摘要

  • RPSL 定义source:为对象注册的注册表。该属性标识来源，它本身并不证明当前资源持有者、认证源 AS、保证新鲜度或确保镜像是最新的。
  • 分布式 IRR 迫使消费者选择查询位置。直接客户关系可指定首选注册表，但第三方通常缺乏权威来源的指引。因此，注册表名称成为信任的实际代理。
  • 软件使这种信任可操作。RADb 和 IRRd 允许来源选择和排序；bgpq4可将过滤器生成限制在命名来源；IRRd 可分配源级路由对象偏好。配置选择可以在人类看到任一声明之前压制一个而接纳另一个。
  • 基于品牌的偏好并非不合理。RIR 集成的 IRR 可针对数字资源记录进行认证，而一些独立数据库接受更广泛的社区并保留有用的覆盖。错误在于假设同一标签下的每个对象具有相同的权威性、年龄和维护历史。
  • 来源质量应在多个维度上衡量：地址持有者授权、源 AS 参与、凭证强度、新鲜度、RPKI 一致性、BGP 相关性、镜像完整性、修正权利、删除性能、可用性和关于例外的透明度。
  • 来源等级不应取代对象级证据。一个当前 RPKI 有效的、来自良好控制来源的路由对象与一个被放弃维护者下的旧 NotFound 对象不同，即使两者都以相同的source:值结尾。
  • 运营商需要可重现的来源策略：命名的来源和版本、冲突规则、偏好理由、审查日期、故障开放或故障闭合行为、过滤器差异和紧急例外。客户需要通知和补救措施，当来源策略变更影响可达性时。
  • 数字资源协会可以发布比较研究并倡导注册表和过滤器提供者可迁移的证据档案。它不能认可、认证、排名运营权威或裁决投诉；合格运营商和独立评估者必须执行并拥有测试。

最重要的一行通常描述最少

一个 RPSL 路由对象可以包含前缀、源 AS、维护者、联系人、备注和时间戳。底部的一行可能只是source: RIPE、source: APNIC、source: ARIN或source: RADB。它看似简单。然而，在分布式路由注册表中，这个名称可以决定运营商是否考虑该对象、哪个副本在冲突中获胜，以及结果前缀是否进入路由器过滤器。

这种权力并非源于文本本身。RFC 2622 赋予该属性一个狭义的含义：它指定对象注册的注册表。该字段说明声明所属的位置。它并不说明声明是正确的，地址持有者批准了它，源 AS 仍在使用它，或者特定传输网络应信任它。这些判断通过注册表规则和运营商配置进入。

这种区别很重要，因为外观相同的路由对象可能具有不同的证据历史。一个可能是通过链接到当前注册持有者的 RIR 帐户创建的。另一个可能是多年前由提供商代理注册的。第三个可能是第一个的忠实镜像。第四个可能共享相同的前缀和来源，但被一个准入控制较弱的数据库独立接受。source:值区分了发布来源，但它们并未暴露接受背后所有的证据。

尽管如此，运营商仍需要做出决定。过滤器生成器不能在扩展 AS-SET 时每次都争论制度理论。它查询来源，解析或合并结果，并发出配置。在这种环境下，来源名称成为压缩策略：“使用这些注册表”、“优先选择这些注册表”或“忽略那个注册表”。这种压缩在操作上是高效的。它也容易被认为是普遍的信任排名。

治理挑战不是废除来源偏好。而是让理由可见、可衡量和可修订。注册表名称可以是一个有用的起始信号。它不应该成为免于糟糕授权、过时数据或薄弱补救措施的世袭头衔。

来源是必要的，因为注册表是分布式的

早期的路由注册表旨在实现互联网范围内的协调，而不要求一个组织持有所有策略声明。RFC 1786 在 1995 年描述了 RIPE 数据库中的路由对象。RPSL 使语言通用化。到 2000 年，RFC 2901 描述了服务于不同用户群的几个注册表，并建议网络在一个路由数据库中注册路由，逻辑上是最接近的适当 IRR，即使提供商实践各异。

分布式系统需要命名空间和来源。如果对象被镜像到一个查询服务，消费者必须知道哪个来源接受了每个对象。来源名称防止镜像的 RIPE 对象冒充本地 RADb 声明，并允许客户端请求选定的注册表。它还允许两个内容匹配的对象保留不同的机构来源。

分布式提供了实际好处。网络可以注册一个区域或提供商社区，这些社区理解其资源。镜像可以提高可用性并为广泛搜索提供一个端点。不同机构可以在接口和策略上创新。没有全局变更控制机构必须批准每个路由声明。

代价是权威发现问题。RFC 7682 指出，给定一个前缀，第三方通常无法预先确定哪个 IRR 包含权威的、最新的声明。直接提供商可以在 BGP 订单表上询问其客户。路由服务器、研究人员或远程对等体缺乏这种关系。镜像所有已知来源返回了更多数据，但并未说明哪个声明应优先。

