摘要
- CAMIX 的第三个存在点增加了杜阿拉的一个有用连接选项，但公开记录尚未证明其交换、站点间传输、电源和成员接入路径独立于较旧的贝潘达站点。
- 公开清单显示杜阿拉列出的端口合计为 40 Gbps，雅温得为 4 Gbps，明显低于 CAMIX 声称的 100G 能力架构；这些数字都没有说明在站点、电路或路由服务器发生故障后，有多少国内流量仍然可用。
- 最有力的证据将是一个可重复的单站点故障演练，展示幸存的成员路径、路由服务器收敛、通电的交叉连接以及喀麦隆网络之间不需要国际中转的分组路径。
不得离开喀麦隆的数据包
假设一个数据包从一家喀麦隆接入提供商网络发送到另一家喀麦隆网络托管的服务。正常情况下，互联网交换点应为该数据包提供一条短的国内路由：两个网络通过共享交换结构宣告可达性，直接或通过路由服务器学习对方的路由，并在不购买国际绕行的情况下交换数据包。数据包是比地图上的引脚数量更好的分析单位，因为它迫使每个依赖关系都呈现出来。它需要一个活动客户端边缘、一个活动接入电路、一个通电端口、一个可工作的交换路径、有效的 BGP 可达性以及一个到目的地的活动出口路径。
CAMIX 用这些术语描述其使命。其机构页面表示，这个成员管理、非营利的交换点旨在保持国家流量本地化，提高服务质量并减少对国际链路的依赖。这个目的比保持网站或交换机在线更为严格。只有当国内数据包仍然拥有国内端到端路径时，本地交换点才算实现了连续性。如果一个参与者失去了到交换点的唯一电缆，或者两个名义上独立的站点依赖于同一条城间电路，那么其他地方有一个可运行的交换机并不能拯救数据包。
新地点使问题更加尖锐。在2026 年 4 月 7 日的一份公告中，CAMIX 确定了在杜阿拉的 ST-DIGITAL 数据中心的第三个存在点，以及杜阿拉的 CAMTEL 贝潘达和雅温得的 CAMPOST。CAMIX 将该站点描述为一个运营商酒店，并表示 INK 和 ST-DIGITAL 已初始连接，SANCFIS 和 Afri-IX 正在准备连接，并与 Orange、MTN 和 CAMTEL 进行讨论。这些是有用的意图和早期入驻迹象。它们没有说明在发布日期哪些命名的网络正在通过该站点承载生产流量，也没有说明任何网络是否同时独立连接到两个 CAMIX 站点，也没有说明贝潘达消失后流量将如何移动。
CAMIX 的公开主页为该交换点赋予了另外三个关键数字：超过 12 个活跃成员、100G 以太网电路容量以及 1 毫秒的本地延迟。每个数字描述不同的事物，没有一个是弹性结果。即使连接成员端口加起来少得多，端口或架构也可能具备 100 Gbps 的能力。1 毫秒延迟可能描述了正常条件下的成功本地路径，但对故障期间所采用的路由只字不提。成员数量可能包括具有不同接入模式的内容、基础设施服务和接入网络。在故障期间，相关的计数是幸存架构上独立可达的参与者和前缀的数量。
这种区别至关重要，因为第三个站点的公开承诺不仅仅是更多的机架空间。它是分离故障域的可能性。较旧的杜阿拉交换点位于 CAMTEL 贝潘达；新站点位于不同的杜阿拉设施。原则上，这种分离可以保护本地交换流量免受建筑物故障、维护事件、交换机故障或局部光纤切断的影响。实际上，只有当两个设施通过不会随原始站点一起失败的路径连接、幸存站点拥有自己的通电交换设备、成员电路独立到达它、并且控制平面会话重新收敛而不会留下陈旧或不可用的下一跳时，这种保护才存在。
因此，交换点需要作为一个链条来评估，而不是三个地址。第一个链路是物理的：设备和交叉连接实际所在的位置。第二个是传输：站点如何形成一个或多个交换架构。第三个是电力的：是什么让每个活动设备和光纤交接保持通电。第四个是成员连接：参与者是否通过不同的路径到达。第五个是控制：当某个组件消失时，BGP 可达性是否仍然正确。第六个是结果：具有代表性的国内数据包是否仍然保持国内。CAMIX 的第三个站点创造了加强每个链路的机会；现有证据尚未展示整个链条。
三个地址，但多少个故障域？
CAMIX 自己的描述在命名场所层面确定了一个三个站点的足迹。其常见问题解答确定了雅温得的 CAMPOST、杜阿拉的 CAMTEL 贝潘达和杜阿拉的 ST-DIGITAL，并描述了从 1 Gbps 到 100 Gbps 的成员端口。单独的成员列表显示 14 个活跃条目，包括接入运营商、网络以及基础设施或内容服务。这些页面是有用的第一方声明，但不应将它们的类别组合成一个声称 14 个网络在所有三个位置独立连接的声明。这些页面没有公布按站点划分的端口矩阵。
两个外部注册表显示为什么不应将“三个 PoP”和“三个独立工作的交换站点”视为同义词。CAMIX 的PeeringDB 组织记录描述了三个分离的存在点——两个在杜阿拉，一个在雅温得——但它链接到两个交换记录，一个用于杜阿拉，一个用于雅温得。杜阿拉交换记录将 CAMTEL 贝潘达列为其本地设施，并显示了十个连接，其显示容量总和为 40 Gbps。ST-DIGITAL 作为一个连接的网络出现，但该页面并未将 ST-DIGITAL 的数据中心识别为该交换记录的第二个本地设施。这种缺失可能反映了注册表维护延迟而不是物理现实；然而，它意味着注册表目前无法证实第三个站点的物理拓扑。
