摘要

  • AFRINIC于3月9日披露，保留且未分配给任何会员的102.224.0.0/12中有较小网段被发布到全球路由系统；其当前委派统计仍将这1048576个地址标为reserved。
  • 公告称ARIN转交了一个ASN未经持有者同意而出现在路由中的报告；AFRINIC随后促成相关IRR条目删除，联系主要转接网络和其认为创建条目的一方，并加强撤路监测。
  • RIPE RIS历史显示2月和3月有三个起源ASN涉及整个/12、两个/13和一个/17。截至8月12日，328个IPv4 RIS对等方均未看到整个/12；AS13560与该/12的RPKI状态是unknown，不是invalid。
  • AFRINIC未公开具体IRR对象、维护者、创建与删除时间、完整前缀清单、撤路判据或已落地的新增防护。这个缺口妨碍审计，但不证明任何机构或ASN持有者蓄意参与。

先问“登记记录是否说真话”

这起事件最重要的权力问题，不是谁有资格代表所谓“社群”，而是一条更窄、更硬的技术问题：公开登记记录是否准确描述了号码资源的真实授权状态。

102.224.0.0/12没有分配给AFRINIC会员。若公共IRR里出现能支持其路由发布的对象，依赖IRR生成过滤器的网络便可能把未经支持的声明当成可接受输入。记录没有直接创造BGP路由，却可能帮助一条路由获得传播条件。

因此，删除虚假或无权支持的条目、通知上游、确认路由退出，属于登记机构应做的事。Heng Lu Note 71把号码唯一性、登记准确性、防欺诈、可理解的安全声明和运行连续性列为“薄层”登记职能。这个事件落在该边界内。

承认这一点并不等于承认AFRINIC对所有商业使用、转移、地域流动或现任治理结构拥有同等正当性。Note 70提醒：技术功能需要连续，不代表执行功能的机构所主张的一切权力都需要连续。事件应按证据评价，不应成为替董事会、Receiver或政策权力背书的捷径。

AFRINIC公开了行动，但没有公开执行日志

AFRINIC称，ARIN在收到其区域内一家网络运营商的报告后通知了问题。报告内容是：该运营商的ASN未经资源持有者同意，出现在相关路由发布中。这段叙述本身已经说明，路由里出现某个ASN不能自动证明ASN登记名称对应的企业就是行为人。

AFRINIC随后列出四个步骤。第一，要求并取得相关IRR条目删除；第二，联系关键Internet transit providers，阻止受影响路由继续传播；第三，联系其认为创建条目的一方，要求立即停止未经授权的发布；第四，加强全球路由监测，确认路由完全撤回。

四个动作分别触及数据源、传播、疑似操作者和结果验证。公告也保留在公开新闻索引中。

但公告没有给出IRR名称、route对象、maintainer、对象建立与删除时间、受影响的具体前缀、起源ASN、首次和末次观测时间，也没有说明用什么阈值判断“fully withdrawn”。它还说正在审查更多技术和程序防护；冻结资料中没有后续文件说明防护名称、上线日期或测试结果。

行动叙述回答了“我们做过什么”。事故报告还应回答“别人怎样复核我们做到了什么”。

公开路由历史补上了一部分时间轴

AS13560从2月21日至3月7日起源整个102.224.0.0/12。同一ASN从2月24日至3月10日起源102.224.0.0/13，又从3月4日至3月10日起源102.232.0.0/13。AFRINIC在3月9日发布公告，因此公告所说的“加强监测以确认完全撤回”与后两条路由继续可见至3月10日的时间关系相符。

历史中还有两组不同记录。AS214174在2月8日和21日短时起源102.236.0.0/17；AS3563在3月16日的八小时区间起源102.224.0.0/13。后一条发生在公告之后，值得纳入后续控制审查，但不能未经证据就并入同一事件。

固定资料没有说明这些路由是否由同一IRR对象支持、是否由同一主体控制，或是否属于协调行动。把不同ASN的观测合成一个“攻击团伙”，会把技术事实升级成事实包不支持的指控。

RIPE当前把AS13560对应到Charter Communications的一条登记信息，把AS3563对应到Pilot Network Services；AS214174的响应没有显示holder名称。这些只是起源标识符的登记映射，不是意图或责任判定。AFRINIC自己的告警链正是从“ASN未经持有者同意被使用”开始。

