参与采集器的通告与撤销记录，但无法揭示所有私有策略、本地优先级、客户路径或商业条款。[8]-[10]
只有替代提供商、被接受的路由通告、容量和应用依赖都真正独立时，多宿主才能降低风险。第二份合同若没有实际有效的替代路由，就不等于业务连续性。
10 月 28 日，两家运营商宣布达成经修改的免结算对等互联协议，其中包含流量义务、有条件付款，以及一项旨在在关系日后终止或违规未纠正时保护客户的流程。公开声明描述的是一种控制设计，并非证明所有未来互联风险都已消失。[2]
后来的 BGP、MANRS 和 NIST 指导有助于界定可度量的控制措施，例如明确策略、路由监测、最大前缀限制、协调和事件证据。这些属于对照材料，并非适用于 2005 年事件的追溯法律。[13]-[20]
问责标准是运营层面的：绘制依赖客户图，在终止前证明备用可达性，在变更期间观察路由与事务影响，保留有边界的纠正流程，并从两家运营商网络之外验证恢复情况。

互联网可达性常被推销成一种稳定属性。客户获得地址，连接到上游运营商，便能看到通向世界各地目的地的路由。从这个角度看，“互联网”似乎是一项连续的服务。然而在控制平面中，可达性并非一种制度性承诺。它是独立网络各自宣告前缀、接受或拒绝这些通告、选择路径并按自身策略转发流量后产生的当前结果。

2005 年 10 月，运营 AS174 的 Cogent Communications 与运营 AS3356 的 Level 3 Communications 之间的争执暴露了这一差异。10 月 5 日，Level 3 停止与 Cogent 直接交换流量。当时的声明和报道称，两家网络的客户在由此产生的分裂中失去了对部分目的地的访问。两家公司仍与互联网的其他部分相连，该事件并未将整个全球网络分割开来。但在没有可接受的替代路由将 Cogent 可达的目的地与 Level 3 可达的源端连接起来的地方，注册记录和客户期望都无法让数据包跨越缺失的互联。

这是一次蓄意的终止对等互联，而不是路由泄漏、路由劫持或意外的 BGP 通告。运营故障源于一条此前在两个大型网络之间承载流量的路径被移除。这一区别决定了哪些证据重要。调查人员必须审查互联决策、BGP 路由变化、替代路径、客户依赖、多宿主、沟通和恢复情况。对商业分歧的泛泛描述会忽略使该分歧产生后果的机制。

这一事件还考验了一种特定的问责类型。对等互联与转接是不同的商业安排，公开记录将恢复后的关系描述为免结算对等互联，而非付费转接。然而，两家公司都在一个价值取决于域间可达性的生态系统中销售连接服务。因此，问责问题并非两个自治网络是否必须免费对等互联，而是控制关键互联的运营商能否识别客户依赖、在不掩盖运营后果的前提下管理终止、保存证据并证明恢复。

可达性存在于正在运行的路径中

一个 IP 地址分配可以标识某个地址块的持有者。一个自治系统号可以标识一个路由域。合同可以说明客户购买了什么，互联协议可以描述两家运营商对彼此的期望。但这些记录本身都无法在路由器转发表中安装一条路由。

要让数据包从 AS174 背后的客户到达 AS3356 背后的目的地，相关网络需要双向存在一系列被接受的路由。这一路径序列可能使用 Cogent 与 Level 3 之间的直接互联，也可能通过另一家运营商，前提是导出策略、商业关系、容量和选路允许该路径。如果没有网络通告可接受的替代路由，目的地可能仍然拥有有效注册和正确起源，却从另一侧不可达。

这使得“全网可达性”成为一种运营上的简略说法，而不是保证每台主机始终应答的绝对承诺。即使存在网络路由，防火墙、应用故障和本地策略也可能使某项服务不可用。2005 年争议中的相关问题更窄：普通域间路由是否在其实际连接依赖于 AS174-AS3356 关系的前缀之间提供可用路径？

运营商的市场标签无法回答这个问题。将某网络描述为主要骨干或一级运营商，可能表明其规模或商业地位，但并不能产生全球强制执行的路由义务。每个自治系统都保留对导出路由、接受路由以及优先路径的控制权。互联网没有中央路由器可以命令两个网络在终止双边关系后继续交换流量。

这种独立性是互联网的优势之一。它允许网络在不向中央机构申请许可的情况下做出不同的安全、工程和商业决策。同样的独立性也带来连续性问题：当客户没有可用绕行路径时，双边决策可能产生超出双方的影响。因此，问责必须遵循实际控制而非标签。控制会话的运营商控制该会话是否保持可用；销售连接的运营商控制其所提供或建议的弹性；客户则在技术和财务限制内控制自己的冗余。