同样的谨慎适用于 Packet Clearing House。其CAMIX 杜阿拉条目在杜阿拉的 CAMTEL 贝潘达标识了一个活跃交换点，而其CAMIX 雅温得条目标识了 CAMPOST 位置。这些是目录快照，而非电缆勘测。它们的价值在于确认较旧的两个城市足迹，并提供日期标注的观察结果，可与 CAMIX 较新的声明进行比较。它们没有揭示 ST-DIGITAL 是拥有专门的交换交换机、回到贝潘达的远程扩展，还是某种中间安排。
一个社区维护的页面提供了更精细但仍属临时的图景。cmNOG 喀麦隆 IXP 联盟页面命名为 CAMIX-Yde01、CAMIX-Dla01 和 CAMIX-Dla02，将 Dla02 放在 ST-DIGITAL，记录了 2024 年末的日期和三个对等方。该条目支持在 2026 年公告之前存在第三个运营身份，但它引入了一个其他公开页面未解释的时间线。它可能描述了早期部署、测试阶段、重新启动或只是按不同时间表更新的页面。它仍然没有发布物理路径图。负责任的结论是狭隘的：三个站点名称在第一方、注册表和社区记录中反复出现，而站点级依赖关系的独立性仍未得到证明。
物理独立性有几个层次。不同的街道地址可以防止一些建筑物事故，但无法防止共享的地铁管道。单独的机架可以防止一个机柜中的意外工作，但无法防止共享的顶部机架配电单元。单独的交换机可以防止一个硬件故障，但无法防止应用于每个设备的单个远程管理错误。单独的发电机只有在交叉连接光学设备、运营商传输设备和成员路由器也获得备用电源时，才能防止电网中断。一个只能通过第一个站点到达的第二个站点，在第一个站点是测试中的故障时，几乎保护不了什么。
行业指南明确了这一层次结构。Euro-IX 的物理要求指南将多地点设计视为改善地理和灾难独立性的手段，但也指出成员弹性取决于双路由器、接口和接入选择。换句话说，交换点运营商可以构建多样化的核心，而单个成员仍然单宿主。相反，成员可以购买两条电路，但收敛到一个交换交换机或一个公共管道。必须展示这两个视角。
因此，CAMIX 的第三个站点最好被理解为一个关于弹性的假设，而不是结果。其新的故障域必须至少跨越五个边界进行证明：建筑物、电力、交换交换、站点间传输和参与者接入。公共证据目前清除了第一个边界——场所被单独命名——并为电力提供了设施级的指示。在其他三个边界上则很薄弱。这并非贬低扩展的战略价值。它定义了在价值可以转化为连续性声明之前必须衡量的内容。
贝潘达到 ST-DIGITAL 的路径是缺失的地图
最重要的缺失文件是当前两个杜阿拉站点的物理和逻辑地图。一张有用的地图将标识贝潘达和 ST-DIGITAL 的交换交换机、每一条站点间链路、每个链路的运营商或承运商、建筑物之间的路由多样性、光学和电气交接点，以及当贝潘达黑暗时第三个站点是否可以到达幸存交换成员。它还将区分交换点拥有的容量和成员拥有的接入电路。所有已审查的公开材料都没有提供该地图。
CAMIX 的对等服务页面将该交换点描述为具有超过 100 Gbps 的第 2 层架构、冗余 BGP 路由服务器、RPKI 和互联网路由注册过滤、IPv4 和 IPv6 支持以及 1、10 和 100 Gbps 的端口。这些陈述描述了能力，而非拓扑。“第 2 层”可能包括在保护环中连接的独立交换机、以单个站点为中心的星型、单个站点间扩展或几种其他设计。“冗余”路由服务器可能意味着一个建筑物中独立硬件上的两个进程、分布在站点之间的服务器，或共享隐藏依赖关系的弹性虚拟实例。如果没有放置和路径信息，这些解释都不能被选为事实。
公开的国家光纤图提供了背景，但不能替代交换点地图。喀麦隆邮电部描述了一个国家骨干网项目，包括数千公里光纤和一个 55 公里的杜阿拉环路，同时提到雅温得城域环路的计划。这证明了相关城市存在光纤基础设施。但它没有确定 CAMIX 使用哪些光纤、管道或传输服务，也没有确定交换点是否具有针对它们的合同或物理多样性。
CAMTEL 曾单独辩称其骨干网包括一条冗余的杜阿拉–巴富萨姆–雅温得路由。该声明可能与国家连续性相关，特别是如果 CAMIX 通过不同的骨干路径购买或接收服务。这里审查的公开 CAMIX 文件均未将第三个站点与该冗余联系起来，说明交换点可用的保护容量，或显示到 ST-DIGITAL 的成员电路避开了用于到达贝潘达的相同 CAMTEL 段。骨干网络覆盖范围和交换点覆盖范围不自动是同一资产。
坚持精确路由有一个实际原因。2024 年 9 月中断后重新发布的Orange 喀麦隆声明将杜阿拉、雅温得和其他地方的不稳定归因于影响两个城市之间骨干连接的多处光纤切断。这一事件不是 CAMIX 失败或任何特定交换点电路在受影响路由上的证据。它是独立服务可能共享一个走廊，其中断同时影响两个城市的证据。弹性设计应针对这种相关事件进行评估，而不仅仅是一个干净的单设备故障。
