摘要

  • DE-CIX 路由服务器降低了与大量网络建立对等关系的运营成本，同时也让共享的传播与验证规则成为成员路由政策的一部分。
  • 可执行的治理工具不是“会话已建立”的截图，而是一份委托清单：默认范围、例外、过滤依据、可见的拒绝原因、变更演练，以及关键对等方的双边退出路径。

对等互联最容易被低估的成本，是重复。每建立一条双边 BGP 会话，都要找到对方、核对政策、配置两端、接入监控，并在今后的维护中持续协调。路由服务器把这项工作变成共享服务：成员只需维护少量会话，就可能收到几十乃至数百个参与者的路由。

节省下来的是真实成本，消失的却不是政策。共享系统仍要决定哪些通告可以传播、哪些证据足以通过过滤、哪些例外优先执行。路由服务器一旦开始创造价值，就已经不只是传输管道，而是一处被委托的决策面。

它首先降低的是交易成本

DE-CIX 的实施指南把路由服务器和直接双边对等列为可以单独或同时使用的两种方式。该指南称，路由服务器能让成员以较少配置接触几十或数百个网络；同时，并非所有成员都使用这项服务，一些网络由于选择性或限制性政策，仍要求直接会话。

通过路由服务器交换可达性，不等于双方已经形成商业合同。它改变的是建立关系的边际成本。普通关系可以沿用共享规则，特殊关系则需要显式社群、成员自己的导入政策，或另行谈判一条双边会话。

因此，默认值构成了一条市场规则。它本身不决定流量最终走向，却决定哪些互联关系无需再次谈判便能低成本发生，哪些关系必须付出额外的组织成本。

不填写控制社群，也是在选择政策

公开的 GlobePEER 技术说明写明：如果没有设置控制社群，默认行为是向所有对等方通告。DE-CIX 同时提供标准社群和 Large Communities，允许成员禁止或允许向指定 ASN、全部对等方传播，并在支持的地点按交换机、城市、国家或洲别控制。文档还规定了冲突指令的求值顺序。

这些控制说明，路由服务器并非把一次对话原样复制出去。它根据成员的指令，把收到的通告拆解成面向不同客户的输出视图。所以，“什么都不标”并不是没有意图，而是选择共同默认政策。

真正可管理的问题应当是：哪些前缀交给了路由服务器，谁可以收到，成员接受哪些返回路由，例外记录在哪里，由谁批准。如果答案只存在于某台路由器的运行配置里，企业看见的委托范围会小于实际范围。

过滤器把公共记录变成运行许可

DE-CIX 表示，其路由服务器使用 Internet Routing Registry 数据与 RPKI 验证。实施指南要求成员通过 looking glass 检查通告与接收结果，并查看前缀被拒绝的原因。GlobePEER 的最低配置还要求提供 AS-SET，用于构建过滤规则。

这形成第二层委托：交换中心并不裁定地址资源的所有权，但会把外部记录转化为服务中的传播许可。过期的 AS-SET、缺失的 route object，或不一致的源授权，都可能在 BGP 会话仍然稳定时阻止通告传播。“邻居为绿色”与“意图已执行”是两项不同的证据。

RFC 7948 解释了这种取舍。前缀泄漏缓解能限制连带损害，但可靠的逐客户过滤需要持续的管理工作；客户仍负责让公开政策与实际通告保持一致。共享过滤的价值，在于共同承担安全成本；它的依赖，则是记录质量、更新时序与可解释的拒绝逻辑。

两台服务器不等于两套独立判断

DE-CIX 称每个城市部署两台路由服务器，并建议 IPv4 和 IPv6 各建立两条会话。RFC 7948 也建议在共享二层域部署多台服务器，并保持等价的可达性信息。这能减少单实例故障带来的服务中断。

但等价系统可能同时执行同一条过期过滤器、同一种社群误解，或者成员侧同一项错误的导入政策。会话数量证明了一类冗余，不证明政策判断彼此独立。

GRACEFUL_SHUTDOWN 提供了更有价值的证据。成员可以用众所周知的社群把本地优先级降至零，在存在替代路径时让其先行收敛，再中断二层连接。被观察过的转换过程，比静态架构图更能说明备用路径是否真实。

最后一项决定仍属于成员

公开资料不能说明某一位 DE-CIX 成员实际接受哪些路由、如何分配流量、采用何种商业条款，也不能证明任何 DE-CIX 故障或成员损失。分析不能越过这条证据边界。

资料足以界定责任。DE-CIX 提供共享会话、验证、传播控制与可见性工具；成员决定通告什么、接受什么、维护哪些记录、何时变更，以及哪些关键关系还需要一条直接双边会话。

成熟的选择并不是因为路由服务器集中政策就拒绝它，而是让这种集中可见、可测、可逆。只有这样，交易成本的节省才不会以决策权的失踪为代价。

资料来源