因此，source 属性被要求回答一个比来源更大的问题：消费者的信任应放在哪个机构的流程上？RIR 名称具有吸引力，因为同一组织持有数字注册关系。提供商和独立 IRR 仍然具有吸引力，因为它们覆盖了客户、遗留安排或别处不存在的策略对象。来源选择成为管理不完整权威的一种方式。

这种演变是可以理解的。这不是一个正式的认证系统。来源名称描述了接受对象的机构；信任取决于该机构实际检查了什么、检查的一致性如何，以及初始检查后发生了什么。

注册位置和权威证据是不同的主张

“source”一词容易引起过度解读。在日常语言中，来源可能是知识的起源。在 RPSL 中，它是附加到对象的注册表位置。数据库可能对于相关地址空间是权威的，仅对其自身的本地对象集合是权威的，或者只是愿意发布客户的声明。这些是不同的权威形式。

RIR 集成的 IRR 可以将路由创建与其管理下的地址和 ASN 记录联系起来。APNIC 表示其路由注册表检查地址范围和 AS 号码是否在其资源范围内，并使用资源记录中的维护者属性来控制路由对象。ARIN 描述其 NRTM 来源包含与有效维护组织和覆盖资源关联的授权对象。RIPE 数据库要求地址空间授权才能在 RIPE 区域内创建路由，并为某些阻塞对象提供基于层次的恢复。

这些控制证明了证据权重。但它们并未使每个细节永恒。有效持有人可能输入错误的 origin。代理可以正当授权但后来过时。在旧接口下创建的对象可能与今天创建的对象有不同的维护历史。联系人可能失效。路由可能在服务结束后保留在数据库中。准入时的权威并不是持续意图的自动保证。

独立注册表处于不同的位置。RADb 可以接受并提供超出单一 RIR 直接成员系统的网络路由策略，并提供包含镜像注册表的组合查询视图。这种广度具有真正的操作价值，尤其是在适当的 RIR IRR 缺少对象、提供商为客户管理策略或现有工具期望一个广泛端点时。这也意味着消费者必须询问哪些提交与哪些资源证据相关联。

标签本身不提供这个答案。source: RADB表示 RADb 注册了该对象。它并未说明该对象是由持有者直接创建、由服务提供商创建、通过遗留维护者创建，还是在当前的 RPKI 比较下创建。source: ARIN带有更强的区域注册集成，但消费者仍然需要对象年龄、状态和冲突证据。信任属于可验证的行为，而非排版。

正确的层次结构从主张特定的权威开始。对于地址来源断言，当前认证的地址权威应具有特别权重。对于 AS-SET 成员资格，相关 AS 管理者和层次命名控制很重要。对于镜像新鲜度，传输序列号和时间戳很重要。没有一个来源品牌仅因为知名度高就在每项主张上最佳。

查询选项悄然成为宪法规则

来源层次结构通常通过命令行标志实现。RADb 的查询界面允许客户端设置选定的来源，并表示默认搜索顺序遵循服务器配置。IRRd 允许运营商定义默认来源、别名和顺序。bgpq4是一个广泛使用的配置生成器，接受-S列表，并推荐一个围绕 RPKI 和 RIR IRR 构建的集合。运营商可以将其信任宪法编码在一个少数客户从未见过的定时命令中。

这不是对自动化的批评。结构化路由数据的目的是支持可重复的策略。来源列表可以排除不符合运营商安全标准的数据库。明确的顺序可以使结果确定。自动刷新可以减少持有者更新到路由功能之间的延迟。

但来源选项是一个具有后果的策略决策。假设客户仅在 RADb 中拥有有效的路由对象，而传输提供商将其生成器从所有来源更改为仅 RIR 来源。该对象并未变为虚假；它对该提供商选定的证据变得不可见。在下一次策略重建时，前缀可能从允许列表中消失。相反，添加一个广泛来源可能会将旧或未授权的前缀-origin 对引入过滤器。

来源顺序可能比包含更微妙。传统查询可能返回所有匹配对象，而客户端取第一个。一个工具可能对结果进行联合。本地数据库可以在回答前应用抑制。运营商可能聚合生成的前缀，模糊哪个对象允许更具体的条目。相同的来源列表在不同软件和选项下可能产生不同的有效策略。

治理要求运营商记录完整决策，而不仅仅是命名查询主机。选择了哪些来源？顺序如何？使用了镜像还是权威端点？RPKI 无效对象被抑制了吗？重叠的低偏好对象被隐藏了吗？AS-SET 如何展开？结果为空时发生了什么？生成的策略何时部署？

这些问题等效于公共机构中的程序权利。它们决定了哪些主张被听取，哪些被排除。只有当围绕规则的检查可行且受影响的网络能够对后果性错误提出挑战时，信任标签才变得合法。

路由对象偏好使声誉可执行

IRRd 的路由对象偏好功能是来源声誉变为代码的一个异常清晰的演示。管理员为每个配置的来源分配一个数值偏好。当路由对象重叠时，较低偏好来源的对象可以被抑制，以支持较高偏好来源的对象。来源的等级改变了普通查询暴露的内容。