杜阿拉路径问题有两个版本。第一个是城内：如果贝潘达的交换交换机、建筑物电源或附近光纤出现故障，ST-DIGITAL 能否继续在物理上存在的成员之间交换流量？第二个是架构范围：仅连接在贝潘达的成员能否通过替代电路仍然被到达，还是直到它们自己的多样化连接变得活跃之前它们都消失了？第一个版本可以通过新设施上的本地成员和本地路由解决。第二个需要交换点两侧的多样性：一个幸存的骨干链路和幸存的成员接入。
这一区别也防止了对“运营商酒店”一词的误导性解释。一个中立设施可以提供许多运营商和交叉连接选择，这很有价值。但端点的选择并不能证明这些电缆离开建筑物后路径的多样性。两个运营商服务可以共享一个管道、一个光平台、一座桥、路边切断风险或一个共同的上游运输运营商。因此，适当的路由图应显示共享风险组，而不仅仅是供应商名称。如果出于安全或商业原因无法公开精确光纤路由，CAMIX 仍可以发布抽象拓扑，包括独立路径证明、测试日期和共同依赖关系的有限描述。
在出现此类证据之前，最站得住脚的解读是 ST-DIGITAL 增加了杜阿拉的一个不同连接点，并可能增加了一个不同的本地交换点。它是否创建了一个独立可生存的交换点路径仍然是一个开放的运营问题。这不是要求商业敏感的坐标。而是要求区分第三个故障域与第三个端点所需的最低限度信息。
雅温得将城域问题变成全国性问题
雅温得的 CAMPOST 不仅仅是杜阿拉架构上的另一个机架。它是将 CAMIX 的连续性主张从城域弹性转变为国家弹性的站点。如果一场重大的杜阿拉事故同时摧毁两个杜阿拉交换点，那么一个正常运行的雅温得架构仍然可以在独立连接在那里的网络之间保持本地流量。如果城际传输幸存但一个杜阿拉站点故障，雅温得也可以构成替代交换路径的一部分。这两种结果取决于谁连接、以什么容量以及通过哪些物理路由。
PeeringDB 雅温得交换记录目前显示四个 1 Gbps 连接，总容量为 4 Gbps。列表中包含的网络——CAMTEL、Matrix Telecoms、MTN Cameroon 和 Newtelnet——也出现在杜阿拉交换记录上。这种重叠可能很有价值，因为两个城市的存在可以支持地理连续性。注册表没有说明每个运营商的两个连接是否使用独立路由器、电源和传输，也没有说明它们是否在两个站点主动宣告相同的可达性。因此，它指示了多站点机会，而非经过验证的故障切换。
设施记录提供了同样有限的证据。PeeringDB 的 CAMPOST 设施条目将该站点与 CAMIX 雅温得关联，并列出少量网络。它没有透露不同的变电站、交换交换机电源、运营商入口或成员电路的路由。相应的CAMTEL 贝潘达设施条目确定了较旧的杜阿拉位置和更多的网络存在，但同样没有包含公共变电站多样性的细节。这些遗漏不应被解读为多样性不存在的证据。它们表明设施注册表本身无法回答连续性疑问。
互联网协会 Pulse 提供了同一注册表材料的带日期综合。其杜阿拉 CAMIX 追踪器页面报告 2026 年 5 月可见容量为 40 Gbps，十个自治系统。其雅温得 CAMIX 追踪器视图报告 2025 年末快照中 4 Gbps 和四个自治系统。这些数字对于比较两个架构的公开列出的边缘是有用的。它们继承了基础注册表的局限性和更新节奏；它们不是流量、余量或中断生存的实时测量。
这种不对称很重要。如果可见的杜阿拉连接总数是雅温得总数的十倍，那么即使每个雅温得端口都在工作，完全的杜阿拉损失也可能使国家可用的交换容量大大减少。容量本身并不是唯一的限制：幸存的四个网络可能不发起或提供通常通过杜阿拉交换的所有国内目的地的路径。仅存在于杜阿拉的内容缓存可能从本地路径中消失。用户可能仍然通过国际中转到达内容，但这不满足更严格的国内连续性测试。
反向情况也很重要。如果 CAMPOST 故障，具有真正独立杜阿拉连接的网络应继续本地交换。然而，一个雅温得成员的杜阿拉存在如果通过共同的城际服务到达，可能因单一传输事件而失去两个逻辑连接。多城市标签在伴随路由器和电路级多样性时最强。当一个远端端口实际上是同一个成员边缘的远程扩展时，它们最弱。
互联网协会的本地与远程对等分析解释了更广泛的权衡。远程连接可以将交换点的好处扩展到无法本地共置的网络，但集中在中介和远程基础设施也可能产生隐藏依赖。对于 CAMIX，远程访问可能在商业和地理上是必要的。它应当与物理多样的连接分开描述，以便成员了解每个安排能够承受哪些故障。
因此，雅温得应当既作为一个独立的连续性岛屿，也作为国家架构中的一个节点进行评估。岛屿测试询问在移除所有杜阿拉依赖的情况下，哪些参与者可以在雅温得内部交换。国家架构测试询问在单一站点间路径故障后，哪些路由和流量可以在幸存站点之间移动。发布这两个结果将显示 CAMIX 是拥有三个运营位置还是一个真正弹性的三站点系统。
