摘要

  • 在 AFRINIC 登记系统中，mnt-routes 指定可为某个地址块创建或修改路由及路由策略信息的维护者。
  • 这项权限约束的是数据库声明；路由是否发布、被接受、可达并承载流量，仍取决于彼此独立的设备、BGP、过滤和上游操作。

理解这项权限，要从 2018 年 9 月的一次规则变化开始。AFRINIC 取消了 route 和 route6 对象必须另经起源 ASN 持有者授权的要求，同时保留 IPv4 或 IPv6 地址空间持有者的授权。地址持有者还可以在 inetnum 或 inet6num 对象中加入 mnt-routes，让上游服务商维护相关路由对象。

这次变化扩大的是一条明确的登记更新路径，而不是维护者的现实控制范围。AFRINIC 对 mnt-routes 的解释是：相关维护者可以创建或编辑与地址块或 ASN 关联的路由或路由策略。凭证通过验证，只能说明一次操作满足了当时适用的维护授权；它不会证明 ASN 持有者另行同意，也不会证明某台路由器已经配置。

AFRINIC 把 IRR 定义为使用 RPSL 保存路由策略信息的数据库。route 或 route6 对象把前缀与计划发布它的 ASN 联系起来，其他网络可以据此制作过滤规则。这里的“可以”很重要：登记对象是策略输入，是否取用、何时取用、怎样转换和是否部署，都由依赖它的网络决定。

从字段到流量，至少还隔着数个控制面。AFRINIC 认证并保存更新；镜像服务按各自节奏复制；运营者选择数据源、取得某一版本、生成过滤器并部署。起源网络则单独配置 BGP，并与传输或上游服务商完成网络安排。任何一个环节都不能替其他环节作证。

AFRINIC 当前的 IRR 最佳实践直接写明：创建路由对象并不意味着路由会被发布。运营者仍需在路由器上配置 BGP，并完成与上游网络的设置。登记对象在自动核验场景中可能帮助一条路由免遭过滤，但前提是对方确实消费了正确的数据源和足够新的版本。

因此，证据也要分层保存。登记侧应留存准确的地址对象与路由对象、数据源、mnt-routes、mnt-lower、mnt-by、维护者、操作类型、变更前后版本和时间。运行侧还要留存对方所用镜像、生成器输入、过滤规则、部署记录、BGP 观测、上游接受情况和同期可达性测试。

反向推理同样危险。存在路由对象，不等于存在实时流量；缺少对象，也不等于前缀没有发布。运营者可能使用另一个 IRR、手工策略、滞后镜像或完全不同的验证机制。结论必须明确说明它描述的是登记权限、策略声明，还是已观测的网络状态。

来源