该机制很有用。如果 RIR 权威来源包含当前路由数据，本地 IRRd 运营商可能合理地希望抑制来自控制较弱的第三方来源的重叠对象。结果可以减少歧义，防止旧的广泛声明影响过滤器。偏好可以跨大型数据集一致应用，而不是通过一次性的例外。

其局限性同样具有指导意义。IRRd 文档指出，重叠可以是精确、更具体或更不具体的，并且此偏好比较不考虑起源 AS。一个较高偏好的对象对于重叠前缀可能影响较低偏好对象的可见性，即使它们的 origin 不同。一个来源的变更可以改变另一个来源中对象的可见状态。没有配置偏好的来源可以保持可见，不受比较的影响。

这不是软件隐藏的缺陷；这是管理员必须理解的策略模型。来源偏好回答了“哪个机构的重叠路由数据优先？”。它不评估两个 origin 之间的完整语义关系。假设它执行完整的持有者意图协调的运营商可能会隐藏合法的多 origin 或备份声明。

偏好还引入了等级的质量。如果高排名来源维护过时，其重叠可能抑制更新鲜的低排名对象。如果来源的准入控制提高，其历史对象不会全部追溯获得新的保证。如果注册表的区域范围在转移后发生变化，先前权威的标签可能对该前缀不再权威。

因此，该功能应像有后果的规则集一样被治理。偏好值有明确的理由、所有者、生效日期和审查日期。变更对照实际对象差异进行预览。意外的抑制被抽样。客户可以了解其对象是否被隐藏以及原因。紧急覆盖会过期。排名是当前的管理判断，而不是来源名称的永久属性。

一个标签可以涵盖几代控制

机构声誉通常假设内部一致性，但这种一致性并不存在。数据库会演变。它们淘汰电子邮件更新，添加账户认证，引入层次授权，迁移旧对象，集成 RPKI，收紧区域范围，或添加持有者挑战工具。source:值可能在这些变化中保持稳定。

例如，ARIN 的 IRR 文档区分了简单和高级对象，并注明了来自早期电子邮件模板服务的迁移对象。权限部分取决于对象如何创建。其授权的 NRTM 来源与注册组织有很强的当前联系，但对象来源仍包括接口和迁移历史。细心的消费者可以识别来源的机构实力，而不假装每一行都是通过一个程序诞生的。

RIPE 来源以可见的方式改变了边界。无法根据 RIPE 管理的地址空间进行认证的区域外路由和 aut-num 对象被移动到RIPE-NONAUTH，并且停止了新的区域外路由创建。这种重新标签是治理最纯粹的形式：机构撤回了一个其普通RIPE标签无法再为这些资源支持的权威暗示。

APNIC 的集成注册表检查区域资源，并允许在指定条件下导入路由对象。其文档解释，一个针对 APNIC 管理地址空间的对象可以命名一个外部 ASN，并在请求者缺乏 ASN 侧授权时触发通知。这是一个在地址持有者控制和 origin-AS 意识之间有意识的策略平衡。评估source: APNIC的消费者应理解检查，而不是将其简化为“可信”或“不可信”。

RADb 增加了使用 BGP、RIR 验证、维护者关系、年龄和其他数据进行的过时对象评估。但它明确表示过时标记不会更改查询行为。选择 RADb 的运营商仍需要决定是否以及如何使用该状态。机构标签不会吸收对象级信号。

好的来源治理暴露了这样的世代。对象可以携带创建方法、上次认证审查、当前状态和相关验证结果，而不泄露秘密凭证。消费者于是可以在来源内偏好更强的队列。替代方案是声誉平均化：优秀的新控制为每个遗留对象赋予权威，而少数遗留失败不公平地诋毁当前的高质量记录。

品牌捷径是理性的，直到它不再被检验

网络运营商不能对大型客户锥中的每个前缀进行取证调查。他们使用品牌，因为机构发展出可重复的行为。一个认证持有者、维护可靠镜像、回应挑战并发布明确规则的注册表，比那些接受不可验证声明并忽略争议的注册表更值得信任。声誉是一种合法的扩展机制。

危险在于继承的权威。一旦 RIR 名称或成熟的商业注册表被写入标准配置，重新审视的成本就会上升。工程师复制前任的来源列表。供应商示例成为默认。来源因为大型运营商信任它而被信任，而大型运营商信任它因为它长期以来一直在列表中。纳入的原始证据消失了。

这种循环保护了薄弱表现免受市场纪律。一个来源可能有延迟更新、无法联系的维护者或不透明的删除规则，同时保持其排名。相反，一个较小或较新的注册表可以实现强大的资源认证和及时纠正，但仍然被排除在外，因为它缺乏品牌历史。两种结果都不服务于路由安全。

声誉必须通过观察来更新。来源多久验证一次当前持有者身份以进行重要变更？接受的更新多快可用于镜像？被放弃的维护者如何恢复？受到挑战的对象中有多大比例在规定期限内收到有理有据的决定？路由对象与当前 RPKI 冲突的频率如何？NotFound 情况如何处理？镜像丢失序列或提供旧快照的频率如何？