公布的端口不是中断后幸存容量
围绕 CAMIX 的容量数字至少涉及四个不同层面。有一个产品或端口的最大速度，安装的交换容量，合同或列出的成员端口总和，以及故障后实际可以承载的流量。CAMIX 归属的 100G 数字似乎描述了第一或第二层。可见的注册表总数——杜阿拉 40 Gbps，雅温得 4 Gbps——描述了第三层的部分。没有一个直接测量第四层。
CAMIX 的服务描述在提供高速接口方面内部一致。其对等页面列出了 1、10 和 100 Gbps 端口；其常见问题解答描述了相同的范围。其 100G 能力的声明作为设备能力是合理的，可能反映了 100 Gbps 互连或交换接口。公开页面没有识别任何使用 100 Gbps 端口的成员、每个站点的总安装背板，或贝潘达–ST-DIGITAL 和杜阿拉–雅温得链路的能力。一个具有 100 Gbps 接口的架构可能仍然受限于 10 Gbps 的站点间路径或 1 Gbps 的成员接入。
PeeringDB 记录提供了透明但不完整的算术。杜阿拉显示的连接总和为 40 Gbps；雅温得总和为 4 Gbps。这些是通过社区注册表提供的名义端口值，不一定是承诺信息速率或当前已激活容量。一些连接属于交换服务或路由服务器，而非最终用户接入网络。名义端口可能承载很少流量、为服务预留、或在维护期间不可用。相反，一个新激活的端口可能存在于注册表更新之前。这些数字应标注为特定日期的显示连接端口容量，而非测量到的交换吞吐量。
Packet Clearing House 说明了时间戳的重要性。其交换目录是有用的外部观察，但参与者、容量和流量字段可能在快照之间随着记录更新而变化。单个目录值不应被提升为持久的工程事实。互联网交换容量特别容易出现类别错误，因为流量速率、端口容量和交换能力都使用比特每秒，但描述不同的约束。
故障可用容量需要更严格的计算。假设贝潘达拥有大部分可见成员端口，而 ST-DIGITAL 只有其最初命名的两个占用者。失去贝潘达可能移除大多数端点，然后站点间链路才会成为瓶颈。假设主要成员是双连接的，但两个接入电路共享一个管道。名义总和将夸大幸存容量。或者假设每个物理电路幸存，而路由服务器故障撤回大量路由。电力和光容量仍然存在，但可用路由容量可能急剧下降。
因此，站点故障后的可信容量声明需要一个矩阵，而非一个标题数字。对于每个故障场景，它应显示幸存交换交换机容量、幸存站点间容量、幸存成员端口、预期路由数、观察到的峰值流量和可用余量。它应说明容量是已安装、已激活、已通电、可运行且承载代表性流量的。它应区分受保护容量和随故障站点变得不可用的容量。
CAMIX 服务网络记录强化了对范围标签的需求。它在 AS328091 下识别 CAMIX 服务，列出一个 1 Gbps 的杜阿拉连接，并将该网络与 CAMPOST 和 CAMTEL 贝潘达关联。这是关于交换服务网络的证据，而非交换架构的规模。CAMIX 路由服务器记录将 AS37718 识别为路由服务器网络。同样，自治系统记录确认了控制平面身份；它没有揭示路由服务器主机放置、会话分布或转发能力。
公开流量遥测将有助于协调这些类别，但 CAMIX 的Looking Glass 页面表示 BGP 视图将变得可用，而不是呈现当前的公开视图。Looking Glass 本身不会显示物理多样性，但它可以揭示路由可用性、下一跳行为以及围绕声明维护的收敛。站点级流量图、路由服务器会话状态和带日期的容量表将允许成员和研究人员测试标题容量是否与运营使用相对应。
正确的当前结论不是 CAMIX 缺乏容量。而是公开证据支持几个归属的能力和连接数字，但其范围不同。100G 数字应仍与 CAMIX 自己的描述相关联。40 Gbps 和 4 Gbps 的总数应仍与带日期的注册表视图相关联。故障可用容量仍未披露，不应通过在没有场景的情况下添加或比较这些数字来推断。
成员连接到架构，而非名册
成员身份在机构层面很重要，但弹性分析需要连接细节。CAMIX 的公开名册包含 14 个条目，而主页使用更模糊的短语“12+ 活跃成员”，第三个站点公告命名了两个初始连接以及几个潜在连接。这些陈述在不同日期或不同定义下都可能为真。它们没有确定有多少生产网络连接到每个交换机，有多少宣告路由，或有多少具有多样化的接入。
中心单位是成员路径。它始于参与者路由器，穿过本地交叉连接或远程接入服务，到达交换端口，并终止于一个交换域，从该域可以到达其他参与者。一个弹性成员至少有两条路径，它们不共享要保护的故障。一个光纤上的两个逻辑 VLAN 不是两条物理路径。一个管道中的两条光纤可能防止光缆故障，但无法防止挖掘。一个路由器上的两个端口可能防止端口故障，但无法防止路由器或电源故障。通过相同传输枢纽到达的两个交换站点可能无法防止该枢纽的损失。
