Safe Host 2019 路由泄露与跨境问责

摘要

固定事件边界：本文涵盖 2019 年 6 月 6 日 Safe Host AS21217 向 China Telecom AS4134 发生的路由泄露，以及随后的传播和恢复证据。本文不将该事件与 2019 年 6 月 24 日 Verizon、DQE 和 Cloudflare 的泄露事件或其他涉及 China Telecom 的路由争议合并。
计数必须注明来源：公开记录在某些测量中描述了超过 7 万条路由，在另一项重建中描述了超过 4 万条 IPv4 路由。数字取决于采集器、时间区间、路由族、重复处理方式以及分析者认定的事件范围。任何单一口径的公开计数都不应被当作普遍适用的全局总数。
控制平面路径不等于监控结论：路由采集器和路径测量可以表明 AS4134 出现在观察到的路径中，并且部分流量从特定观测点沿异常路径转发。但它们本身不能证明每个数据包的物理位置、深度包检测、数据访问或恶意意图。
责任随运营控制而定：Safe Host 控制 AS21217 导出的内容。China Telecom 控制 AS4134 接受和传播的内容。其他转接和接入网络控制自身的导入、偏好、继续导出、监测和升级决策。终端用户没有实际手段修正路由状态。
关系不确定性必须保持可见：公开的运营商讨论并未对 Safe Host 与 China Telecom 连接的商业标签形成唯一无争议的结论。可观察的问责失败在于传播超出了预期范围，而不是事后宣称所有私有合同条款都已确认。
注册库证据必要但不会自动执行：ASN、地址、IRR 和 RPKI 记录可以识别资源和预期起源。它们无法编码每一种关系，也不能强制路由器拒绝异常路径。实际运行的策略决定了哪些通告成为可达路径。
RPKI 只解决部分问题：当有效 ROA 存在时，路由起源验证可以拒绝冲突的起源。但在路由泄露中，起源可能仍然合法，而路径经过了预期之外的提供商、对等方或客户关系。关系感知过滤器、客户锥验证、最大前缀控制、显式默认策略、监测和协调仍然必要。
恢复需要独立证明：本地配置修正并不构成完整的恢复记录。负责任的修复应展示路由撤销、替换路径、多个观测点的收敛、残余例外、更新后的过滤器、经过测试的告警，以及证明同一类通告现在会被拒绝或限制的复现测试。

在分配责任前先固定事件边界

基础设施问责始于固定事件边界。2019 年 6 月 6 日，公开路由观察者报告称 Safe Host 自治系统 21217 通过法兰克福的一个互联点向 China Telecom 自治系统 4134 通告了数量异常庞大的路由集合。China Telecom 接受了这些通告并进行了传播。对于某些被观察的目的地和观测点，AS4134 因此出现在通常不会包含它的路径中。当时及后来的报告将该事件与影响部分欧洲移动和服务基础设施的中断或服务质量下降联系起来。[1][2][3][4][5][6][7]

这些命题足以支持路由问责分析。但它们并不支撑围绕该事件传播的所有说法。

公开记录并未披露 Safe Host 完整的导出配置、China Telecom 完整的导入配置、每个路由策略对象、所有双边条款、每个本地优先级决策、所有告警历史，或批准或更改策略的每个人员身份。它没有证明存在恶意意图，也没有证明所有欧洲流量都受到影响，更没有证明每个控制平面路径包含 AS4134 的数据包都经由相同地理位置实际转发、被检查、被留存或被修改。

日期很重要，因为 2019 年 6 月还发生了其他路由事件。后来发生的 Verizon、DQE 和 Cloudflare 泄露事件涉及不同的网络、机制和服务影响。将这些事件混在一起会制造戏剧性故事，却会形成薄弱的问责记录。如果一次事件的路由集合、时间区间、关系边界和责任控制与另一次事件混为一谈，修复负责人就无法修复它。

因此，有界的问题非常明确：一组异常庞大的路由是如何离开 AS21217 的，AS4134 为何接受并传播这些路由，其他网络如何响应，哪些证据显示了由此产生的路径变化，以及哪些证据能证明路由状态已被撤回并受到约束以防复发？