2005 年的事件将这些层面汇集在一起。两家公司存在商业分歧，但其对客户的影响通过 BGP 表现出来。决定性事实不只是双方认为协议要求什么，而是哪些路由停止交换、哪些替代路由仍可接受、哪些客户依赖被移除的路径，以及直接关系如何恢复。

十月争议的有界时间线

可辩护的时间线始于 2005 年 10 月 5 日，Level 3 停止与 Cogent 直接交换流量。公开材料将该行动描述为终止两家公司的直接对等互联关系。现有证据无法确立该互联的完整物理布局、涉及的会话或端口数量，或每个地点的容量。因此，“连接”不应被理解为一条电缆或一台路由器代表整个关系的证明。

当时的报道迅速将后果定义为可达性问题。据报道，一些通过其中一家网络连接的用户和企业无法访问依赖另一家网络的目的地。这些记录支持对等互联终止产生了真实客户影响的结论，但无法确立受影响前缀的完整清单、两家运营商中任一方的全面断网、双方受到同等影响，或互联网不可达的精确百分比。

10 月 7 日，Cogent 公开呼吁 Level 3 在继续谈判前恢复互联。这一声明是 Cogent 立场及其提议顺序的证据：先恢复客户连接，再处理争端。它不能独立确立任何一方的保密义务，也不能判定早先安排是否满足其条款。

Level 3 给出了不同的公开解释。其声明保存在当时的报道中，将被终止的关系描述为不再满足适用条件的试验性对等互联安排。这是 Level 3 所陈述理由的证据。公开记录并未提供完整协议、用于评估该协议的测量数据、所涉具体流量特征，或导致终止的内部审议。它不能支持 Cogent 违反某一未公开条款或 Level 3 评估错误的结论。

NANOG 存档的运营商讨论记录了当时关于路径和可达性的疑问。这些消息很有价值，因为它们展示网络工程师在事件展开时观察和测试的内容。它们并非对互联网的受控普查。参与者拥有不同的观测点、商业关系和路由信息访问权限。来自某个网络的报告可以准确描述该网络的路径，却不能确立其他每个网络所看到的情况。

10 月 28 日，Cogent 与 Level 3 联合宣布达成经修改的免结算对等互联协议。声明描述了与流量特征和流量相关的义务、未满足义务时的付款，以及旨在在关系日后终止或违规未纠正时减少客户损害的流程。这一公告是补救结构最有力的共同公开证据，因为两家公司共同发布。

该声明仍然不是完整合同。它没有公开披露所有阈值、测量方法、纠正期、运营流程或决策权。它的存在也不能证明每个客户路径都在同一时刻恢复，或所有未来互联风险都消失了。它表明两家公司根据修订后的条款恢复了关系，并公开将客户保护流程确定为解决方案的一部分。

后来的 FCC 记录在对互联网互联、骨干竞争和客户可达性的更广泛分析中讨论了该事件。这些记录有助于解释为什么大型网络之间的争议会影响并非对等互联安排签署方的各方。不应将其转化为对 2005 年行为的法律判断。所引材料并未确立任何一家运营商违反法律、法规或合同。

BGP 中发生了什么变化

BGP 允许自治系统交换可达性信息。路由通告标识一个可达前缀，并携带属性以帮助接收网络应用策略和选择路径。AS 路径记录通告传播经过的自治系统，而其他属性和本地配置的优先级则影响网络安装哪条路由。

决策过程是去中心化的。Cogent 可以根据其导出策略向 Level 3 通告客户和内部前缀。Level 3 可以根据其导入策略接受、过滤或优先这些通告，然后将选定路由向适当的客户或对等方展示。反向过程适用于 Level 3 路由到达 Cogent。两家公司都无法控制所有中间网络，也都不能强迫第三方导出替代路径。

当直接外部 BGP 关系终止时，仅通过该关系学习到的路由在撤销、会话丢失或策略移除后便不再可用。路由器随后重新考虑其他可用路径。如果另一家运营商通告可接受的路由，流量可能转向该路由。如果不存在替代路径、被过滤或商业上不可用，受影响路由器就没有通往目的地的可用路径。

这就是为什么同一次终止对等互联可能对不同客户产生不同结果。一个网络可能有另一条上游承载连接两侧的路径。另一个网络可能只学到随直接会话消失的路由。第三个网络可能看到替代路径，却因策略、前缀长度规则或关系约束而拒绝。第四个网络可能选择了替代路由，但其容量或返回路径不支持可靠的应用流量。

直接路径的丧失也不一定产生对称症状。BGP 决策由每个网络独立作出，数据流量需要可用的前向和返回路径。数据包可能到达目的地，而响应却无法沿可用路由返回。不同的本地偏好可能使两个方向经过不同的自治系统。因此，在一个方向上观测到路由成功，并不能证明双向服务完整。

