摘要

  • 目前的研究包确认了 18 个与 AS210860 的注册、路由、授权、拓扑和测量层有关的公开来源，但本轮没有实时抓取这些动态响应，因此不能据此报告当前前缀数量、RPKI 状态、邻居 ASN 或变更日期。
  • 公开材料可以逐层检验身份、声明、授权和观测到的行为，却尚未把 DFINFRA 与一个可由其发起、批准、执行或撤回的路由变化连接起来。

五个问题，而不是一个标签

关于 AS210860 的公开记录至少分为五层。

第一层是注册身份。RIPE Database 的 aut-num 对象、RDAP 记录和历史 Whois 数据，能够显示 ASN 的登记属性、组织引用、维护者、状态和事件日期。RIPE 的 aut-num 接口、反向 origin 搜索、历史 Whois 及 RDAP 都是必要的核查入口：RIPE Database aut-num 对象、RIPE Database 反向 origin 搜索、历史 Whois 数据 和 RIPE RDAP 记录。

但登记关系首先是行政事实。它说明某个名称、组织引用或维护者账户与资源对象存在关联，不自动说明谁在生产环境中运行路由器，也不说明谁拥有让下一项配置变化生效的权限。维护者账户可以是授权链中的一环，不能单独被写成运营控制者。

第二层是 IRR 声明。route 和 route6 对象可以表达某个前缀由某个 ASN 起源的登记意图。RIPEstat 的路由一致性接口可用于比较 BGP 观测与 IRR 对象：AS routing consistency 接口。但是 IRR 对象不是 RPKI ROA，也不是实时公告的证明。一个对象可能陈旧、缺失，或者仍然存在于数据库中但已经不再对应实际路由。

第三层是 RPKI。Cloudflare 的公开验证数据可用于筛选 origin ASN 为 AS210860 的 ROA，并比较前缀和最大长度：Cloudflare RPKI 验证数据。匹配的 ROA可以证明，在被观测的时间点，AS210860 获得了对相应前缀和最大长度的起源授权。它不能证明 AS210860 当时确实在公告该前缀，也不能证明哪个组织操作相关路由器，更不能单独证明 DFINFRA 拥有该 ASN。

第四层是 BGP 行为。RIPEstat 的已公告前缀、路由状态、路由历史、BGP 更新、looking glass 和 ASN 邻居接口，分别可以用于检验当前或历史的路由可见性、起源行为、变化时间和路径邻接：已公告前缀、路由状态、路由历史、BGP 更新、looking glass 和 ASN 邻居。

BGP 观测可以证明某个时间窗口内，收集器看到了与该 ASN 相关的起源或路径行为。它不能证明法律所有权，也不能识别能够命令下一次变化的个人。不同收集器的覆盖范围、缓存时间和路径视角也会造成前缀数量、邻居关系或可见性差异。即使 bgp.tools 与 Hurricane Electric 的页面出现相互印证，它们仍然只是独立观测来源，而不是合同关系的证明：bgp.tools AS210860 页面 和 Hurricane Electric BGP Toolkit。

第五层是互联和测量。PeeringDB 可能包含运营方自报的网络名称、网络类型、流量等级、互联地点、交换中心和联系角色；CAIDA AS Rank 可以提供推断的关系信息；RIPE Atlas 可用于检验测量可见性：PeeringDB 网络记录、CAIDA AS Rank、RIPE Atlas IPv4 探针查询 和 RIPE Atlas IPv6 探针查询。这些资料可帮助构建运营表面，却仍需区分自报、推断和测量结果。AS 路径中的邻接也不能自动被称为付费 transit、无结算 peering 或其他商业关系。

当前调查能确认什么

本轮研究包列出了 18 个公开来源，覆盖 RIPEstat、RIPE Database、RDAP、Cloudflare RPKI、bgp.tools、Hurricane Electric、PeeringDB、CAIDA 和 RIPE Atlas。来源清单还包括 RIPEstat 路由一致性 以及用于 ASN 行政核验的各项 RIPE 接口。

但这些动态端点在本轮没有被实时抓取。因而，当前不能负责任地写出 AS210860 具体公告了多少个 IPv4 或 IPv6 前缀、最近何时出现或撤回路由、哪些 ASN 是稳定邻居、是否存在匹配的 ROA、有哪些设施或交换中心，或这些属性是否在某一天发生变化。研究包本身把这些列为待验证项目，而不是已确认事实。

这一点改变了文章的结论方式。调查不能把“已找到核查入口”写成“已证明运营事实”，也不能从数据沉默、记录不一致或资料不完整推导出另一个控制者。没有看到证据，不等于证明相反命题成立。

真正的控制面在哪里

从注册身份到运营控制之间，缺少的是行动者可归因性。一个有用的证据链至少需要回答四个连续问题：谁能够提出变化，谁批准变化，谁执行变化，谁能够撤回变化？

如果某次 BGP 公告变化与 DFINFRA 的公开身份在时间上接近，这仍然只是相关性。若某个 ROA 新增或修改，也只能说明授权状态发生变化，除非另有证据证明 DFINFRA 发起、批准或能够逆转该操作。即使 RIPE 维护者、路由对象、RPKI 和 BGP 结果在技术层面相互一致，也仍然需要一个可归因的控制面，才能使用“运营”或“控制”这样的强表述。

因此，下一步最有价值的研究不是再收集一张静态注册截图，而是建立一个带检索时间的基线：记录 AS210860 的公告前缀、路径、IRR 对象、ROA 状态、维护者和自报互联资料；随后在明确的变化窗口内进行重复快照。若出现实质性 BGP 或授权变化，还要找到独立可验证的材料，说明 DFINFRA 发起、批准、执行或能够撤回该变化，并在相关层面看到相应影响。

有限但重要的结论

截至当前材料，公开证据足以设计一项跨层验证，也足以说明“注册关联”不能替代运营控制证明。但它尚未证明 DFINFRA 拥有、运营或控制 AS210860。对读者而言，这并不是一个空洞的“无法确认”：它明确指出了缺失环节——时间边界、跨来源对照和行动者归因。

对网络运营者、投资者和公共利益读者来说，区别具有实际意义。错误地把登记名称当成控制者，会夸大责任归属；错误地把 BGP 起源当成法律所有权，会混淆技术行为与组织权利；错误地把 RPKI 授权当成路由器控制，会把安全机制的边界写反。只有把五层证据放回各自的问题中，才能判断一个网络资源的连续性风险究竟由谁承担、谁能改变，以及谁能在故障后恢复。

来源