初步的 ST-DIGITAL 成员图令人鼓舞但范围狭窄。CAMIX 命名 INK 和 ST-DIGITAL 为已连接，并描述了其他组织处于不同参与阶段。这种措辞不应转化为每个潜在参与者现在都在交换路由或流量的假设。也不应将一个数据中心运营商在其自身设施的存在算作主要接入网络在那里拥有独立最后一公里电路的证据。
一个 cmNOG 技术说明展示了运营细节如何改变解释。2024 年 9 月的草稿会议记录讨论了在较旧杜阿拉站点为 Cloudflare 缓存提供 MTN 点对点传输链路，从一个视图观察到数据包丢失，确定需要到 Dla01 的第二个物理链路，并预期稍后出现在 Dla02。记录是临时的、有日期的，且特定于一个安排；它不能确定 MTN、Cloudflare 或 CAMIX 的当前状态。其价值是诊断性的。它表明第二条物理路径和在新站点的存在被视为具体的工程任务，而非增加位置的自动结果。
这一教训适用于出现在两个 PeeringDB 交换记录中的四个网络。同时在杜阿拉和雅温得列出的证据是多站点逻辑存在的证据。要将其转化为连续性证据，CAMIX 或参与者需要说明他们是否使用不同的边缘路由器、不同的运营商或自建路径、不同的建筑物入口以及两个站点的主动路由宣告。一个受控故障然后可以验证流量在观察到的收敛间隔内移动到幸存路径。
名册的组成也影响“保持国内”的结果。只有当目标前缀或有效的本地路由在幸存站点仍然可达时，交换点才能保持数据包本地。如果接入提供商幸存但内容缓存仅连接在故障站点，用户可能回退到国际副本。如果公共机构只有一个本地连接，政府到用户流量可能离开国内交换路径，即使商业网络仍然连接。因此，连续性需要按路由和服务类别衡量，而不仅仅是参与者数量。
MANRS 互联网交换点计划增加了路由安全维度。其期望包括基于权威路由信息的过滤、保护交换平台、协调事件以及向成员提供有用路由信息。这些做法降低了幸存架构在故障后承载错误可达性的风险。它们不取代物理多样性；它们使幸存控制平面更值得信赖。
成员保密性并不妨碍有意义的披露。CAMIX 可以发布匿名化的连接类别：本地共置单宿主、本地共置双宿主、通过一条路径远程连接、通过受保护路径远程连接以及出现在两个或三个站点。它可以将这些计数与每个站点的活跃 BGP 会话数和前缀数配对。大型参与者可以自愿发布自己的多样性声明。结果将比扁平徽标名册有用得多，同时保留敏感的电路细节。
在此之前，可见证据支持一个适度的结论。CAMIX 拥有比任何一个外部注册表中显示的端口更广泛的社区，并且第三个站点已吸引初始连接。幸存贝潘达、ST-DIGITAL 或 CAMPOST 损失的成员路径数量尚未公开确定。这个未知直接位于三个 PoP 声明和国内连续性结果之间。
路由服务器可能故障而交换机仍在转发
互联网交换点弹性通常被讨论为纯粹是光纤和电源的问题。路由服务器说明了为何这是不完整的。路由服务器接受来自参与者的 BGP 路由并将选定的可达性信息分发给其他客户端，减少了每个成员与每个对等方建立双边会话的需要。它通常不在数据路径中：数据包使用通过 BGP 学习到的下一跳直接在参与者路由器之间流动。
RFC 7947形式化了这种分离。路由服务器在保持参与者下一跳而不转发用户数据包的同时，中介控制平面信息。这意味着路由服务器主机可能在已经学习到的路由继续转发直到 BGP 定时器、撤销或策略变化生效时发生故障。这也意味着一个健康的路由服务器可以宣告一个路径，但由于第 2 层故障其数据平面下一跳不可达。控制平面绿色不能保证数据包传递。
RFC 7948描述了路由服务器的运营实践，包括多个服务器的价值和对路由泄漏的防护。它还强调了一个非传递的第 2 层故障：两个客户端可能各自到达路由服务器，但无法彼此到达。这种情况与多站点交换点高度相关。如果路由服务器位于从贝潘达和 ST-DIGITAL 都可到达的点，但参与者到参与者的跨架构路径中断，则 BGP 会话可能保持建立，而国内数据包失败。
CAMIX 表示运营冗余的 BIRD 路由服务器。这一陈述很有用，但弹性取决于这些服务器在哪里运行以及它们共享什么。一个主机上的两个进程防止软件进程故障，但无法防止主机故障。一个机架中的两个主机防止主机故障，但可能共享一个交换机、电源和建筑物。不同站点的两个主机改善了物理分离，但仍然可能依赖一个共同的站点间控制路径或配置。公开的 AS37718 记录标识了路由服务器身份，而非这种放置。
路由服务器也塑造了完全依赖它的成员的故障行为。拥有双边对等会话的参与者可能在每个路由服务器不可用时保留一些国内路由。仅从路由服务器学习所有交换路由的参与者可能暂时保留陈旧路由，然后丢失它们，取决于会话状态和定时器。连接到两个站点的参与者可能接收两条路径但基于与物理多样性不对应的属性选择一条。因此，必须同时测试 BGP 会话的拓扑和电缆的拓扑。
Euro-IX 的交换管理指南警告说路由服务器可能成为单点故障，并建议多个服务器、良好的监控和流量观察。对于 CAMIX，测试应该特定于站点。移除贝潘达的路由服务器或控制连接应阻止 ST-DIGITAL 和雅温得的成员学习有效的幸存路由。移除 ST-DIGITAL 不应留下指向不可达参与者端口的下一跳。移除城际链路应产生两个内部一致的岛屿，而非带有虚假健康会话和中断转发的集合。