即使这些测量也需要谨慎。一个服务于困难的遗留和多区域案例的来源可能显示出比一个范围狭隘的来源更多的争议。高的 RPKI 对齐率可能反映了高质量的认证或狭隘的 RPKI 采用者覆盖范围。快速删除可能高效或鲁莽。得分需要维度、分母和案例组合，而不是一个排行榜。

当捷径可审计时，它仍然是理性的：“我们偏好这个来源用于这些主张，因为这些当前的控制和结果支持它。”当解释仅仅是该来源有名时，它就变成了神话。

权威性、准确性和新鲜度不应共享一个等级

单一的信任分数掩盖了证据的性质。一个对象可以是权威但不准确：当前持有者认证成功但输入了错误的 origin。可以是准确但权威薄弱：第三方在未征得持有者同意的情况下从 BGP 复制了真正的前缀-origin 对。可以在创建时既权威又准确，但在网络迁移后过时。可以在权威来源处是最新的，但在滞后的镜像处是旧的。

这些状态需要不同的补救措施。权威错误应由持有者快速纠正并传播。未经授权但准确的副本不应仅因为与 BGP 匹配就被依赖为持有者许可。过时的对象需要继任和退休。镜像滞后需要传输修复，而不是与对象维护者争论。

因此，来源评估应发布一个向量。权威性询问什么关系允许提交者为前缀和 origin 发言。认证询问机构如何建立提交者的身份。准确性将对象的声明与更强的独立证据进行比较。新鲜度衡量自有意义确认以来的时间，而不仅仅是时间戳修改。可用性衡量消费者能否获得当前数据。可补救性衡量受影响的持有者和维护者能否通过公平的程序纠正错误。

向量应该是主张特定的。RPKI 可以强有力地支持前缀-origin 权威，但不会验证每个 AS-SET 成员或导入策略。号码注册表可以确定当前注册持有者，但可能不知道客户的私有传输安排。BGP 可以显示一条路由正在使用，但不能证明许可。提供商合同可以显示委托，但可能是保密和临时的。

运营商然后可以声明阈值。客户入口过滤器可能需要强地址权威或经过审查的合同例外。对等发现可能接受更广泛的证据，但标记不确定性。路由服务器可以结合 RPKI 有效性和选定的 IRR 记录用于 NotFound 路由。研究查询可能包括被抑制的和历史的对象，恰好是因为他们正在研究不一致而非生成许可。

这比金牌、银牌或铜牌徽章要做更多工作。也更诚实。信任不是一种物质。它是在特定决策中依赖声明的一系列理由。

认证质量必须在后果边缘衡量

一个来源可以宣传强大的账户安全，同时留下决定性的授权薄弱。多因素登录确立了账户用户控制凭证。它并不确定该账户代表当前前缀持有者，可以命名 origin AS，或者旧提供商的委托仍然有效。质量测试必须跟随主张到资源边缘。

RFC 2725 提出了一个更丰富的模型。认证识别谁尝试更改；授权确定该认证角色是否可以进行更改。路由创建可以咨询与地址空间和 origin AS 相关的维护者，并通过mnt-routes和相关属性进行层次委托。设计认识到路由权威连接两个域。

实现做出了不同的选择。当前的 RIPE 模型为路由创建认证地址空间侧，并通知现有 origin AS 联系人，而不是要求 origin-AS 认证。APNIC 文档描述了使用地址和 AS 资源对象的控制，同时允许某些外部 origin 情况并附通知。ARIN 为其验证流将授权路由和 aut-num 对象绑定到同一维护组织。每个选择都有操作原因和不同的保证配置文件。

衡量应询问：接受的路由变更中，有多大比例具有当前地址持有者授权？当 origin 侧批准不是必需时，origin 联系人是否收到通知，能否反对？代理注册是否明确委托？当前持有者能否从放弃的维护者那里收回对象？遗留认证方法是否仍然被接受？高风险恢复是否经过独立审查？

原始百分比是不够的。分母区分新对象、修改、删除、迁移记录和管理恢复。一个来源可能对新条目有完美的强认证，而大多数查询对象早于该控制。另一个可能故意保留未修改的历史对象，但标记其审查状态。消费者需要当前输入性能和存量质量。

最好的来源不一定是最要求签名的。过多的要求会阻止合法更新并使数据过时。质量在于正确分配权威、使委托可用、提供通知和启用恢复。安全冻结昨日运营商的策略不是值得信任的维护。

新鲜度是一个事件问题，而不是年龄阈值

对象年龄很诱人，因为它容易计算。十年前最后更改的路由对象看起来可疑。然而，稳定的网络可以几十年从同一 ASN 宣布同一前缀。要求定期文本更改会产生噪音并鼓励外观更新。最近的时间戳可能隐藏复制或错误确认的断言。

有意义的新鲜度询问声明是否经受住了相关事件。注册持有者改变了吗？资源在组织或 RIR 区域之间转移了吗？origin AS 状态改变了吗？出现与对象冲突的 ROA 了吗？维护者是否失去了所有可联系的联系人？提供商关系结束了吗？来源的准入政策改变了吗？