这种框架还能防止地缘政治推断取代工程证据。跨境路由可能具有安全影响，运营商应当严肃对待意外的国际路径。但意外路径首先是一个可观察的路由事件。意图、访问权和法律后果需要额外证据。当路由跨越政治敏感边界时，问责分析应当更加谨慎，而不是更不谨慎。

路由计数分歧是证据问题，不是否定事件的理由

公开描述通常称 AS21217 泄露了超过 7 万条路由，事件持续超过两个小时。另一项事件重建描述称超过 4 万条 IPv4 路由。[1][2][4][5] 这些数字并非必然相互矛盾。它们可能反映不同的采集器、地址族、时间窗口、更新计数与前缀计数、路径去重方式，以及哪些通告属于事件的定义差异。

BGP 采集器记录其参与对等方向它导出的内容。一个采集器可能收到另一采集器从未见过的异常路径。对等方可能只导出其选择的最佳路径。分析者可能统计唯一前缀、路由更新、路径变体或起源组合。一个采集器首次观察到更新的时间，未必是任何地方第一次出现异常通告的时间；一个采集器最后一次收到撤销的时间，也未必是整个网络中所有过期状态被清除的时间。

因此，负责任的报告需要计数协议。一份经得住推敲的事件报告应说明：

使用了哪些 RouteViews、RIPE RIS、运营商或测量观测点；
确切的开始和结束时间戳及时间标准；
是否同时包含 IPv4 和 IPv6；
指标统计的是唯一前缀、更新、路径变体还是起源；
如何处理重复通告和路由替换；
哪个 AS 路径模式定义了受影响路由；
如何将撤销和之后的正常路径与异常集合进行匹配；以及
网络哪些部分仍处于观测范围之外。

没有这样的协议，路由计数就可能成为权威信号而非证据。更大的数字可能吸引关注，而更小的数字可能看上去更保守。除非其他分析者能够复现方法，否则两者都不可靠。

这种不确定性并不会让事件变小。相对于某个互联点任何合理的有界通告集合，数万条路由都是异常的。最大前缀或路由量控制不必等待最终事件数量达成完全一致，就能发现收到的路由集合已经严重偏离预期。

这一区别在运营上很重要。阈值应当基于某个关系的授权和预期路由集合，并记录增长余量和显式例外。它们不应基于下一次故障会与历史报告最终数字相似的假设。控制应当在现实偏离关系契约时作出反应，而不仅仅是在超过某个著名事件数量时才反应。

路由泄露是关系策略的可执行失败

BGP 在独立运营的自治系统之间分发可达性信息。基础协议承载前缀、路径、属性和撤销信息。它并不包含每个会话通用的商业事实。运营商通过配置、策略生成、社区属性、过滤器和运营流程来表达客户、提供商、对等方、路由服务器、备份和特殊用途等关系。

在一个关系中学习的路由不会自动有资格导出到其他所有关系。客户通常只通告自己的前缀以及其获授权提供服务的前缀。提供商可能向客户通告广泛的可达性。对等方通常交换自身和客户的可达性，而不是在无关提供商之间提供免费转接。实际协议可能更复杂，但例外情形的存在恰恰使显式策略更加重要，而不是更不重要。

RFC 7908 后来为传播超出预期范围的路由提供了分类法。[14] 该分类法的价值在于关注可观察的传播和关系策略，而不是假设恶意意图。围绕 2019 年事件的运营商讨论并未确定所有关系标签或某个无争议的泄露类型。[8][9] 这种不确定性应保留在记录中。

核心的外部行为仍然可见。AS21217 通告的路由集合在规模和范围上与狭窄互联预期不一致。AS4134 接受并导出了其中足够多的路由，使路径得以扩散。随后其他网络应用了各自的策略：有些接受了该路径，有些可能优先选用它，有些传播了它，有些过滤了它，还有一些保留了不受影响的替代路径。

将此事称为分布式失败，不能使其变成无人负责。Safe Host 控制着 AS21217 的导出边界。China Telecom 控制着 AS4134 的第一个可见导入和继续导出边界。每个后续自治系统都控制着该路径是否进入其路由信息库、是否成为选中路径、是否进入转发表，或是否通告给另一个邻居。路由采集器控制着独立证据的质量和留存。服务和接入运营商控制着弹性和用户沟通。