“现在看不见”证明到哪一层

截至8月12日，RIPE routing-status接口显示，328个IPv4 RIS对等方中有0个看到整个/12。这是一条强而有限的证据：在这一收集系统的当前视图中，整个/12已不可见。

它不能证明全球每台路由器都不存在任何更具体的路由。RIS覆盖广，但不是全知视角。文章若把“0/328”写成“Internet上绝对不存在”，就会重复这起事件的原始错误：让一份记录声称超出其观测范围的现实。

更完整的闭环应公开AFRINIC使用哪些监测面、检查哪些更具体前缀、何时首次判定全部撤回、是否发现IRR镜像或缓存过滤器延长了传播。这样，当前状态才有一条可追溯的证据链，而不只是公告里的完成时态。

RPKI状态不是“无效”

RIPE对AS13560与102.224.0.0/12的验证响应是unknown，且没有validating ROA。

unknown与invalid不同。前者表示当前响应中没有覆盖该前缀与起源的ROA可供验证；后者才表示存在覆盖性授权，却与所见起源或长度矛盾。固定证据不允许声称RPKI已经把该路由标成invalid。

两份RFC提供了一个具体的预防设计。RFC 6483说明，主题为AS0的ROA表示该前缀及其更具体前缀不应被用于路由。RFC 6491建议IANA为未分配资源，以及不应被路由的保留资源发布AS0 ROA。

这并不自动证明AFRINIC对这一RIR管理的/12负有相同的强制义务。资料中没有证据说明事故前是否存在AS0 ROA、为何不存在、事故后是否评估或部署。负责任的提问是：AFRINIC是否研究过AS0或其他密码学防护，作了什么决定，决定记录在哪里？

若直接写成“AFRINIC未部署必须部署的AS0，因此违法或失职”，事实包不支持。若完全不问安全声明为何只是unknown，又放弃了最可复核的治理问题。

一个IRR对象经过了哪些控制面

公共IRR、网络过滤器、BGP转接、RIS观测和RPKI验证不是同一个系统。

IRR对象是一份声明。网络可以据此生成准入过滤器。转接网络决定是否接受与传播。RIS记录其对等方所见。RPKI则提供另一条密码学授权链。删除IRR对象可能影响下一次过滤器构建，却不会立刻刷新所有已经加载的配置。

这解释了AFRINIC为何既删除对象、联系transit provider，又监测撤路。控制问题是错误声明为何通过多个独立决策点。

AFRINIC无法控制每个公共IRR、镜像或运营商过滤政策，这是重要反证。它意味着不能把所有传播都归责给AFRINIC。与此同时，AFRINIC仍可公开自己的依赖图：在哪个IRR发现对象、有哪些镜像、通知了哪些类型的网络、哪些前缀在何时退出、采取了何种长期防护。

敏感联系人可以隐去，控制结构无需隐去。对象标识、前缀、时间戳、观测口径与安全状态可以在不暴露个人信息的情况下公布。

不要用正确的安全行动洗白其他权力

NRS警告登记机构可能把控制点用于针对普通的客户地址使用、租赁、分配与转移。这个警告针对已分配资源和运营关系。在本事件中，/12是保留且未分配的；阻止无依据路由不是对会员合法业务的执法。

同样，支持AFRINIC的一方也不能倒过来推论：既然机构在此处执行了必要的安全职能，它的董事会地位、Receiver关系、转移限制、社群代表性或其他政策都因此得到验证。技术有用性只证明技术有用性。

LARUS强调登记决策的成本最终落到运营商基础设施。这里的传导机制清晰可见：IRR数据进入过滤器，过滤器影响路由准入，RPKI覆盖决定密码学信号，运营商承担排错和声誉风险。解决方案是让薄层安全职能更透明、可移植、可审计，而不是让机构免于问责。

AFRINIC公告所述即时处置方向正确，RIPE当前视图也与整个/12撤回相符。现在缺的不是另一句“致力于稳定”，而是把“正在审查额外防护”变成已命名、已上线、已测试并有结果的控制。

事故真正关闭时，运营商应能回答：哪些对象被删除、哪些路由何时消失、RPKI为何是unknown、镜像和缓存是否残留、以后同类对象如何被发现或拒绝。能够提供这些答案，才是登记机构最值得尊重的权威——建立在可验证运行结果上的权威，而不是对一个大陆的抽象主张。

下方链接的BTW转型架构研究供希望了解更广制度框架的读者继续阅读。它只属于延伸阅读，不是本新闻的母稿，也不计入本批次新闻数量。

来源