摘要

  • AFRINIC 所称约五分钟的测试，只能证明其一侧在测试条件下发布或撤回 AS0 对象所需的时间，不能证明存储库、验证器、缓存、路由器与客户体验会在五分钟内一致恢复。
  • Draft 2 相对于 Draft 1 唯一得到材料直接证明的新增内容，是可能使用独立 TAL：运营商可以不接入这类注册机构生成的信号，愿意接入者也可把它与普通持有者 ROA 分开测量。
  • 这项改变确有约束价值，因为它保留退出选择并提高可观察性；但有效期、默认状态、推出方式、紧急质疑、纠正身份核验、收敛目标与损失责任仍未形成完整的运营契约。
  • AFRINIC 只能以私人技术记账者和唯一性协调者的身份维护库存记录、签发安全元数据并协调撤回；它不拥有资源，也无权命令任何网络如何处理验证结果。

五分钟的短动作，与更长的分布式问题

先把时钟放在桌面上。2020 年 9 月 17 日的 AFRINIC-32 会议记录载明，工作人员报告测试中的 AS0 对象大约需要五分钟撤回。这个数字很醒目，因为它似乎给“出错以后多久能修正”提供了一个可操作答案。但同一场讨论中的提醒同样关键：发布或撤回一个对象只是其中一步，其他因素会影响外界实际观察到的状态。若不先分清这两种时间，“五分钟”就会从有限的测试结果滑向并不存在的全网承诺。

发布端时间从 AFRINIC 的动作开始，也在其能够确认的边界内结束：它更新自己掌管的对象，使覆盖某段地址空间的 AS0 授权被撤销，并让对象不再出现在存储库中。分布式时间则从这里才开始显露复杂性。不同存储库镜像、验证器的抓取周期、缓存更新、路由器消费验证结果的节奏，以及运营商是否据此改变本地策略，都可能不同。某一依赖方已经看到对象消失时，另一依赖方仍可能保留旧状态；第三家网络即使接收了同样的验证结果，也可能只用于告警，而不改变路由。对象从发布者视野中消失，并不等于旧判断同时从每一个运行系统中消失。

因此，本文所问的不是 AS0 在抽象意义上好或坏，也不是追溯这项建议后来是否获得通过。问题要窄得多：2020 年 7 月 30 日的 Draft 2，凭借相对于 Draft 1 唯一得到证明的新增内容——独立 TAL 的可能性——是否让错误更自愿、更可见，也更容易逆转？答案必须分成两半。它确实增加了一道有意义的制度与技术隔离；它却没有独自补齐从错误记录到所有依赖方恢复的一整套机制。

红线很窄：新增的是隔离选择，不是重写核心

AFPUB-2019-GEN-006-DRAFT02 的正式修订记录把变化标作“Distinct TAL”。现有材料能支持的 D1→D2 红线仅此一项：注册机构生成的 AS0 ROA 可以放在一个独立的 Trust Anchor Locator 之下，使这项服务至少在初始部署时能够自愿接入并被单独测量。是否采用这种安排以及其他运营细节，仍留给 AFRINIC 处理。不能把这一新增选项写成强制使用独立 TAL，也不能推断它已经部署，更不能从中发明 Draft 1 删除了什么。

要判断这一红线的意义，仍需把保留下来的基础机制交代清楚，但不能把它误作 Draft 2 的新发明。原有设计已经提出：AFRINIC 对其记录为未分配或未指派的 IPv4、IPv6 空间创建 AS0 ROA；资源持有者也可以对自己账户下的资源创建 AS0 对象；在被覆盖空间进行新分配前，相关对象必须撤回并从存储库中消失。Draft 2 保留这套骨架，然后在注册机构生成的特殊对象与普通持有者授权之间，加入“可以分开接入”的门。

AFRINIC 工作人员对 Draft 2 的范围解释更具体：自动签发面向可用和保留的地址库存；新从 IANA/PTI 获得的前缀会立即得到 AS0 覆盖；退回或回收的前缀也会进入这一处理。已经分配给成员的资源不属于注册机构自动签发的范围，而资源持有者仍可为自己账户下的资源选择创建 AS0 对象。这里有三个必须同时保留的边界。第一，“库存状态”是 AFRINIC 私人登记服务中的技术记录，不是所有权判决。第二，工作人员的范围解释不能被夸大为已经发生的生产签发。第三，退回和回收的处理在此处只是 Draft 2 的工作人员解释，不能借用后来文本为其添加新的明确句子。

一个对象如何影响一条路，又为何不能命令一条路

AS0 ROA 表达的技术含义，是所覆盖前缀及其更具体前缀不应在路由中被使用。它可以把注册机构的库存判断转化为依赖方能够验证的加密证据。对于确实处于可用或保留状态、并且不应有正常来源的空间，这种证据有直接用途：网络可用它发现异常宣告，研究者可比较对象与路由观测，运营团队也可把它纳入监测信号。

但“可验证”不等于“可统治”。路由起源验证给出的是技术状态，不是法律裁决。AFRINIC 能在自己的登记服务中对未分配库存进行签名，是因为它控制相关私有记录与技术签发环节；这种排他的技术操作能力，不是针对前缀、成员、运营商、客户或国家的公共权力。它既不因签发一个 ROA 而把路由从互联网删除，也不能要求网络必须拒绝某一宣告。每家运营商保留全部本地选择：是否接入独立 TAL，以及把 Invalid 用于监测、降优先级、拒绝，还是不采取路由动作。