这些职责并不相同。导出方对限制离开其网络的内容承担最直接的义务。直接导入方拥有强大的遏制机会，因为它了解双边关系，并能拒绝不符合该关系的通告。更远的网络可能掌握的具体信息较少，但它们仍然控制着最大前缀限制、起源验证、关系感知策略、异常监测和升级。

因此，“BGP 接受了路由”这一说法不完整。是运行配置策略的软件接受了路由。协议负责传输通告；运营商决定了约束条件。

导出问责始于授权路由契约

导出方应当能够定义会话获准通告的路由集合。该契约可以来自客户清单、路由注册库对象、RPKI 数据、内部服务记录、委托授权和显式例外。无论来源是什么，生成的策略都需要负责人、生成时间、版本、审核路径，以及证明什么内容到达了路由器的方法。

对于 AS21217，事后问责记录至少应区分四类集合：

Safe Host 获授权起源的路由；
Safe Host 获授权提供转接的客户路由；
从另一提供商或对等方学到的广泛路由；
AS21217 到 AS4134 策略在事件中实际导出的路由。

预期集合与实际集合之间的差异，是核心技术发现。它比笼统地声称发生了配置错误更有用。

导出策略应默认不通告任何路由，直到附加预期策略。RFC 8212 正式化了显式 eBGP 导入和导出策略的运营价值。[15] 默认拒绝的立场不能解决所有生成或附加错误，但它消除了一个危险的假设：新的或分类错误的会话在有人添加过滤器之前应交换一切。

路由契约还需要负向测试。策略流水线应证明它能拒绝：

从预期仅通告有界集合的来源收到的完整路由表；
不在授权客户清单中的前缀；
包含不可能或未经授权关系序列的路径；
意外的默认路由；
超出记录增长窗口的突然路由数量增加；
权限被移除后仍然残留的过期路由；以及
批准已过期的例外。

仅做配置审核能提供的证据很弱，因为被审核的源可能与生成的配置、已部署的候选配置或运行状态不同。可信流程应记录源数据、生成的过滤器、设备差异、提交结果、观察到的通告路由集合以及独立采集器结果。

变更控制应分阶段进行。策略更新可以先对照记录的 BGP 数据进行测试，再应用到金丝雀会话，监测意外路由增量，并能在不引发广泛传播的情况下回滚。路由泄露复现应成为弹性测试的一部分，而不是仅在事件发生时才做。

导出问责还包括撤销就绪能力。运营商必须知道如何快速停止异常通告，同时避免用更大范围的中断来替换路由事件。这需要明确授权、经过测试的命令或自动化、对等联系人、路由刷新和会话重置标准，以及能显示变更是否传播的外部监测。

导入问责是第一个外部遏制机会

导入方的责任有时被描述为次要责任，因为它没有制造异常通告。这对域间基础设施而言过于宽松。直接邻居控制着第一个外部边界，并且通常掌握较远网络不知道的信息：双边关系、预期路由量、授权前缀、已知 AS 路径、例外历史和联系渠道。

因此，AS4134 独立于 AS21217 受到关注。公开证据支持 China Telecom 接受并传播了异常路由集合。记录并未披露每个过滤器或内部决策，但观察到的结果表明，导入和继续导出控制未能在该边界遏制事件。

具备关系感知能力的导入方可以组合若干控制措施。

第一，前缀过滤器可以从授权客户和资源记录生成。数据必须保持最新、有版本记录，并与实际服务契约保持一致。过时的允许列表可能拒绝合法增长；过于宽泛的允许列表则可能使过滤器形同虚设。

第二，AS 路径约束可以检验通告对关系而言是否合理。客户通常不应通告暗示在无关提供商之间提供转接的路径。客户锥数据并不完美，因此例外和不确定性需要运营处理，但不完美的关系证据仍然可以支持检测和审核。

第三，最大前缀和路由量控制可以检测对预期的严重偏离。警告阈值应在硬限制之前触发已有负责人的告警渠道。硬响应应当被记录：拒绝新路由、关闭会话、隔离路由集合，或采取其他有界行动。故障时放行的行为必须显式定义，而不是偶然发生。