来源可以监控这些触发因素，而不假装知道每一个私人安排。RIR 内的注册事件是其集成 IRR 的强触发因素。RPKI 冲突是任何路由对象的强触发因素。重复的 BGP 不匹配是审查信号，而非定论。失败的通知和无效凭据需要重新验证。客户终止事件可以触发提供商管理的清理。

因此，新鲜度记录应区分最后修改、最后认证、最后证实和最后事件审查。一个旧的未更改对象可以保持高置信度，如果当前持有者最近通过强大账户确认了它，并且没有矛盾事件。一个年轻对象可以在有效的覆盖 ROA 与其 origin 矛盾时立即降级。

RADb 的过时评估展示了复合信号的价值和局限性。直接的 BGP 匹配、共享的维护者、观察到的 AS 链接、RIR 状态、年龄和其他来源可以识别值得关注的对象。徽章本身不会抑制对象，适当地将操作决策留给策略。下一步是提供可负责的确认或退休路线。

新鲜度服务水平应按事件类别声明。安全冲突需要快速审查。资源转移应触发转移前和转移后的对账。休眠备份可以有更长的确认期。一个通用的期满日期要么删除有用的稳定策略，要么长期容忍危险的变更。

RPKI 是一个更强的权威信号，而不是通用替代标签

RPKI 的发展改变了证据层次结构。依赖方可以验证 ROA 是在覆盖地址资源的证书链下颁发的。对于 origin 声明，这比仅知道哪个 IRR 接受了一个文本对象更强。现代 IRRd 可以抑制 RPKI 无效的路由对象，并可以从验证的 ROA 创建伪 IRR 对象，以便现有工具可以使用它们。

这鼓励了这样的配置：RPKI与 RIR 来源名称一起出现。bgpq4手册推荐一个以 RPKI 开头、后跟五个 RIR IRR 的来源列表。顺序传达了对于加密基础 origin 权威和区域集成注册数据的合理偏好。

尽管如此，在生成的伪对象中的source: RPKI与提交的 RPSL 记录中的source: RIPE不是同一制度事实。前者是验证过的签名对象的转换表示。后者是在数据库规则下接受和维护的 IRR 条目。它们可以表达相似的前缀-origin 信息，但它们的更新、范围和失败语义不同。

RPKI 也不认证每个 IRR 对象类别。RPSL 包括 AS 集和更丰富的策略，用于生成客户锥和过滤器。ROA 授权一个 origin 和长度；它不声明完整的传输关系或保证路由当前被宣布。合法持有者可能犯配置错误。NotFound 路由没有覆盖的验证有效载荷，且并不因此而来未经授权。

最强的设计使用 RPKI 作为主张特定证据。RPKI 无效的路由对象面临抑制或紧急审查，并附通知和修正路径。RPKI 有效对齐提高置信度。NotFound 对象仍然受 IRR 授权、新鲜度和 BGP 证据约束，而不是自动拒绝。AS-SET 接受自己的层次和成员控制。

这避免了用一个品牌层次替换另一个。密码学证明一个授权密钥在有效链下做了一个狭窄声明。它应为此声明获得高权重。它不应被用来暗示每个其他策略问题都已解答。

BGP 协议有用且危险地诱人

当没有权威的 IRR 或 ROA 解决冲突时，运营商经常将路由对象与默认自由区路由表进行比较。匹配的前缀和 origin 似乎确认了现实。测量研究使用这种比较将对象分类为路由、冲突或不活跃。该方法对于评估操作相关性不可或缺。

它不是权威。被劫持的路由可以匹配自身。网络可以通过一个 origin 进行宣布而不更新旧的持有者控制记录。合法的备份对象可能没有当前的全球宣布。私有互联、区域可见性、聚合和临时缓解可能逃避选定的收集器。BGP 描述了观察到的可达性，而非同意。

最近由 AMS-IX 和 DE-CIX 研究人员提出并在 RIPE Labs 上总结的研究发现，使用 RPKI、权威 IRR 记录和 BGP 可见性作为质量指标，RIR 权威和第三方 IRR 数据之间存在方向性差异。该工作支持衡量来源表现而非假设平等。它还做出了分类选择：在默认自由区中未见到的对象可能是过时、私有、备份或其他超出测量范围。

来源等级必须保留这些警告。注册表不应通过删除收集器未见每个对象来提高分数。运营商不应仅因为公告已存在就接受第三方路由对象。研究人员应发布视角、收集日期、前缀处理、冲突优先级和排除项。来自一个研究期的计数不是品牌的永久属性。

BGP 协议最适合作为轴线之一。强权威加上当前 BGP 协议支持许可和使用。强权威而无 BGP 可以支持备好或备份策略。弱权威而 BGP 协议需要持有者确认。与强 RPKI 证据冲突，无论 BGP 可见性如何都需要紧急审查。