收敛时间应作为分布报告，而非营销最小值。它应包括 BGP 会话丢失检测、路由撤销或替换、转发表更新以及幸存路径上第一个成功的代表性数据包。不同成员可能使用不同的定时器和策略，因此一条路由可能恢复而另一条仍然不可用。测试还应检测路由振荡和通过国际中转的意外回退，这可能使服务看起来已恢复，同时违背国内连续性目标。
路由安全必须在事件期间保持活跃。如果故障切换导致参与者宣告更广泛或不同的前缀集，路由服务器过滤器应只接受授权来源和策略合规的路由。RPKI 和注册表检查有所帮助，但其本地缓存、验证器和管理连接也有依赖关系。一个完整的测试记录当托管其中一个支持服务的站点被移除时，过滤和监控是否仍然可用。
CAMIX 可以展示这一点而无需暴露个体路由策略。它可以发布路由服务器实例的数量、它们部署的故障域、按站点划分的活跃会话数、每次测试后可用的路由比例以及一个有界的收敛结果。它还可以显示每个位置测试前缀之间的综合可达性。这些数据将将其冗余路由服务器声明与可观察的运营结果联系起来。
电源独立性止于最弱的未通电交接点
ST-DIGITAL 为 CAMIX 提供了一个公开强调连续性的设施。运营商的数据中心页面将杜阿拉站点描述为 Tier III 设施，具有电力冗余、精密冷却和多种连接选项。一个OIX-2 认证公告将 DLA01 识别为经过认证的数据中心站点，拥有会客室和互连服务。这些记录支持将 ST-DIGITAL 描述为专门构建的运营商中立环境。它们没有证明 CAMIX 交换机、光学设备或成员交叉连接的具体电源路径。
ST-DIGITAL 在其能源措施说明中发布了异常具体的连续性声明。运营商表示发电机可以在满负荷下支持 48 小时，额外存储的燃料可延长该期限，电池自主性超过 18 小时，设备每月测试。这些是运营商归属的数字，而非独立观察的运行时间结果。它们确定了预期的设施能力并标识了可测试的声明。
一个Open Compute Project 站点评估通过自我报告的评估提供了更多细节：两个公用电馈线、三台发电机、一个电池组、一个声明的关键 IT 负载以及一批运营商。其格式使来源清晰——设施提供了答案。这是关于 DLA01 设计冗余的有用证据，并非证明每个 CAMIX 组件都双供电或运营商通过物理多样化的路由离开。
最弱交接点原则很重要，因为交换路径穿越多个方拥有的设备。设施公用电馈线可能是多样化的，而 CAMIX 交换机只有一个电源。交换机可能双供电，而媒体转换器或光放大器只有一个供电。两者可能受到保护，而成员路由器位于不受保护的电路上。数据中心可能运行数天，而保护房间外的运营商机柜失去电力。每个条件都会打破数据包路径，即使主设施仍然运行。
电源独立性也有地理方面。电网问题可能影响一个区域，而燃料物流、极端高温或控制系统错误可能创造更广泛的共同风险。互联网协会的互联网枢纽电力故障回顾描述了设施如何使用发电机和电池，但仍然可能在冷却、燃料和周围网络中遇到级联依赖。对 CAMIX 的教训不是 ST-DIGITAL 的保护不足。而是设施弹性必须与交换设备和接入网络弹性相结合。
较旧站点需要相同的证据标准。雅温得的 CAMPOST 和杜阿拉的 CAMTEL 贝潘达是命名的位置，但审查的公开页面没有列出其公用电馈线、发电机自主性、电池状况、冷却冗余或 CAMIX 负载分配。推断它们仅仅因为公开细节稀少而缺乏备份是错误的。同样错误地假设三个通电站点具有同等的耐久性。
一个有用的电力测试应在受控条件下将每个站点与公用电隔离，并观察完整的交换路径。记录应显示转移到电池和发电机、交换机和路由服务器正常运行时间、光信号连续性、成员会话连续性、温度、燃料状态以及任何服务于站点的运营商交接的性能。它应包括恢复，因为切换回公用电自身可能引起中断。一个较短的受控测试可以验证过渡行为；一个较长的设施练习可以测试耐久性和加油假设。
电力结果应按依赖关系表达。“数据中心保持在线”是一个结果。“CAMIX 架构和代表性成员路径保持运行”是一个更强的结果。“选定前缀之间的国内流量在整个测试期间保持本地”是与交换点公开目的对齐的结果。这三者不应混为一谈。
第三个站点改善了 CAMIX 的选择，因为它将交换点存在置于一个有记录的连续性雄心和中性互连环境的设施中。当 CAMIX 识别通电的交换组件、确认多样化馈线使用、测试运营商交接并显示成员可以使用幸存路径时，其弹性贡献变得可衡量。设施资格是强大的起点，不是最终的数据包级证据。
单站点故障会对国内流量造成什么影响
目前没有单一的公开文件回答核心反事实：如果一个 CAMIX 站点消失，哪些国内流量保持在国内？证据确实允许划定可能的结果，前提是它们被标注为推断而非观察。