第四，显式导入策略可以防止会话因路由映射缺失、命名错误或方向附加错误而变得宽松。

第五，当有效 ROA 覆盖前缀时，起源验证可以拒绝无效起源。它增加了有力证据，但并不能证明路径是合适的。

第六，异常监测可以将收到和接受的路由与关系基线、全局采集器及已知变更进行比较。告警应包含异常路径、路由数量、预期集合、策略版本、受影响对等方，以及安全的遏制行动。

导入方还控制继续导出。即使保留某条路由用于诊断，也不必将其通告给客户、对等方和提供商。将接受、选择、转发和通告控制分开，可以防止一次故障演变为分布式事件。

这些控制会带来运营成本。过滤器需要维护。最大前缀限制如果设置不慎可能造成中断。关系数据可能不完整。紧急例外有时是必要的。问责并不否认这些权衡。它要求运营商记录、测试并说明由此产生的暴露为何可接受。

AS 路径证据不能与每个数据包的证明混为一谈

该事件的跨境性质引发了可以理解的关注。公开分析显示，AS4134 出现在与欧洲移动运营商和服务相关目的地的路径中。测量报告还描述了来自特定观测点的流量沿异常路径转发。[1][2][3][4][5][7]

四个证据层必须保持区分。

第一层是控制平面传播。RouteViews、RIPE RIS 或其他采集器观察到的 BGP 更新表明，某条路径被通告给了该采集器的对等方。它支持关于特定时间和观测点路由可见性的陈述。

第二层是路由选择。网络可能收到多条路径，并根据本地优先级、路径长度、社区属性、起源验证和其他策略选择其中一条。采集器通常只能看到其对等方导出的路径，而不是被考虑的所有路径。

第三层是转发行为。被选中的路由可能进入转发表并承载流量，但需要用 traceroute 或主动测量来测试来自特定源的路径。即便如此，IP 到位置映射、隐藏跳点、MPLS、非对称路由、负载均衡和响应路径差异都会限制推断。

第四层是数据包处理与安全后果。经过一个自治系统的转发路径本身并不能证明存在数据包检查、内容访问、留存、篡改或意图。加密、应用协议、端点行为和内部网络运行同样重要。

一份有力的事件记录应按时间戳对齐这些层。它可以说明：带有特定 AS 路径的路由变得可见，随后来自指定位置的主动测量观察到转发路径变化或服务退化，并且在撤销后行为恢复正常。它不应将这些观察压缩成关于所有流量的普遍结论。

当路径具有政治敏感性时，这种纪律尤其重要。证据可能足以启动安全调查并实施更严格的控制，但不足以用地缘政治怀疑替代数据包级别的证明。

运营商应保留区分这些层所需的数据：原始更新、路由信息库、looking glass 结果、traceroute、流量摘要、丢包测量、应用健康状态、时间同步记录以及映射网络跳点所用方法。留存应足以重建事件之前、期间和之后的时段。

路由采集器是带有已知盲区的问责基础设施

RouteViews 和 RIPE RIS 为域间事件提供了不可或缺的独立证据。其 2019 年 6 月归档和测量文档使后来的重建成为可能。[12][13] RIPEstat 也为 AS21217 和 AS4134 提供了证据界面，但今天的记录不能未经限定就回溯投射。[10][11]

采集器并非全知全能。它们按照对等方的导出策略从选定的对等方接收路由。它们可能看不到被限制在拓扑其他部分的路径。它们可能看到最佳路径，却看不到替代路径。其时间戳记录的是到达采集器的时间，而不是全局首次原因发生的时间。会话重置、重复更新、路由抖动抑制和采集器可用性都会影响记录。

负责任的恢复应使用多个采集器并记录它们之间的差异。它应保留原始文件或精确的归档引用、解析代码或命令、规范化规则及派生数据集。它应记录每项断言所使用的采集器对等方。

运营商遥测可以填补一些空白。直接会话上的收到路由和通告路由快照显示了什么越过了关系边界。本地路由信息库显示选择。转发表和采样流显示使用情况。变更日志和策略仓库将观察到的状态与已部署配置关联起来。对等方的报告提供独立确认。

