摘要

  • 2011年1月27日，埃及路由的全球可见性分阶段骤降；另一套测量仍观察到少量源地址来自埃及的数据包。
  • 这些数据包不能证明普通用户仍可访问公共服务，也不能证明连接可以双向工作。

三种测量，三个不同问题

“互联网断网”听起来像一个开关：上一刻在线，下一刻离线。2011年1月的埃及测量呈现的情况更复杂。研究人员分别观察全球路由系统中的路由公告、网络望远镜收到的数据包，以及主动探测的响应。每种工具测量的是连通性的不同层面。它们可以互相补充，却不能相互替代。

研究的BGP基线是在1月27日20:00 UTC看到2,928个由埃及起源的IPv4前缀。时间线首先记录了20:24:11的15个前缀消失。更大规模的变化稍后发生：22:12:26起，约2,500个前缀在约20分钟内消失。到23:30，这一观测中仅剩176个前缀仍可见。数字变化剧烈，但统计对象是路由，而不是在线人数、仍能访问的网站或仍在工作的家庭线路。

一个前缀从全球路由表中消失后，依赖这些路由表的网络便很难抵达它。但撤路并不能说明本地设备是否还连着物理链路、能否通过另一条路径向外发包，或某个应用是否可用。反过来，路由仍被公告，只说明控制平面上存在一条可见路径，并不保证数据包真的到达。

望远镜看到了残余流量

第二组数据来自加州大学圣迭戈分校的网络望远镜，它观察发往未使用地址空间的数据包。这是被动观测点：它不会要求埃及用户发起连接，也不是普通用户会话的代表性样本。断网期间，源地址属于埃及的流量大幅下降，但没有归零。

这一发现的价值恰在于它很容易被过度解读。望远镜收到一个带有埃及源地址的数据包，只能说明至少有一个使用该地址的源端发出了数据包，并且它经过某条路径抵达观测点。可能是某个前缀仍然可见，也可能是入站可达性中断后仍有出站路径，还可能是扫描等非请求流量。这个观测无法识别发送者、意图、应用，也无法判断它能否收到回复。它不能证明埃及境内有人能够打开新闻网站、发送邮件或维持对话。

控制平面与数据平面可能不同步。一个网络可以停止向全球公告某个前缀，同时仍发出部分数据包。如果外部没有可用的返回路由，同一个源端仍可能无法从外部抵达。因此，观察到出站数据包与入站连接失败并不矛盾。“有些包发了出去”只是一条范围有限的观测，不等于“互联网仍可正常使用”。

主动探测把差距量化出来

研究人员还使用CAIDA Ark主动测量系统，向地址范围发送探测。断网期间，发往埃及IPv4前缀的探测约有1%得到响应；平常约为16%至17%。响应率骤降，支持“从这些测量点看，网络可达性大幅降低”的判断。但它不是用户上网率：被探测地址的选取、能响应的设备，以及每次探测所走的路径都会影响结果。

把三类数据放在一起，才能得到比单张图表更完整的描述。BGP显示大多数埃及前缀从全球视野中消失；主动探测显示响应变得稀少；网络望远镜则显示，少量源地址来自埃及的数据包仍抵达外部观测者。证据支持一次范围广、程度重的断网事件，同时存在残余网络活动。它们无法合并成一个“仍在线的埃及人比例”。

研究人员从2月2日起观测到路由重新出现；约在09:56 UTC，研究所见的前缀已超过2,500个。路由表中的恢复标志着公告可达性变化，却不能单独确定每家运营商、每个应用或每位客户何时恢复服务。

路由记录不能回答谁下了命令

路由时间线不是命令记录。研究人员有意将自治系统匿名化，以减少对运营商的风险。论文也提醒，撤路先后顺序无法还原背后的决策时间线。带时间戳的序列记录的是外部观察到的网络状态，并不记录内部讨论、法律授权或谁指示了谁。

在政治事件中，这条边界尤其重要。路由数据可以证明可达性在短时间内大范围变化，却不能独立指出每个网络的决策者，也无法解释所有例外。仅凭拓扑图归责，会让测量数据承载它们无法支撑的结论。

互联网设计中有个有用的类比：已发布或已协调的状态，与参与者实际运行的设备和代码，是两件事。Lu Heng的第64号笔记把这一区分写成设计原则：一条规则被发布，不代表它已经部署。这里仅借此提醒读者谨慎理解测量层次。有关埃及的证据来自2011年的研究，笔记并不能解释路由为何变化。

因此，把事件概括成“埃及完全离线”或“有数据包就证明互联网仍在运行”，都不准确。前一种说法抹去仍存在的路由和流量，后一种则把有限残迹误当成公共访问。更准确的叙述应分层：全球路由可见性骤降，主动探测响应变少，部分出站流量仍在，而现有测量无法复原私下的决策链或每位用户的实际体验。