从贝潘达开始。公开的杜阿拉交换注册表将交换设施放在那里，并列出大多数可见的杜阿拉连接。如果贝潘达托管一个中央交换机或关键的站点间链路，其损失可能同时移除本地端口和远程可达性。如果 ST-DIGITAL 拥有一个自主交换机、幸存路由服务器和本地成员，这些成员之间的一些流量可能继续。他们能否到达 CAMIX 的其余部分取决于一个独立于贝潘达到雅温得或其他幸存参与者的路径。因为该路径不是公开的，保持本地化的国内流量比例无法计算。
现在移除 ST-DIGITAL。较旧的贝潘达和雅温得记录表明在第三个站点扩展之前就存在交换点，因此之前建立的大部分连接可能继续。受影响的流量将包括仅连接在新站点的成员或服务以及其传输意外经过它的任何路径。影响可能在总量上很小，但对特定参与者仍然严重。仅看聚合流量图不会识别这种损失。
移除雅温得的 CAMPOST。两个杜阿拉位置原则上可以继续城域交换，并且较大的杜阿拉端口总数表明那里有更多可见容量。然而，仅雅温得的参与者或接入路径将消失。在两个城市都列出的网络可能转向杜阿拉，前提是它们的双重存在是物理和电气独立的。如果它们的杜阿拉路径依赖于相同的故障城际路由，注册表的双站点标签不会转化为生存。
还有一些故障不尊重站点边界。共享的杜阿拉–雅温得走廊上的切断可以将交换点分割成城域岛屿，同时每个建筑物仍然有电。配置错误可能同时影响所有交换机或路由服务器。共同认证、监控或 RPKI 验证服务的丧失可能在不移除转发架构的情况下降低控制。贝潘达附近的光纤事件可能同时移除成员接入和来自 ST-DIGITAL 的路径，如果它们在那里汇聚。一个有用的设计将这些共享风险事件与简单的站点故障情况分开处理。
互联网协会的交换点概述识别了基本要素——中立设施、交换、路由设备、电源、冷却、安全和熟练运营。对于 CAMIX，每个要素必须以数据包所需的组合存活。一个没有路由的实时交换机、一个没有下一跳的实时路由、或一个没有目的地服务的有生命成员并不保存国内交换点。
国际中转使观察复杂化。在 CAMIX 故障期间，两个网络可能仍然通信，因为两者都保留通过欧洲或其他外部枢纽的上游路由。常规正常运行时间测试将标记服务可用。国家弹性测试必须另外检查路径和延迟，或使用其交换和众向策略已知的受控测试前缀。结果应区分完全本地连续性、通过国际中转恢复的服务、部分可达性和完全丧失。
官方 1 毫秒延迟声明可以作为基线使用，只有归因和范围。如果路径在故障期间急剧上升，这可能表明国际绕行，但单独延迟不能证明地理。国内替代路由也可能更长，而国际路由有时可能意外快速。Traceroute、BGP 下一跳数据和参与者确认与延迟结合时提供更强证据。
今天可能的答案是有条件的。独立连接到幸存的 CAMIX 站点、拥有有效幸存路由且目的地仍在站点的成员之间的流量可以保持国内。涉及故障站点单宿主成员的流量不能使用 CAMIX，除非该成员有其他活跃路径。依赖于故障站点间链路的流量可能分裂成本地岛屿。流量可能通过国际中转保持可达，但不保持国内。每个类别的大小尚未公开量化。
这个有界的答案比宣布三站点网络要么有弹性要么脆弱更有用。它准确显示了哪些事实会改变评估：站点级成员会话、独立路径证明、站点间链路拓扑、电源分配、路由服务器放置和故障观察。每一个都可以测量，而无需发布敏感数据包有效载荷或详细的街级光纤路由。
一个将主张转化为证据的测试计划
CAMIX 可以通过一个可重复的练习将其三站点声明转化为可信的国家连续性证据。练习应从声明的基线开始：时间戳、参与站点、测试前缀、活跃成员会话、路由服务器状态、正常路径、正常延迟和流量水平。它应提前识别故障边界，并说明故意留在测试外的依赖关系。这避免了将交换机重启呈现为完整站点中断结果。
第一次练习应在交换边缘移除贝潘达。CAMIX 可以在受控维护下禁用相关架构链路和路由服务器实例，同时将测量系统保持在受影响的域之外。测试流量应在 ST-DIGITAL、雅温得和双连接成员的代表性前缀之间运行。记录应显示数据包丢失、收敛时间、路径本地性、路由计数和幸存容量。在理解逻辑行为后可以进行物理电源测试。
第二次练习应移除 ST-DIGITAL。这验证新站点没有成为较旧架构的意外依赖，并衡量对其本地连接成员的影响。第三次应分别移除 CAMPOST 和城际路径。将它们作为两个测试处理，以区分建筑故障与传输分区。在分区测试中，每个城域应在不跨断裂宣告不可达下一跳的情况下保留内部有效转发。
第四次练习应独立故障每个路由服务器，然后故障整个路由服务器服务类。具有双边会话的参与者和依赖路由服务器分发的参与者应分别观察。测试应包括一个综合的非传递第 2 层故障，以便监控必须检测路由服务器会话保持建立但对等下一跳失败的状态。这是最可能暴露健康控制会话与工作数据包路径之间差距的故障。
第五次练习应验证成员连接。一个双站点成员样本应一次移除一个接入电路，并显示替代电路不经过故障站点或共享的本地管道。远程参与者应识别他们购买的受保护服务类别。结果可以聚合以保护商业细节：测试路径数量、满足独立性声明的数量以及未满足时的共同原因。