证据还应保留负面结果。如果某个采集器没有看到该路径，这不能证明该路径全局不存在，但可以约束传播范围。如果某项服务从某个位置仍然可达，这不能推翻其他位置的影响，但可以揭示路径多样性。

公开事件报告经常引用采集器图表却不解释这些局限。这制造了虚假的精确性，并使有关数字的争议看起来像事件是否发生的争议。更好的报告应将采集器视为一个有边界的证人：有价值、可复现，但不完整。

注册库记录是台账，而不是路由器执行

Safe Host 事件直接触及 BGP 路由、ASN 和 IP 注册库证据以及对等或转接关系的控制面。

ASN 记录可以标识 AS21217 和 AS4134。地址注册库可以标识分配和指派。互联网路由注册库对象可以发布预期起源和策略。RPKI 可以提供经过签名的起源授权。这些记录改善了唯一性、准确性、转移历史、安全元数据和运营协调。

它们并不决定实际运行的路径。

注册库条目不知道每一种私有商业关系。IRR 对象不会强制路由器加载生成的过滤器。ROA 只说明某个起源被授权用于某个前缀及最大长度；它并不说明哪些提供商或对等方可以承载该路由。abuse 或 NOC 联系人不保证告警能到达有权撤回路由的人员。

这就是为什么注册库合法性应当通过台账质量来理解，而不是想象其对路由拥有主权。记录保管者提供运营商可以使用的证据。实际运行的系统、策略和互联关系决定可达性。

运行代码的优先地位使治理变得可测试。董事会可以要求提供路由授权记录，但也应要求提供这些记录被获取、验证、转化为策略、部署和监测的证据。审计人员可以检查 IRR 路由对象，但应将该对象通过策略生成器追踪到设备，并注入一条冲突测试通告。

台账本身也需要控制。资源记录必须唯一、最新、经过认证、能通过文档化流程转移，并在组织或基础设施中断时可恢复。过期或含糊的记录可能使严格过滤在运营上具有风险。运营商随后可能创建宽泛例外，而这些例外必须有负责人、过期时间和监测。

现实层否定两种简单的叙事。一种说去中心化路由意味着无人负责。另一种说中央注册库可以命令路由变得正确。实际系统是由自治运营商组成的网络，他们使用共享证据、双边策略、运行代码和协调。问责随这些要素可被变更和验证的位置而定。

从本文中移除 AS21217、AS4134、BGP 通告、关系策略、路由采集器和撤销证据，就摧毁了论点。网络控制面并不是附加在通用公司事件上的比喻。它就是事件本身。

RPKI 有价值，但起源有效不等于路径授权

路由事件发生后，人们经常提议 RP KI 和路由起源验证。它们需要得到精确的对待。

RFC 6811 描述了路由器如何根据已验证的 ROA 数据对路由进行分类。[16] 根据通告的起源、前缀、最大长度和可用验证记录，路由可分为有效、无效或未找到。拒绝或降低无效路由的优先级可以防止某些错误起源和劫持。

路由泄露可以保留合法起源。问题可能在于一条授权路由通过预期之外的关系被导出，然后被进一步传播。起源仍然有效，而路径策略是错误的。仅做起源验证并不能编码谁是客户、提供商或对等方，也不能编码从一种关系学到的路由是否可以导出到另一种关系。

这种局限不是反对 RPKI 的论据，而是支持分层控制的论据。

运营商应当部署起源验证，并记录策略、监测无效和未找到路由、维护自己的 ROA，并协调例外。它还应当维护前缀和路径过滤器、显式导入和导出策略、客户锥证据、最大前缀控制、路由泄露检测、对等协调和独立监测。

RPKI 还可以在事件发生后加强问责。它有助于区分起源冲突和关系泄露，并提供关于某一时刻授权情况的签名证据。历史验证需要归档的验证状态；用今天的 ROA 未经限定地评判 2019 年的路由可能具有误导性。

同样的谨慎也适用于后来的标准与实践。RFC 8212、MANRS 行动和 NIST 指南提供了有用的控制框架。[15][17][18] 它们应用于设计当前的修复，而不是用来捏造每个运营商在事件发生时部署了什么或依据合同欠什么的证据。