公开记录未披露 Cogent 和 Level 3 完整的本地偏好配置。它也没有揭示每一项路由过滤器、社群处理、私有对等或第三方转接安排。公开的 AS 路径可以提示流量可能如何流动，但不能披露决定选路的所有内部策略。

BGP 社群增加了另一层潜在证据。早于该事件的 RFC 1997 定义了向路由附加策略相关标签的方法。网络可以使用社群来请求或指示传播行为。然而，许多社群的含义和实现是网络特定的。即使某个社群出现在公开更新中，它也不会自动披露管理该路由的私有协议，或证明每台路由器都应用了预期策略。

因此，该事件不能简化为“所有路由都消失了”。AS174 和 AS3356 继续运行，与其关联的前缀在许多位置仍然可见。更窄的问题是，跨越先前关系的路径是否仍可通过其他网络获得。某个前缀在一个采集器可见，却可能从特定客户不可达。反之，某路由在一个采集器缺失，却可能在别处通过私有或不同选择的路径仍可达。

路由有效性也不能保证连接。起源正确的前缀可能因没有可接受路由到达某个网络而不可达。现代起源验证机制可以帮助确定起源是否被授权，但不能强制两个自治系统维持对等会话，或要求第三家网络在它们之间承载流量。2005 年的故障关乎路径可用性和策略，而不仅仅是地址所有权或起源真实性。

为什么一些网络能够绕开分裂

多宿主是终止对等互联事件中最明显的弹性机制。连接到多个上游的客户可以通过多个网络通告其前缀，并通过多条路径学习目的地。如果一个上游失去对互联网某部分的可达性，另一个上游可能保持可用路由。

这种描述在技术上是合理的，但作为问责答案并不完整。多宿主不仅需要签署第二份接入合同。客户可能需要两个上游都接受的地址空间、自治系统号、兼容的路由设备、能够运行 BGP 的人员、路由过滤器、监控、安全控制以及备用连接上的充足容量。返回路径也必须收敛到可用路由。带有状态防火墙、地址依赖或对路径变化敏感的应用可能需要额外工程。

商业策略同样重要。备用运营商必须愿意且能够导出相关路由。客户不能假设任意两条连接就能在上游网络之间的任何纠纷中形成路径。前缀长度过滤可能阻止更具体通告传播。为应急管理流量设计的备用电路可能无法承载正常生产负载。名义上多样的连接可能共享物理设施或共同的上游依赖。

因此，存在多宿主并不能证明每个多宿主客户都保持了服务。它确立的是一种可能的控制，其效果必须得到测试。同样，缺少多宿主本身并不能证明不谨慎。小型客户可能缺乏独立路由连接所需的预算、专业知识、地址资源或议价能力。作为普通互联网接入出售的服务，消费者无需自行建立微型骨干网络也能合理使用。

单宿主客户面临更尖锐的依赖。如果其唯一上游没有通往另一侧目的地的可接受路由，他们就不可能在终止对等互联后重建骨干互联。他们可以寻求另一家运营商的应急服务，但配置、路由接受、设备和合同都需要时间。控制被移除互联的一方改变路由可用性的速度，可能远快于许多依赖客户更换它的速度。

第三方运营商是路径的另一部分。替代网络可能与 Cogent 和 Level 3 都有关系，但其导出策略可能不允许它在两者之间充当中介。域间路由通常反映商业角色：运营商可能广泛通告客户路由，却拒绝在对等方之间提供免费转接。公开 BGP 路径可以支持这些关系的推断，但 CAIDA 的文档强调，底层商业安排通常是保密的，必须经常通过推断得出。

这一点很重要，因为拓扑图可能夸大弹性。两个网络都可以连接到第三个自治系统，却不一定能通过它获得可用路径。关键问题不是地图上是否存在连线，而是路由是否在真实策略下被导出、接受和选择，并有足够的转发容量承载由此产生的流量。

因此，可辩护的连续性评估应按观测到的依赖对客户分类，而不是简单贴上多宿主或单宿主标签。它应询问哪些前缀拥有经过验证的替代路径，哪些服务具有双向可达性，容量是否仍然充足，以及每类客户受影响持续多久。冻结的公开证据并未提供 2005 年 10 月这一完整矩阵，因此关于影响分布的声明必须保持有限。

从公开路由证据重建事件

公开路由采集器提供了观察该事件的重要但局部的窗口。RouteViews 归档了 2005 年 10 月的 BGP 更新，使调查人员能够检查从参与对等方收到的通告与撤销。RIPE RIS 解释了分布式采集器的类似作用：它们记录选择与其对等的网络所看到的路由信息。