这一区分决定了错误传播的形状。若 AFRINIC 的库存记录正确，对象可能为愿意依赖它的网络提供低成本、经过认证的警示。若记录错误或对象过时，一个合法来源可能在部分依赖方那里呈现 Invalid。后果不会必然成为一个整齐划一的“全球断路”；它会沿着采用选择和策略选择分叉。有的网络只触发告警，有的降低偏好，有的拒绝，有的完全不接入该 TAL。正因为效果不是统一的，纠错也不能只用发布端的一个数字来描述。

独立 TAL 的最强善意解释

对 Draft 2 最有力、也最公平的理解，是它拒绝把注册机构生成的 AS0 类别与普通持有者授权捆在一起。运营商若认为这项信号有价值，可以明确选择接入；若尚不信任其库存准确性、纠错速度或运营安排，可以不接入。退出不是事后求情，而是进入系统之前就保留的架构选择。对一项可能影响路由判断的特殊安全信号，这种自愿性本身就是实质约束。

独立 TAL 还创造了分离测量的可能。若特殊 AS0 对象与其他 ROA 混在同一信任入口下，观察者很难清楚区分对象类别、采用范围和错误来源。单独入口使研究者和运营商能够比较“接入”与“不接入”的验证视图，统计对象的范围与变化，并在初始阶段观察信号是否准确传播。对确属未分配或保留的库存，AFRINIC 的记录与签名服务结合，可以提供比未经认证的列表更坚实的证据。分配前必须撤回且在存储库中不可见的要求，也说明释放不是普通文书动作，而是一个安全关键转换点。

这一善意解释应当完整接受，而不是为了强调风险就把收益抹去。独立入口降低了强制依赖的可能；分离测量提高了发现偏差的机会；由库存记录生成的签名信号可能降低愿意采用者的监测成本；分配前撤回门槛则试图阻止旧的 AS0 状态与新的合法使用正面相撞。问题不在这些设计目标是否有价值，而在于它们是否足以证明错误已经可控。

真正的控制面：从库存到本地策略

沿着一次完整转换，可以看见控制并不集中在一个机构手里。第一步是库存认定：哪些前缀被登记为可用或保留，哪些来自 IANA/PTI，哪些被退回或回收。第二步是签发：注册机构拟对其自动范围内的库存生成 AS0 对象，同时排除已经分配的成员空间。第三步是信任入口：是否提供独立 TAL，网络是否选择它。第四步是释放门槛：分配或指派发生前，覆盖对象要被撤回且不再可见。第五步是分发：存储库与验证器按各自节奏取得变化。第六步是运营商决策：验证状态如何进入监测或路由策略。

AFRINIC 直接掌握的是其中的私人登记、技术签发、撤回与信息发布部分。它可以改善库存冲突检查，可以缩短自身操作时间，可以报告对象何时生成和撤销，也可以观察若干验证点何时看见变化。它不能替所有验证器刷新缓存，不能替所有路由器应用更新，更不能替运营商决定业务风险。将控制面拆开并不是稀释责任，而是让责任落在真正能够行动的位置：记账者要保证记录与签名可纠正，依赖方要清楚自己的抓取和策略行为，任何一方都不得把自己的技术选择装扮成普遍命令。

在这里，Heng Lu 的薄协调分析提供了必要尺度。协调机构的正当价值在于保持唯一记录、提供互操作证据、减少冲突，而不是把技术位置扩张为主权。运行中的系统怎样表现，比文件中听起来强势的措辞更有决定力。自愿采用意味着服务必须用准确性、可观察性和可替代性赢得依赖，而不能借“安全”之名要求网络交出判断。独立 TAL 与这一尺度相容，但只有当它确实保持选择，并让失败能够被外部观察时才如此。

现有证据能说到哪里

日期和文本变化是明确的：Draft 2 于 2020 年 7 月 30 日发布，正式历史将其变化标为独立 TAL；工作人员在 2020 年 8 月 18 日的评估中解释了可用、保留、新获、退回和回收库存的覆盖以及分配前撤回要求；9 月会议又出现约五分钟的测试陈述和对端到端观察的警告。这些材料足以分析设计，却不足以声称后来已经采用、实施或批准。

同样，没有材料证明一个生产环境中的 AS0 对象、一个实际受影响前缀、一条被拒绝的路线、一次中断或任何持有者损失。没有证据可量化安全收益，也不能说某个运营商实际选择了独立 TAL。BTW 的现实优先方法在此不是替任何命题增加分量，而是迫使分析停在可证范围：文本能证明选项，会议记录能证明测试陈述，机制分析能揭示风险路径；至于生产结果，必须坦率留白。BTW 已有的广义 AS0 讨论只构成题目边界，不能被拿来证明 Draft 2 的具体效果。

这也解释了为何“五分钟”必须保持原样——一个有条件的测试结果。它不是存储库的普遍刷新上限，不是验证器的统一缓存期限，不是路由器的强制响应时间，更不是客户恢复承诺。把它升级为这些含义，会掩盖 Draft 2 正需要面对、却尚未规定的那一段路。