最大前缀限制必要且容易被误用

异常的路由数量使最大前缀控制成为一个显而易见的问题。通常只通告有界集合的直接邻居，不应有能力在没有任何警告或遏制的情况下发送数万条异常路由。

然而，最大前缀限制并不是从行业清单中抄来的一个数字。它必须根据关系的预期路由集合、合法增长、维护模式、地址族和故障影响来推导。设置过高的限制无法遏制事件。设置过低的限制则可能关闭健康会话并导致中断。

成熟的设计会将警告阈值和行动阈值分开。警告应在硬响应之前到达有负责人的运营渠道，并提供上下文。硬响应可以拒绝超额路由、保留最后已知的授权集合、隔离会话或关闭会话。所选择的行为应经过测试。

阈值变更需要治理。紧急上调应记录请求者、证据、批准人、过期时间和监测。否则，临时例外可能变成永久暴露。

数量也只是一个维度。少量具有战略重要性的前缀也可能造成严重影响。控制措施应将数量与授权、起源有效性、路径合理性、关系范围、目的关键性以及变化速率结合起来。

Safe Host 事件说明导入方为何应在事件之前了解预期路由数量。如果基线在泄露开始后才建起来，遏制就会变成压力之下的谈判。冻结的授权集合和经过测试的阈值能将异常流量变成即时、可行动的信号。

其他网络仍然控制自身的接受与传播

直接导出方和导入方处于中心位置，但路由经过了更广泛的生态系统。Cogent 和其他网络出现在当时的讨论和报告中，有时这些内容后来被修正或澄清。[3][5][6] 教训不是分配一个笼统的责备分数，而是将每个观察到的路径段与相应网络可用的控制对应起来。

更远的转接网络可能不知道最初 Safe Host 与 China Telecom 关系的私有细节。它仍然可以询问该路径是否合理、路由起源是否被授权、流量是否异常、路径是否与客户锥数据冲突，以及独立数据源是否报告泄露。

接入和移动运营商控制路由多样性和服务弹性。如果关键服务依赖于共享上游依赖的路径，一次泄露就可能影响多个品牌或地区，尽管合同上看似具有多样性。因此，拓扑证据应当补充提供商数量统计。

内容和云运营商可以从外部观测点监测自己的前缀，维护路由告警联系人，并与上游协调。它们不能直接配置每个转接网络，但可以检测异常路径并提供加速遏制的证据。

互联网交换中心和路由服务器运营商根据拓扑扮演不同角色。其控制可以包括参与者策略、路由服务器过滤、最大前缀设置和事件协调。证据必须证明它们确实位于相关路径上，然后才能分配职责。

监管机构和客户应避免将所有相关方混为一谈。最有效的问题沿着路由展开：

该网络收到了什么？
它接受了什么？
它选择了什么？
它转发了什么？
它继续通告了什么？
每项决策由什么策略和证据管理？
哪个告警触发、谁负责、随后采取了什么行动？
该网络如何证明异常状态已被撤回？

这种逐路由的方法使分布式责任变得具体，同时不假装每个运营商拥有相同的可见度或权限。

跨境弹性应当被设计，而不是从提供商名称中推断

该事件还暴露了一个规划弱点。组织经常统计提供商、数据中心或合同数量，并假设每个名称代表一条独立网络路径。BGP 策略可能使名义上独立的服务汇聚到共享的转接、交换点、海缆或自治系统。

弹性评估应检查从相关用户区域到关键前缀的实际路径。它应测试正常和故障条件，涵盖 IPv4 和 IPv6，并识别共同的自治系统和设施。路由泄露可以动态改变这些路径，因此持续或采样的外部监测比一次性图表更有用。

跨境约束需要明确处理。服务可能存在时延、司法管辖、运营访问或暴露方面的要求。如果路由变化不可见，仅靠合同条款无法强制执行这些要求。当路径进入意外的 AS 或地理位置时，监测应发出告警，但告警必须保留地理位置的不确定性，并区分控制平面证据与数据包转发。