Merit 的 BGP 检查案例研究将该 Cogent-Level 3 事件作为路由分析练习，并利用选定的 RouteViews 对等方考察涉及 Cogent 38.0.0.0/8 的可达性。这是一项有用的有界调查。它并不会将一个聚合前缀和一组选定观测点转化为 Cogent 客户、Level 3 客户或全球受影响路由的完整清单。

严谨的重建始于将事件锚点与路由观测分离。公司声明确立直接关系被蓄意终止并在随后恢复。采集器数据随后可以展示特定路由在参与对等方看来在这些变化之前、期间和之后如何呈现。当时的运营商消息、traceroute 和客户报告可以检验观测到的控制平面变化是否与转发或应用故障相对应。

时间戳对齐至关重要。BGP 更新流既包含普通路由波动，也包含与事件相关的变化。会话重置原因众多；前缀可以在与对等纠纷无关的情况下被撤销和重新通告。调查人员不应将 10 月 5 日附近的每一条更新都归因于终止对等互联。更强的推断来自涉及相关路径的多次变化、跨独立观测点的时间一致性，以及运营观测的佐证。

采集器多样性同样重要。一个 RouteViews 对等方提供其选择并导出给采集器的路由。它不会暴露该对等方考虑过的每一条路由、被策略拒绝的每条路由，或网络内部的每个转发表条目。RIS 采集器也有同样的基本限制。增加采集器可以提高可见性，但任何有限集合都无法获得每个私有互联和每台路由器的上帝视角。

AS 路径证据也需要克制。可见路径标识所选通告中列出的自治系统。它不揭示内部路由器跳数、端口利用率、合同价格或沿该路径实际转发的所有流量。本地偏好通常不会在自治系统之间传播，因此外部观察者可能不知道某条路径获胜的原因。私有对等可能不出现在公开采集器数据中。

没有上下文的撤销同样含糊。它可能意味着路由对通告对等方不再可用，导出策略改变，或会话故障。它本身不能确定变更背后的商业决策。在此案例中，公司声明提供了原始更新无法提供的意图：互联是被蓄意终止的。

Traceroute 增加了转发线索，但不是全知。路由器可能抑制响应、使用与表象路径无关的地址，或不对称转发流量。一个停止的 traceroute 并不总能确定准确的故障点。从一个位置成功的 traceroute 不能证明从所有位置可达。不过，来自独立网络的重复追踪有助于区分本地应用问题与域间路径的更大范围缺失。

客户报告提供了另一层证据。一家无法跨越分歧访问网站的企业提供了实际损害的证据。但仅凭报告可能无法确定是哪个上游、路由策略还是返回路径导致了故障。最可辩护的叙述会将投诉与源和目的地前缀、时间戳、BGP 观测以及可用的前向和反向路径测试对齐起来。

由此产生的证据应该用置信度表述。公司直接公告可以确立关系被终止或恢复。采集器可以确立参与对等方在特定时间通告了特定路径。多个独立的路由和转发观测可以支持更广泛的推断。仅凭其中任何一项都无法提供完整客户清单、私有合同或精确的全球影响。

FCC 材料增加的是市场背景，而不是数据包级证据。它们对骨干互联和网络效应的讨论有助于解释为什么客户看重自家运营商之外目的地的访问。后来监管文件中提及 Cogent-Level 3 争议，表明其与互联政策相关。它们不能取代路由证据，也不能决定个人客户损失的法律责任。

为什么这不是路由泄漏或劫持

路由泄漏通常涉及路由信息传播超出相关关系所意图的范围。由此产生的问题往往是意外路径的存在或被选。劫持通常涉及对起源的未授权声明或其他虚假路由声明，从而转移或拦截流量。两者都可能造成可达性和安全故障，但其机制与蓄意终止对等互联不同。

Cogent-Level 3 事件关乎直接路由交换的移除。公开声明描述的是蓄意互联决策。核心故障是一些路径不再可用，而不是一家运营商虚假宣称拥有对方前缀的起源，或意外将自己宣称为本不应传播路由的转接方。

这一区别改变了适当的控制措施。前缀过滤和起源验证可以减少对未授权通告的接受。关系感知导出策略可以减少路由泄漏。这些机制不能强迫某运营商继续有效的对等互联关系。即使在完美过滤的路由器上，会话被蓄意终止后仍可能没有通往某目的地的路由。

原始 BGP 数据本身并不总能揭示这一区别。采集器可能看到撤销、替代路径或可见性丧失。只有当这些观测与公司的公开解释结合时，意图才变得清晰。将该事件称为泄漏或劫持，会同时误述证据和控制面。