这个矩阵比“来源 X 是可信的”解释起来慢。它产生更好的过滤器，因为它区分置信度的理由和怀疑的补救。

镜像质量是信任的一部分，即使它不是对象权威

权威来源可以维护优秀的记录，而消费者接收到旧的镜像。source:行保持不变，因为对象的机构来源没有变化。该行中没有任何信息揭示本地副本是否是最新的，是否发生了日记间隙，或者镜像是否静默回退到旧的快照。

RFC 7682 记录了旧 NRTM 复制的弱点，包括缺乏强验证和同步问题。现代软件提供更好的控制。IRRd 可以维护来源特定的日记、获取序列信息、应用完整导入和 NRTM 更新，并暴露状态。RIPE 的较新复制设计使用来源特定的会话、版本化快照和带哈希的差异。这些机制使新鲜度和完整性更可观察。

它们需要出现在来源策略中。一个运营商说它信任ARIN但查询一个上次更新是两天前的镜像，并没有收到当前的 ARIN 证据。过滤器系统应记录权威来源版本或序列、镜像获取时间、验证结果和编译时的年龄。如果镜像不健康，运营商决定是否保留最后的已知策略、查询备用端点或暂停更改。

故障转移选择有后果。保留旧过滤器保持连续性但可能保留已撤销的许可。从不完整的来源集重建可能会移除合法路由。故障开放可能允许未注册的声明；故障闭合可能断开客户。适当的行动取决于会话类型、最后已知状态、RPKI 证据和事件上下文。

因此，可用性值得自己的来源等级。衡量成功更新的检索、滞后分布、序列间隙恢复、快照完整性、状态透明度和事件解决时间。不要将这些结果与持有者授权混合。一个注册表可能权威但暂时不可用；一个镜像可能高度可用但服务弱授权数据。

这种分离创造了问责制。注册表运营商可以改进发布。镜像运营商可以改进传输。过滤器提供商可以改进过时状态处理。客户可以知道哪个层失败了。来源标签继续标识来源，而不被迫隐藏每一个下游条件。

更正权利是比声望更好的信号

在公共运营注册表中，错误是不可避免的。信任更取决于使错误纠正有效，而不是声称完美。当前持有者必须能够发现覆盖其资源的对象、认证身份、提交证据并收到有理有据的回应。列出的维护者和 origin AS 需要通知和解释持续权威的机会。消费者需要状态和安全例外，而争议正在审查中。

RIPE 的强制删除机制为当前持有者提供了一种有边界的方式，可以在权威地址层次下移除阻塞对象。其非权威清理政策使用了 RPKI 冲突、通知和删除前的持续期。RADb 邀请维护者审查过时分类并提供 BGP 或其他支持证据。这些是由不同机构位置塑造的不同补救措施。

可衡量的问题是实际的。挑战路径有多清晰？接受什么证据？决策者是否独立于原始提交者？通知是否通过当前资源渠道以及对象联系人传递？紧急抑制能否快速审查？历史证据是否保存？错误的删除能否在不假装从未发生的情况下逆转？

有声望的来源可能无法通过这些测试，而不太知名的来源可能通过。基于技术历史建立的品牌不能成为响应迟钝的支持队列的借口。快速的客户服务也不应取代正当程序；根据最强网络的要求删除的注册表是不可信的。

补救数据应以聚合方式发布，并定义人口：收到的挑战、权威类别、结果、决策间隔、紧急行动、撤销和未解决案例。敏感身份和商业证据可以保密。采样独立审计可以测试公布规则是否被遵守。

决定来源偏好的运营商应高度重视这一证据。一个错误的对象存在于具有可信纠正的来源中是一个有边界的风险。一个错误的对象存在于没有地位、通知或上诉的来源中可以成为永久的操作许可。当声称者说该机构错了时，机构合法性就显现出来。

可衡量的来源档案可以取代民间排名

一个有用的档案从范围开始。注册表可以直接认证哪些地址和 AS 资源？哪些对象被接受用于区域外资源？哪些类别是权威的、镜像的或派生的？存在哪些当前和遗留的提交方法？没有范围，在一个狭窄人口中的高表现可能被误认为是普遍质量。

第二部分涵盖准入。它记录地址持有者授权、origin-AS 授权或通知、委托控制、凭证方法、恢复检查和对代理注册的处理。结果区分新创建、修改、迁移和未触及的遗留对象。

第三部分涵盖持续质量：最后认证确认、事件触发审查、RPKI 有效、无效和 NotFound 处理、BGP 比较、不活跃联系人、转移对账和重复检测。它分别报告每个信号，而不是宣布每个不匹配为虚假。

第四部分涵盖分发：权威发布时间、镜像可用性、版本连续性、滞后、完整性验证和状态可见性。第五部分涵盖补救：发现、地位、通知、暂停、删除、上诉、撤销和历史。第六部分涵盖操作使用：选定的过滤器提供商如何包含来源、他们应用什么冲突规则、以及客户如何收到策略变更的通知。

