摘要

  • RIPE 93 演讲披露，L-Root 的 IPv4 超时探针数曾连续数日从通常约 1000 个升至约 3000 个；研究者进一步找到约 1700 个在峰值期间新出现超时的探针，分布于 97 个国家。
  • 对照 IPv6、其他根服务器、探针状态和 anycast 站点后，研究者判断站点仍在运行，问题落在部分网络路径上。演讲没有给出对应的递归解析器用户影响数字。

大屏幕上写着 L-Root，红线旁边写着 3000。看到这两个标签，值班室很容易先给根服务器运营方打电话。RIPE 93 上展示的调查给出了更麻烦、也更有用的结论：有些路到不了 L-Root，L-Root 的站点却还在回答其他探针。红线是真的，把红线当判决书则会找错修路的人。

10 月 27 日，Giovane Moura 展示了 RootViz。这个由 SIDN Labs 和代尔夫特理工大学相关团队制作的看板，取用 RIPE NCC 运营的 RIPE Atlas 测量数据。它把大量普通探针对根服务器的可达性画在同一处。一次针对 L-Root 的 IPv4 事件中，超时探针数从通常约 1000 个升到约 3000 个，持续数日。团队取事件前后的小时间窗比较，找到约 1700 个原先能到达、峰值期间却超时的探针，遍及 97 个国家。

这足以启动调查，却还不能指定责任人。团队先看探针本身是否在线，再看同一时期的 IPv6、其他根服务器标识和 traceroute。L-Root 的 IPv6 图没有出现对应跌落；受检探针仍能到达其他根服务器。继续追到 anycast 站点时，其他探针仍能连接那些站点。演讲者据此把故障范围缩到通往服务的部分路径，并坦言精确归因仍需要不少人工对照。

RootViz 的口径与 RIPE NCC 的 DNSMON 有意不同。DNSMON 使用 Atlas 锚点：测量能力较强、运行环境较稳定的观测点。RootViz 把普通探针也纳入视野，能在更多接入网络看见同一目标。RIPE NCC 的 2025 年年报记录当年约有 1.44 万个已连接探针、963 个已连接锚点。这是上一年的网络规模，不能充作本次事件的实时分母；它说明了为何扩大观测人口会改变图表所能发现的问题。

普通探针把观测带进锚点稀疏的地方，也把家庭连接、主机掉线和位置变化带进数据。一个探针超时，可能是本地设备；一群探针同时对同一标识超时，才值得找共同路径。即使凑出一群，也得问清这群探针是在同一地址族、同一时间窗、同一条出路上失败，还是统计口径刚好变了。看板负责把异常举起来，调查负责给它安上正确的骨架。

L-Root 一案的关键不是红线有多高，而是对照组如何设置。IPv4 与 IPv6 分开看，能够缩小故障类型；其他根服务器的结果说明探针并未普遍失去网络；事件前后的同一批探针，比随时间浮动的总百分比更有说服力；anycast 站点仍对其他地方服务，则把“站点宕机”从优先怀疑名单上划掉。测量数据从警报变成线索，靠的是这几道看似琐碎的手续。

RIPE NCC 首席执行官 Hans Petter Holen 在会场把问题又往前推了一步：这些探针失败到底让多少解析器和用户受影响？另有与会者指出，终端用户往往通过网络内其他位置的递归解析器查询 DNS，并不亲自站在 Atlas 探针所在点向根服务器发问。Moura 承认，这批探针给出的是路径视图，不能直接换算为用户受损人数。若要改变判断，需要取得同一时间、同一相关网络的解析器侧成功率和故障记录。

路径故障本身就值得修。通往一个根服务器标识的路坏了，网络运营者便有具体问题要处理；解析器从其他路径获得答案，也不能替这条坏路开脱。调查需要分别核实“某些探针到不了目标”“目标站点坏了”和“用户解析失败”这三项事实。把它们挤成一句话，既夸大事故，也耽误修复。

RIPE Atlas 提供公开测量，RootViz 把大量观测点组织成易读信号。下一步的公信力不来自更鲜艳的红色，而来自每次报警都保留当时的探针集合、地址族、时间窗、路径对照及解析器证据。图表可以先敲门。谁该拿工具出去修路，得等证据说话。

**来源：**RIPE 93 的 RootViz 演讲页与官方实录；RIPE NCC 的 DNSMON 技术文档、Atlas 内置测量说明及 2025 年年报。