这一区别也保护历史比较免受后见之明影响。后来的路由泄漏分类法和关系角色机制帮助当今运营商表达和检查路由意图。它们不能证明 2005 年的终止是意外的策略逸出，也不能为公司的商业决策创设追溯义务。

商业立场与运营问责

保密的互联条款对任何合同纠纷都很重要，但并非识别客户连续性问题的必要条件。两家公司就是否试验性关系继续满足其条件公开表达了不同意见。在没有完整协议和基础测量的情况下，外部叙述无法确定哪种商业解释正确。

运营问责始于不同的起点。一旦运营商知道终止互联可能移除某些客户唯一可用的路径，该决策就具有可度量的连续性后果。可以在不宣称该运营商缺乏终止合同权利的情况下审查这些后果。

这种分离避免两个相反的错误。第一个是假设任何客户影响都证明不当行为。网络必须保留执行协议、保护基础设施和终止关系的能力。实际上强制永久免结算对等互联的连续性标准会抹杀合法的运营和商业自主权。

第二个错误是将双边合同纠纷视为只有双边影响。客户并非对等互联关系的当事方，但有些客户依赖通过它交换的路由。如果任何一方都没有绘制这种依赖、测试替代方案或建立有界的终止程序，那么即使终止在合同上被允许，这些控制缺失仍然重要。

因此，问责并非指责的同义词。它是一种证据纪律，询问谁控制每个决策、各方能够合理观察什么、存在哪些保障，以及结果是否得到验证。法律责任需要额外事实和适用法律。这里的公开记录并未确立违约、过失、恶意、垄断行为或监管违规。

流量不平衡的指称说明了为什么归因至关重要。Level 3 的公开解释提及试验性安排的条件，而后来联合声明描述了流量特征、流量义务和有条件付款。这些声明表明，与流量相关的商业标准是公开争议和补救的一部分。它们并未披露确切比率、阈值、测量周期或价格。

路由采集器无法填补这一空白。AS 路径显示的是通告可达性，而不是流量。即使接口计数器也需要位置、方向、聚合和合同测量方面的背景。从公开 BGP 数据推断保密的互联阈值，会将路由控制平面与商业会计混淆。

恰当的结论是有界的：一场商业分歧导致直接路由交换被蓄意移除；据报道部分客户失去可达性；双方公开提出不同解释；随后他们以包含客户保护程序的修订条款恢复互联。证据无法裁定未公开的合同实质。

故障的控制面图

Level 3 控制其终止直接对等互联关系的决定及其在相关 BGP 会话中一方。它还控制接受和导出的路由、内部升级、与客户的沟通，以及其使用的任何分阶段或即时终止程序。这些领域界定了其运营问责，而不解决终止是否具有商业正当性。

Cogent 控制自己的会话、路由通告、导入和导出策略、客户沟通和弹性产品。其 10 月 7 日声明提议在进一步谈判前立即恢复，但公开倡导并不能消除其自身责任。Cogent 有条件了解哪些客户依赖其上游和对等关系、它能提供哪些替代方案，以及其销售的连接伴随哪些限制。

两家运营商共同控制双边恢复。一方可以提议恢复会话，但可用的互联需要双方的兼容行动：活动会话、被接受的路由、可行的策略和正常运行的转发。联合公告表明关系是通过协议恢复，而非单方面路由行动。

其他运营商控制潜在的替代路径。它们的策略决定是否会在双方之间承载路由以及以何种商业关系承载。它们还控制自身网络内的容量、过滤和事件沟通。它们存在于拓扑中并不保证它们会提供可接受的路径。

客户控制一些弹性选择，包括是否购买多样连接、运行 BGP、跨网络分布服务或监测外部可达性。这种控制受成本、技术能力、地址资源、合同可用性和配置时间限制。将每个受影响客户都视为能够立即多宿主是不准确的。

注册机构控制关于自治系统号和地址资源的记录。这些记录支持身份和路由管理，但并未强制 AS174 与 AS3356 之间建立可用路径。正确的注册条目可以帮助运营商知道谁发起某前缀或联系谁，却不能恢复被终止的 BGP 关系。

路由采集器运营者控制的是测量基础设施，而非生产路径。它们的存档使后续分析成为可能，但采集器无法让运营商接受某条路由。测量是一种问责账本：它记录参与网络所暴露的部分情况，并非运营连续性的替代品。

监管机构可以审查市场结构并行使法律授予的权力，但它们不操作路由器。FCC 记录提供了关于互联激励和网络效应的背景，并未确立该机构指示了 2005 年恢复或认定任一公司有法律过错。

这幅图阻止责任坍塌到某个方便的单一主体。终止决定、商业争议、替代路径清单、客户弹性和恢复由不同各方控制。有效的问责记录这些分工，而不是假设某一方的角色抵消所有其他方。