分数于是可以上下文化。运营商可能要求高地址权威和补救等级用于客户入口，同时接受中度 BGP 覆盖。研究人员可能更重视历史和广泛覆盖而不是抑制。路由服务器可能优先考虑 RPKI 集成和当前 AS-SET 维护。一个机构可以为不同的对象类别有不同的等级。

测量必须是可重现的。发布周期、数据集、测试、排除项、分母和负责评估者。保留失败和有争议的样本。结果过期。一个改变软件或准入政策的来源接受新的评估。一个认证标记链接到证据，而不是成为永久的标志。

档案不会移除判断。它将改善判断。运营商可以解释为什么他们选择了某个来源。注册表可以看到哪些控制需要投资。持有者可以比较服务。新进入者可以通过表现赢得信任，而不是等待几十年打造品牌。

运营商欠客户一个可以检查的来源策略

传输网络的过滤器是私有配置，但决定客户可达性的证据规则不应是秘密。在入职时，运营商应说明接受的 IRR 来源、是否使用 RPKI、所需的 AS-SET 约定、刷新频率、冲突优先级和紧急更新程序。客户于是可以在正确的地方注册，并了解变更如何到达边缘。

来源策略应该是版本化的。当运营商移除或降级一个来源时，它预览对当前客户的影响，并识别那些会消失或改变 origin 许可的前缀。受影响的客户收到通知和一段时间来创建更强的权威记录。安全关键冲突仍然可以触发快速行动，但普通策略迁移不应使依赖于它的路线的人们感到惊讶。

生成的过滤器需要来源。对于每次部署，保留工具版本、查询端点、选定的来源、来源版本、抑制设置、AS-SET 根、输出哈希、审查的差异和路由器目标。这一证据使网络操作中心能够回答为什么一个前缀昨天被接受而今天被拒绝。

例外需要同样的纪律。拥有合法遗留空间的客户可能无法立即满足默认来源规则。手动前缀允许可以维护服务，同时修复注册。例外记录权威证据、审批人、范围和过期。它不会成为不可见的永久旁路。

运营商应测试空和降级状态。如果首选的 RIR 来源不可达，系统是使用最后的已知过滤器、扩展到所有来源还是移除客户前缀？如果 RPKI 数据过时，如何处理无效结果？如果 AS-SET 扩展突然增长，部署是否暂停？来源信任包括失败时的行为，而不仅仅是正常查询结果。

这种透明度不需要发布客户拓扑或路由器凭证。它需要发布机构证据变为许可的规则。支付传输费用的客户对该规则有合法利益，并在规则被错误应用时有补救措施。

排名可能被操纵，除非分母保持可见

一旦来源质量影响声誉和采购，机构将优化指标。如果指标追踪真实权威和纠正，这可以是有益的。它也可能产生表面改进。注册表可能从其报告人口中排除困难的遗留对象，批量刷新时间戳，压制冲突而不是解决它们，或将未回应的通知计为已完成审查。

因此，每个指标需要分母和处理。RPKI 冲突率指定它们是否涵盖所有路由对象、仅路由对象或仅具有覆盖 ROA 的前缀。新鲜度率区分有意义的持有者确认和自动修改。挑战表现包括撤回、维持、拒绝、撤销和仍开放案例。镜像可用性区分权威发布和第三方检索。

案例组合必须可见。RIR IRR 可以更直接地认证自己的区域资源，而不是全球独立注册表。独立来源可能恰恰因为填补空白而承载更多遗留、多区域和代理记录。在没有范围的情况下比较它们的原始冲突率会奖励狭隘性。档案应评估每个来源是否对其选择托管的主张应用适当的控制。

抑制不得抹去审计人口。如果 IRRd 隐藏 RPKI 无效或较低偏好对象来自普通查询，质量报告应仍然计数它们并显示为什么它们被抑制。否则，一个来源可能看起来干净，因为问题不可见。历史副本应与活动策略视图分开，但保留以供授权审查和研究。

独立抽样可以阻止操纵。评估者跨年龄、权威类别和结果选择对象，重放准入和挑战证据，并比较权威和镜像状态。注册表可以保护凭证和个人数据，同时证明检查发生。有争议的案例应以匿名原因类别发布。

目标不是永久的赢家。而是持续改进和诚实的来源选择。一个不能下降的排名成为品牌权威的另一种路径。一个暴露其边界的衡量可以支持信任，而不假装废除不确定性。

制度合法性来自对可见性的约束性权力

来源偏好控制可见性。注册表决定接受和移除什么。镜像决定携带哪些来源。过滤器运营商决定信任哪些标签。IRRd 可以抑制重叠的较低偏好对象。这些选择一起可以使网络的声明在操作上可读或实际缺失。

这种权力需要约束，即使由私人技术组织行使。规则提前发布。决策使用相关证据。类似情况得到类似处理。受影响的持有者和维护者收到通知。紧急行动范围狭窄并接受审查。理由可检查。错误可以纠正。指标揭示例外。

