摘要

  • NSFNET 的继任者不是另一条单一骨干网，而是由交换点、商业服务商、路由服务器、路由注册库和区域网络共同组成的分布式体系；每一部分都必须独立证明已经可用。
  • 不可撤回的六十天终止通知与一次对等互联测试切断，把隐藏的回退路径变成了可观察故障；实体节点关闭后，旧 PRDB 仍保留到新 RADB 通过配置一致性验证。

到 1995 年 4 月中旬，只有七个区域网络彻底断开了 NSFNET。其他网络虽然已经接入商业服务商，仍保留旧骨干网作为第二路径。对迁移项目而言，这是一种危险的安静：用户仍能到达目的地，监控仍显示服务在线，可这种可达性究竟来自新网络，还是来自未被承认的回退，并不清楚。

Susan R. Harris 与 Elise Gerich 在次年共同发表的退役纪实中，把 4 月的一次断开称为 test shutdown。本文所说的“排演”是一种编辑性概括，不是当年的正式名称。它也不是舞台模拟，而是真正撤掉 NSFNET 的外部对等连接，让本应走向商业网络的流量失去旧出口。如果某条前缀、某段容量或某种排障方法仍依赖 NSFNET，故障会在最终截止日前暴露。

Gerich 处在迁移日历和正式通知的枢纽位置，但这不是个人英雄叙事。Harris 保存了主要历史记录；Merit、美国国家科学基金会（NSF）、ANS、IBM、MCI、区域网络、商业 ISP、NAP 运营方、USC ISI、Routing Arbiter 团队以及各地网络工程师共同完成了退役。Gerich 的作用，是把分散在不同机构手中的准备状态，组织成一套可以比较、质询并最终承诺的退出程序。

没有一位“继任者”可以单独接班

1992 年，NSF 把与 Merit 的合作协议延长十八个月。延长期既用于发布后续招标，也为商业服务商成长留出时间，使 NSF 能退出通用网络的直接运营。1993 年的招标没有寻找一个复制 NSFNET 的新承包方。1994 年初的安排把功能拆开：Network Access Points（NAP）承担互联交换，Merit 与 USC ISI 参与的 Routing Arbiter 提供路由协调，MCI 承建面向高性能科研的 vBNS，区域网络则转向各自选择的商业 ISP。

这种结构意味着，关闭前至少要完成四种证明。NAP 必须进入生产；原 NSFNET 与各区域所选 ISP 必须连到这些交换点；Route Server 与路由注册库必须真正可用；区域网络必须把服务迁往商业供应商。任何一张验收单都不能代表整体完成。

初始日期不断后移，原因就在“交付”和“运营”之间。主、备 Route Server 于 1994 年 11 月发运，但一项路由服务还依赖电路、前端设备、控制器、交换机、网桥、地址规划、安全、全天候监控和带外访问。1995 年 3 月，人们对 Pacific Bell 与 Ameritech 两处 NAP 的 ATM 就绪度和性能仍缺乏信心，两家因此准备了 FDDI 应急配置。

继任体系越分布式，准备状态越不能由单一机构宣布。NSF 可以确定退出方向，Merit 可以运营旧网和安排切换，服务商可以确认本方连接；但只有跨机构的实网行为，才能证明它们合在一起是一张互联网。

回滚既是保险，也是遮蔽物

Gerich 与 NSF 网络负责人 Priscilla Huston 接收各区域提交的迁移日历和工程概览。没有一个区域赶上最初的 10 月 31 日目标，有些晚了三到四个月。更值得注意的是，部分已经迁移的网络因部署问题，又恢复到完整的 NSFNET 服务。

在可逆阶段，回滚并不等于失败。它让工程师可以发现问题而不必拿用户连通性下注。但旧路径如果长期存在，就会产生相反的激励：最后一批困难工作可以被推迟，因为系统仍会替新网络补洞。书面的“已迁移”与线路中的“已独立”由此分离。

3 月，Gerich 告诉社区，NSFNET 上的流量下降得还不够快。Merit 随后给出剩余流量最大十个来源的直方图。这张图不是庆祝增长的指标，而是追问依赖的清单。商业线路已经安装，并不代表包已经离开旧网。T1 安全网被撤下，也是在逐层减少未经说明的回退空间。

六十天通知把信心变成责任

节点终止通知提前六十天发出，而且不可撤回：通知一旦寄出，该节点的 NSFNET 服务就不会恢复。第一个通知在 SURAnet 准备好后用于亚特兰大。2 月 28 日，Gerich 向其余十九个地点发出正式通知，把 4 月 30 日定为终止日。

这项制度安排的价值，不只在于防止项目无限延期。它划出一个责任转换点。在通知之前，回滚仍是学习工具，容量、连通和排障需求必须尽早提出；在通知之后，各方不能再把旧节点当成无条件保险。技术判断被转化为对客户、合作方和公共期限的共同承诺。

Merit 最初计划 4 月 21 日暂时移除对等连接，恢复后再于 28 日永久移除，30 日结束运营。网络方提出了容量、连通和诊断方面的具体依赖。团队逐项调整，却没有移动最终日期。固定终点与吸收证据并不矛盾：前者迫使各方行动，后者防止坚定演变成盲目。

第一次测试没能按计划进行。大量路由变更令配置文件被截断或损坏，运营人员必须增加空间、缩减网络列表并推迟操作。旧 Policy Routing Database（PRDB）无法轻松承受数千项同步变更，这本身就是一条重要发现。倘若问题直到 4 月 30 日才出现，团队面对的将不是一次可以修复的排演失败，而是已经失去旧路径后的生产事故。

对等互联最终在 4 月 25 日被移除。大部分网络保持安静，但仍有电话进来。4 月 30 日，各节点按照所在时区在午夜关机。资料并不能支持“没有任何中断”或“过渡完美”的说法；它所证明的是，延误、回滚乃至失败的首次尝试，都被用来提前购买信息。

传输层结束，控制数据还没有结束

PRDB 的退出发生在 5 月 8 日。Routing Arbiter Database（RADB）起初是空的，旧工具却依赖 PRDB 的属性。迁移范围包括约四万个网络前缀策略，以及大约一百个配置文件；这些文件两周生成一次，总计约二十五万行。团队采用临时 advisory 属性，转换数据，引入 Maintainer 与 Autonomous System 对象，并让新旧数据库并行运行。

真正的验收不是“数据已经导入”，而是反复逐行比较生成配置。Gerich 与其他路由注册实践者在 1995 年共同撰写 RFC 1786，记录多个注册库所采用的 RIPE-81++ 表示方法。直到 RADB 与 PRDB 达到配置一致、ANS 接手准备完成后，PRDB 才在骨干网关机一周后退出。

Internet Hall of Fame 的人物资料把 1995 年退役与转向商业 ISP 的监督工作列入 Gerich 的经历，也记录了她自 1987 年在 Merit 协调 T1、T3 NSFNET，担任 T3 与 Routing Arbiter 共同首席研究者，并与 Mark Knopper 共同创办 NANOG。贯穿这些工作的能力，不是替所有运营者做决定，而是创造共享观察、共同排障和形成承诺的制度空间。

NSFNET 的最后一幕因此不是一只开关，而是三个不同日期：通知把承诺变得不可逆，4 月 25 日的实网测试让隐性依赖暴露，4 月 30 日结束传输，5 月 8 日才结束旧控制数据。可靠退役的标准，不是让所有旧部件在同一场仪式中消失，而是让每项依赖在自己的证据满足后退出。

来源