10 月 28 日协议作为补救设计

10 月 28 日的联合公告之所以重要，是因为它超越了相互竞争的公开声明。Cogent 与 Level 3 表示已达成经修改的免结算对等互联安排。声明描述了与流量特征和流量相关的义务、未满足义务时的付款，以及一项旨在在关系终止或违规未解决时保护客户连接的流程。

这些要素应对若干不同的故障压力。可度量的流量义务可使双方之间的商业标准不那么模糊。有条件付款可以在商业不平衡时提供立即终止之外的替代方案，同时运营服务继续。定义明确的到期或未纠正违规程序可以留出时间通知客户并安排替代路径。

公开描述并未显示这些机制具体如何运作。它没有揭示阈值、公式、截止日期、升级责任人，或证明合规所需的证据。它也没有证明有条件付款在每种情况下都可用。任何更强的描述都会重建从未发布过的私有条款。

然而，客户保护条款仍然重要。其纳入表明双方将连接影响视为互联协议可以程序化处理的事项。这与说协议保证不间断的全球可达性不同。程序可以在降低风险的同时，在不可预见条件、容量不足或实施不完整的情况下仍然失败。

恢复还需要的不仅仅是签署条款或将会话带入 established 状态。路由必须被交换、接受和选择。转发必须在两个方向正常工作。在中断期间变为活跃的替代路径可能需要收敛回来，而不引起新的不稳定。客户端点必须能从相关网络到达。

公开公告确立了恢复后的安排，但并未提供每个客户恢复的完整记录。因此，有界的叙述应该说，公司根据修订条款恢复了直接互联，而不是说每个受影响应用同时恢复，或所有后果在同一普遍时间结束。

后续指南作为对照，而非追溯法律

RFC 4271 正式确立了 BGP-4 的路由交换和决策框架。它发表于 2005 年 10 月争议之后，尽管它记录了当时已在互联网上运行的协议族。它有助于解释路由如何被通告、撤销和选择。它并未对两个自治系统施加维持免结算对等互联的商业义务。

RFC 7454 晚得多才出版，汇集了 BGP 会话的运营安全实践。它讨论了过滤、会话保护、前缀限制和策略控制。这些实践有助于评估运营商如何使互联行为更具可预测性和可观测性。它们不能确定任一公司是否满足 2005 年合理适用的标准，也不能保证蓄意关闭会话后的连续性。

RFC 8212 将明确的导入和导出策略确立为外部 BGP 更安全的默认做法。该方法减少因缺失策略导致的意外传播。Cogent-Level 3 事件并非由于空配置默认允许行为导致路由被意外导出的例子。明确策略可以记录意图，但仍允许故意不交换路由的决定。

RFC 7908 对路由泄漏进行分类。其分类法有助于将意外传播与合法的客户、对等和转接关系区分开来。2005 年事件不属于该分类法的核心故障模式，因为证据涉及蓄意终止对等互联。谨慎使用术语可以防止路径缺失被误标为过多或未授权路径。

RFC 9234 后来引入 BGP Roles 以及表达相邻自治系统关系意图的机制。更好地表达角色有助于识别不兼容配置并约束路由传播。它无法编码每项私有商业条件，也不能强迫两个网络在关系结束后保持互联。

RFC 1997 在历史上有所不同，因为 BGP 社群在争议之前已经标准化。社群可以帮助网络指示路由处理的偏好。其可用性并不能证明 AS174 或 AS3356 在 2005 年 10 月如何使用它。它也不会把采集器上观察到的社群值变成合同意图的完整陈述。

MANRS 指南后来阐述了涉及过滤、协调、全球验证和反欺骗的运营商行动。NIST 后来的域间路由指南同样强调弹性配置、监测和事件响应。这些材料提供了有用的当代对照点：运营商可以维护联系信息、观察路由变化、验证策略并准备响应程序。

这些都不是追溯法律。它们都不能补充缺失的 2005 年合同、流量测量或内部升级记录。它们都不会仅仅因为运营商历史行为不同于后来建议而证明存在过失。它们的正确用途是前瞻性的：帮助将这一事件转化为当前网络可以度量的控制措施。

现代基于 RPKI 的起源验证值得同样谨慎。它可以帮助网络拒绝无效的起源通告。它不能确定对等方是否应当承载有效路由、容量是否存在，或商业关系是否必须继续。一条路由可以在密码学上与授权起源一致，却仍然不可达，因为没有可接受路径跨越相关网络边界。

因此，最具迁移价值的后续教训不是某一安全机制本可解决争议，而是关系意图、路由策略、监测、协调和连续性规划必须相互连接。网络需要知道自己打算交换什么、实际交换什么、哪些客户依赖这种状态，以及如何验证受控退出。