第六次应在所有三个站点验证电源转移。应观察交换交换机、路由服务器、光设备、运营商交接和代表性参与者路由器，而不仅仅是设施电源。发电机运行时间声明不需要每次都耗尽测试；燃料检查、维护记录和定期耐久性练习可以补充较短的实时转移测试。结果应包括恢复到公用电。
公开报告可以紧凑。对于每个场景，它应说明故障域、预期结果、观察结果、收敛间隔、保留的测试路由百分比、保持国内的流量、最小幸存余量和未解决的共同依赖关系。它应为每个结果标注日期，并识别测试是模拟的、逻辑隔离的还是物理断电的。历史结果应保持可访问，以便成员可以看到弹性随着第三站点获得参与者而改善。
外部注册表随后应与运营协调。CAMIX 可以在适当时更新杜阿拉交换记录以识别 ST-DIGITAL 设施，发布按站点的连接矩阵或汇总，并暴露工作的 Looking Glass 和流量图。注册表值不必实时匹配交换点的内部计数器，但差异应通过日期和范围解释。公众然后会知道为什么 100G 能力接口、44 Gbps 的列出的站点端口和较低的流量峰值并不矛盾。
测量设计应将故障独立性作为其组织原则。每个声称的备份应针对其旨在替换的组件以及可能同时移除两者的共享依赖关系进行测试。这与标准交换实践一致，但针对喀麦隆的地理和 CAMIX 特定的三站点足迹进行调整。它也产生公共部门用户和商业成员可以纳入自身连续性规划的证据。
发布不是最后一步。CAMIX 应在主要拓扑变化、新大型成员、路由服务器升级和设施电源修改后设定节奏。第三个存在点是一个动态系统：其弹性可能随着成员双宿而改善，或随着流量增长快于受保护容量而减弱。带日期的重复将一次性演示变成运营记录。
弹性结论和观察点
CAMIX 的第三个存在点在战略上有意义。它在杜阿拉增加了一个独立的命名设施，一个运营商中立环境，一个网络会面的额外地点，以及一条远离依赖一个较旧建筑的合理路线。即使在完整的故障独立性被证明之前，它也可以使整个交换点对网络更具吸引力，这些网络的首次连接在 ST-DIGITAL 更容易。这些都是真正的益处。
证据在机构意图和地点层面最强。CAMIX 一致描述三个站点和保持本地流量本地的使命。外部和社区记录证实了较旧的贝潘达和 CAMPOST 站点，并为 ST-DIGITAL 存在提供信号。设施来源描述了 DLA01 的实质性电力和互连保护。注册表记录暴露了杜阿拉和雅温得当前的逻辑交换连接。
证据在连接容量层面中等。带日期的公共记录允许杜阿拉显示连接总和 40 Gbps 和雅温得 4 Gbps，而 CAMIX 将自己归属为 100G 能力基础设施。这些数字是兼容的，因为它们测量不同层面。它们没有确定每个站点的安装容量、站点间链路的能力、当前流量、预留余量或故障后可用的数量。
证据在弹性实际决定之处最弱。没有审查过的贝潘达–ST-DIGITAL 路径的公共拓扑、杜阿拉–雅温得交换传输的路由多样性声明、站点级成员连接矩阵、冗余路由服务器的放置披露、所有三个站点 CAMIX 设备的电源路径描述，或单站点故障切换的数据包级记录。这些是公共记录中的缺失，而非不良工程的证据。
四个观察点应决定第三个站点是否成熟为独立的国家资产。第一个是成员密度：主要接入网络和内容服务是否在 ST-DIGITAL 建立活跃、物理多样化的端口？第二个是传输：新站点是否有独立于贝潘达的通向架构其余部分的路径以及通向雅温得的弹性路径？第三个是控制：路由服务器放置、监控和过滤是否在任何单个站点丢失后幸存？第四个是观察结果：在测试期间，代表性数据包能否保持在喀麦隆网络之间，在喀麦隆内部？
顺序很重要。在没有受保护传输的情况下增加成员可以增加集中在一个共享链路上的流量。在没有多样化成员接入的情况下增加站点间链路可以使大多数端点单宿主。在没有测试对等转发的情况下增加冗余路由服务器可以留下隐藏的第 2 层故障。只有当各层一起测试时强弹性才会出现。
CAMIX 还应抵制将所有进展压缩成一个数字的诱惑。“三个 PoP”、“100G 能力”、“14 个成员”和“1 毫秒”是简洁的信号，但每个都可能掩盖不同的依赖关系。一个带有日期测试结果的公开连续性表将对运营商、政府用户和投资者更有说服力，因为它将数字与故障结果联系起来。
目前，结论故意有条件。第三个 PoP 扩大了 CAMIX 的物理机会集，并可能已经改善了一些杜阿拉参与者的访问。公开证据不足以说明 CAMIX 可以失去任何一个站点而同时保留广泛的国内交换路径。这个差距是可以回答的：绘制共享风险图、识别通电组件、分类成员路径、发布控制平面放置，并运行故障测试。
当一个数据包可以从一个喀麦隆网络开始，穿过一个幸存的 CAMIX 站点，并在贝潘达、ST-DIGITAL 或 CAMPOST 被故意移除后到达另一个喀麦隆网络——无需国际绕行——第三个 PoP 将已经通过了其名称所暗示的测试。在那条数据包轨迹存在之前，CAMIX 有三个存在点和一个重要的弹性命题仍在等待证明。