机构品牌只能作为这种行为的总结来支持合法性。RIR 在号码注册中的角色赋予其特殊的证据地位，但不是公平纠正的豁免。商业注册表的广泛服务可以创造有价值的覆盖，但客户付款本身并不建立资源权威。开源实现可以使策略透明，但本地管理员仍然选择配置。

source 属性应保持稳定的来源。重写它仅仅是为了赋予声望可能会误导消费者关于对象在何处以及根据何种规则注册的信息。RIPE 创建RIPE-NONAUTH是可辩护的，因为它明确区分了一个普通区域权威不适用的集合。任何类似的重新标签应保存历史并通知维护者。

消费者应能够同时看到来源和处理：原始来源、权威或镜像状态、验证状态、本地偏好、抑制原因和观察时间。这保持了数据库行为与过滤器运营商判断的分离。它也使得不同意见成为可能，而不会破坏对象。

合法性不是当每个人都使用相同排名时实现的。而是当不同运营商能够做出基于证据的选择、向受影响的网络解释并表现变化时实现的。

数字资源协会可以倡导基于证据的信任，而不铸造徽章

NRS 将运营商权利和机构问责制作为核心关注点。这些目标支持围绕来源质量的倡导和研究角色，而不是运营注册表保证计划的权威。NRS 可以比较公共控制，委托独立研究，并倡导 IRR 权威、镜像和过滤器提供商的开放证据档案。相关注册表或服务运营商必须发布自己的证据，而技术上合格的独立评估者设计并执行任何一致性测试。

对于注册表，此类独立测试可以检查资源持有者授权、origin 通知、委托维护、遗留对象标记、事件触发审查、挑战地位、可逆抑制、删除证据和发布状态。对于镜像，可以检查来源保真度、版本连续性、滞后和事件报告。对于过滤器提供商，可以检查明确的来源选择、冲突处理、可重现生成、客户通知和例外过期。NRS 可以解释为什么这些领域重要并发布来源链接的比较；它不执行注册表控制或认证被测试的服务是权威的。

结果应该是负责任运营商或指定独立评估者发布的证据记录，而不是 NRS 对每个对象的认可。注册表可以通过准入测试，而一个持有者犯错误。镜像可以通过完整性测试，而它的来源包含过时策略。提供商可以正确实现其声明的来源规则，而规则本身仍然可以受到挑战。范围和限制随结果一起传播，操作依赖仍然是使用数据的网络的决定。

任何独立评估必须过期。测试的软件版本、策略版本、周期、样本和评估者可见。重大变更由负责任运营商或合格独立评估者触发重新评估。投诉根据问题转至注册表、服务提供商、授权的独立审查流程或主管法院；它们不会使 NRS 成为上诉机构。发布的标准应一致应用，而不赋予帮助设计它们的来源永久排名。

NRS 不是通用 IRR、过滤器运营商、认证机构或数字资源的法律权威来源。其公开声明是倡导证据，而不是来源质量系统运行或任何对象有效的证明。其建设性角色是使来源支持的机构声明可比较，代表成员关切，并帮助持有者使用负责任注册表、服务运营商、独立审查者或法院提供的纠正和审查权利。

这是一种积极的分权形式。RIR 保留其资源注册职责。独立注册表保留其服务模式。运营商保留路由策略。共同的证据档案允许信任随表现移动，而不是固定在哪个名称在较早时代主导了配置文件。

source 字段应回归来源，信任应展示其工作

source 属性很好地完成了其原始工作。在镜像、分布式注册表中，它告诉读者对象在哪里注册。当这一小块来源被视为权威、新鲜度和运营适用性的完整证书时，问题就开始了。

运营商将继续偏好某些来源。他们应该。一个与当前号码注册和强持有者认证集成的来源通常比未经认证的第三方声明在前缀权威上应获得更多权重。一个具有可靠发布和纠正的来源比有模糊延迟的来源应获得更多运营信心。这些是基于证据的区分，而不是主张每个数据库都平等的论点。

区分必须保持有条件。信任附加到声明、对象队列、当前策略和测量服务。它可以在认证改进和旧对象接受审查时上升。它可以在镜像滞后、挑战未回应或机构范围不再匹配资源时下降。它可以对路由对象和 AS 集不同。它可以被更强的对象级证据覆盖。

成熟的过滤器记录应能够说：这个前缀进入是因为一个命名来源中的当前持有者控制声明通过了声明版本上的声明检查；这个冲突对象由于记录在案的原因被排除；这个镜像是当前的；这个客户被通知；这个例外过期。这个解释比来源名称长，并且在一个中断或争议后要有用得多。

从 1995 年起，路由注册表将网络运营商之间的社会信任转化为结构化的声明。source 标签保留了这些声明的机构位置。三十年的自动化将位置变成了排名。下一步不是放弃声誉，而是约束它。

来源名称应标识声明来自哪里。信任等级应标识为什么声明现在值得信赖。当两者分离时，品牌仍然可以赢得信心，较小机构可以证明质量，遗留记录可以根据其实际证据处理，运营商可以捍卫他们部署的策略。权威于是成为可衡量的表现，而不是对象底部的继承字母。

来源