可度量的终止与恢复标准

有用的问责标准必须对商业结果保持中立。它不应要求无限期对等互联、规定结算条款，或假定任何参与者有权获得免费转接。它应要求运营商使计划终止的连续性后果可观测且受约束。

第一个度量是依赖覆盖。在结束重要互联之前，每家运营商都应识别出直接关系是唯一已验证路径的客户前缀、目的地组或服务类别。可度量的结果并非声称了解整个互联网，而是运营商在范围内的客户清单中已评估依赖的比例及时间戳。

依赖记录应区分直接观测与推断。通过互联看到的路由不一定依赖它，如果存在另一条可接受路径。拓扑中显示的替代路径如果从未测试其是否被导出、接受和可用，就不能算已验证。因此，记录应说明支持每个分类的观测点、路由策略和转发测试。

第二个度量是替代路径验证。对于每个依赖组，运营商应记录是否存在至少一条经过测试的替代路由、前向和返回路径是否正常，以及该路径是否具备预期服务的足够运营容量。相关指标是已验证覆盖率：测试可达单元除以所有预期需要替代的单元。

该比率必须携带范围信息。仅从运营商自己路由器测得的高结果不能确立外部可达性。测试应包括代表实质性不同路径的独立网络。标准不必规定通用的观测点数量；它应要求运营商说明为什么所选集合代表面临风险的客户和地区。

第三个度量是策略准备度。运营商应保存终止前、期间和之后的预期导入与导出策略，以及责任人和启用时间。该证据使区分计划撤回与意外泄漏、配置错误或无关会话故障成为可能。

策略准备度还包括在可行时进行模拟或受控测试。运营商可以在结束关系之前降低直接路由的偏好，或通过替代路径测试选定的客户前缀。此类测试可能并非每种架构都可行，其本身也可能带来风险。可问责的要求是记录是否执行、覆盖范围以及为什么接受任何未测试依赖。

第四个度量是容量准备度。如果替代 BGP 路径在常规重定向流量下崩溃，它就不是连续性控制。运营商应记录相关替代路径的测试容量、包含的流量类别和测试时间。这并不要求公开保密流量。它要求内部证据足以确立绕开互联不仅仅是理论可能。

第五个度量是通知与升级。终止计划应确定决策责任人、网络运营责任人、客户沟通责任人和对端联系人。它应记录每个通知时间，以及已识别依赖组中的客户何时收到可操作信息。

可操作通知必须解释运营风险，而不是仅仅描述商业纠纷。客户需要知道哪些服务可能失去可达性、有哪些替代连接可用、应执行哪些测试，以及向哪里报告故障。度量是覆盖率和耗时：多少已识别依赖客户收到通知，以及通知发生在路由变化之前或之后多久。

标准应允许应急例外。安全事件、失控故障或即时合同风险可能使提前通知不可能。例外不应抹去证据。它应记录立即行动的原因、授权人、所考虑的保障措施，以及最早通知客户和对端的时间。

第六个度量是事件可观测性。终止时，双方运营商应保存会话状态、路由数量、相关通告与撤销、被接受路径变化和转发测试结果。仅有“会话关闭”条目不足，因为客户影响取决于随之消失的路由和路径。

可观测性应产生可达性矩阵，而非单一全局百分比。行可以代表测试的源网络或客户群；列可以代表相关目的地前缀或服务。每个单元格可以记录可达、不可达、降级或未验证，并带时间戳和观测点。这暴露不确定性，而不是将未测量空间转化为假定成功。

第七个度量是检测性能。运营商应知道路由变化后监测系统识别可达性丧失耗时多长。计时不应在 BGP 会话状态变化时停止，而应在系统以足够具体程度识别客户影响时停止。

检测应区分控制平面与数据平面信号。路由撤销可能预示损害，而主动探测可确定数据包是否仍通过替代路径传输。应用检查可以显示路由收敛后服务是否正常。将这些度量分开，防止将路由表条目误认为已完成的客户服务。

第八个度量是事件沟通。中断期间，状态说明应区分已验证事实与假设及归因商业立场。运营商应报告发生了什么变化、已测量的范围、仍未知的内容以及下次更新时间。如果已知客户群体之间的分区被隐藏，“互联网仍然可用”之类的表述就不充分。

第九个度量是有界恢复。恢复始于双方采取纠正行动，但仅仅会话回到 established 状态并未完成。运营商应验证预期前缀正在交换、策略正在接受、所选路径稳定，并且从代表性外部网络转发成功。

恢复记录应保留单独时间戳：会话建立、路由接受、首次成功数据平面测试、每个客户群的恢复，以及未解决投诉关闭。这些时间戳防止技术在方便时刻的事件（如第一次 BGP keepalive）被呈现为客户损害的普遍终结。

第十个度量是路由状态对账。直接对等恢复后，中断期间使用的路径可能仍被优先选择，或者流量在策略重新收敛时振荡。运营商应比较预期恢复后状态与观测路由，并调查实质性差异。目标不是强迫每条路由回到早期路径，而是确保结果状态被理解和可用。

第十一个度量是未验证暴露。每份终止记录都应说明有多少范围内前缀、客户群体或外部地区未测试。未知覆盖是一个问责事实，不是空白字段。报告它可以防止有限成功样本变成无根据的普遍恢复声明。

第十二个度量是证据保留。路由观测、配置变更、通知、事件消息和恢复测试应按一致时间线保留。公开采集器仍然是宝贵的独立参考，但运营商自身的证据应更完整，因为他们可以看到本地偏好、被拒绝的路由、内部拓扑和客户关联。

这些度量可以概括为连续性链条：

识别互联的依赖者。
验证哪些替代路径实际可用。
记录策略、容量和决策责任。
按声明程序通知对端和受影响客户。
在变更期间同时观察路由状态和数据包传输。
用有界群体和独立观测点度量损害。
恢复会话、被接受路由和转发。
核对结果状态并保留未解决的不确定性。

没有公开证据显示 2005 年任一运营商存在这一完整链条。该标准不应被呈现为两家公司必然违反的历史义务。它是将事件所展示的故障压力转化为可度量当前实践的一种方式。

它也避免了施加不可能的保证。没有运营商能证明每时每刻从每个网络到每个端点都可达。运营商能证明的是其所评估的范围、所测试的替代方案、所保留的观测、所警告的客户，以及宣布恢复的条件。

公开记录仍无法确立的内容

完整互联合同仍不可得。公开声明并未揭示所有流量比率、测量窗口、端口容量、价格、纠正期或终止权。没有这些事实，外部叙述无法确定任何一方是否履行或违反其私有义务。

完整路由状态同样未知。RouteViews、RIPE RIS 和 Merit 提供了宝贵的观测，但它们并未暴露每条私有对等、本地偏好、被拒绝路由或转发决策。幸存的公开数据无法识别每个受影响前缀或客户。

客户损害无法从冻结记录中精确定量。当时报道支持部分企业和用户经历可达性故障的结论。它并未确立总损失收入、每个客户的持续时间、所有服务上的应用层后果，或对两个网络的同等影响。

内部决策责任不公开。Level 3 控制其终止行动，但现有材料没有确定每位高管或运营审批人、升级顺序或变更前执行过的内部测试。Cogent 的内部响应流程和弹性评估同样不完整。

修订后的协议是补救设计的证据，而非完整实施证明。其公开描述表明了流量义务、有条件付款和客户保护流程。它没有显示每项控制后来如何测试，或是否能解决每个未来故障场景。

法律归属在此尚未解决。后来的 FCC 讨论提供了监管背景，但所引记录未确立该事件存在违法、违约、过失或恶意。运营控制和可度量问责可以在不转化为法律结论的情况下分析。

连续性由可用路由证明

2005 年 Cogent-Level 3 终止对等互联事件仍有启发意义，因为它剥离了“大型网络地位保证普遍可达性”的假设。AS174 与 AS3356 各自仍是拥有注册资源、客户和外部连接的可识别网络。然而，跨越其先前关系的部分路径停止工作，据报道一些客户无法绕开分裂。

该事件的核心事实不只是两家公司存在分歧，而是一项双边商业决策改变了域间路由可用性。BGP 撤销、替代传播、导入和导出策略、多宿主以及恢复共同决定了实际结果。

公开证据支持一个谨慎的结论。Level 3 于 10 月 5 日蓄意终止直接对等互联。Cogent 公开要求先恢复再进行进一步谈判。Level 3 称试验安排不再满足其条件。部分客户可达性中断，但完整范围未知。10 月 28 日，两家公司宣布恢复免结算对等互联，并采用修订条款，包括一项旨在未来到期或违规未解决时保护客户的流程。

这一结论无需裁定私有合同是非。也不要求强制对等互联。它要求认识到，当自主控制的行使可能孤立依赖客户时，该控制负有证据义务。

注册机构可以记录谁持有某个地址块。合同可以记录商业义务。状态声明可以记录一方的立场。全网可达性的证明在别处：在实际被通告、接受、选择和转发的路由中，以及在直接关系结束时存在可观测的替代方案。

这就是持久的问责测试。在终止重要互联之前，了解哪些客户依赖它。在变更期间，测量消失的部分，而不是假设互联网其余部分会绕行。在恢复之后，验证客户路径，而不是止步于合同签署或 BGP 会话状态。记录只有在与运行路径对应时才有用。