由于路径控制并不完美，加密仍然必不可少。它降低了意外转接的后果，但并不能消除可用性、元数据、流量分析或端点风险。路由控制和密码控制解决的是不同问题。

事件演练应包括一次将路由发送到意外国际网络的路径泄露。演练应测试技术检测、NOC 升级、提供商联系、客户沟通、法律评估和证据保留。目标不是渲染地缘政治风险，而是让响应责任在模糊事件发生之前变得可执行。

可信的恢复记录证明撤销与归一化

公开报道表明，在某些观察中异常路由持续了超过两个小时后路径才恢复。[1][2][4][5][7] 与路由计数一样，确切持续时间取决于观测点和定义。某个观察者最后一次看到的异常路由并不代表全局收敛。

负责任的恢复记录应区分：

触发导出开始的时间；
第一个外部观察者检测到它的时间；
告警到达负责任团队的时间；
Safe Host 更改或禁用导出的时间；
AS4134 停止接受或传播这些路由的时间；
直接邻居观察到撤销的时间；
主要采集器恢复到预期路径的时间；
转发和服务健康恢复的时间；以及
残余过期或例外路由被清除的时间。

记录应标识每个时间戳的来源。路由器日志、采集器更新、工单系统、聊天记录、主动测量和应用健康数据可能使用不同时钟。时间同步和归一化是证据的一部分。

撤销证明应在多个层面进行。本地路由器可以证明它不再通告该路由。直接邻居可以证明收到撤销或替换。路由采集器可以证明异常 AS 路径从其对等方消失。主动测量可以证明转发行为恢复。服务遥测可以证明恢复。

单独任何一项观察都不能证明全局收敛。它们共同构成一个有边界、可审计的记录。

报告还应识别哪些方面发生了永久性变化。示例包括：

修正了会话角色或路由映射附加；
生成了授权前缀过滤器；
客户锥或路径约束；
降低了警告和硬最大前缀阈值；
显式默认拒绝策略；
RPKI 验证和 ROA 维护；
有负责人的异常告警；
改进了联系和升级数据；
金丝雀或分阶段部署流程；以及
使用历史路由模式进行的复现测试。

仅仅说“已添加过滤器”是不够的。证据应展示过滤器输入、生成输出、部署结果、运行状态、负向测试和监测结果。

残余风险必须保持可见。关系数据可能不完整。有效起源的泄露可能绕过起源验证。例外可能扩大范围。采集器存在盲区。强制关闭会话本身可能影响可用性。修复记录应说明这些权衡是如何被管理的。

复现测试比政策声明更重要

修复有效的最有力证据，是对该故障类别进行受控复现。

测试环境应重现一个带有相关关系角色和冻结预期路由集合的会话。然后应引入：

超出授权前缀集合的路由；
全表或高流量通告；
意外的 AS 路径；
经预期之外关系传播的有效起源路由；
已过期的例外；
权限移除后的过期路由；以及
某个策略数据源失效。

运营商应展示每一层的作用。导出方应拒绝或抑制无效集合。导入方应遏制逃逸的路由。最大前缀和异常控制应发出告警。继续导出应保持有界。响应负责人应收到足以行动的上下文。回滚应恢复最后已知的授权状态。

测试必须使用实际的策略生成和部署路径。与生产环境不同的实验室过滤器证明力有限。结果应包括软件和策略版本、配置哈希、预期和实际路由、时间、告警送达、人工决策和独立观察。

测试还应包括控制本身失效的情形。如果 IRR 数据源过期、RPKI 验证器不可用、策略编译器出错，或监测采集器丢失会话，会发生什么？故障时放行和故障时拒绝的选择应当是深思熟虑的，并与服务关键性挂钩。

高管不需要检查每条路由。他们应要求提供测试已发生的证据、例外已解释、故障有负责人以及下一次测试已排期。审计人员可以抽样底层工件。

这种方法将路由安全从愿景转变为可被证伪的运营声明。

治理问题应跟随控制，而不是跟随标题

董事会、监管机构、客户和审计人员可以在不假装运营 BGP 会话的情况下提出有效问题。

董事会应询问：

哪些人员和系统可以更改公开路由通告？
有多少外部会话缺少显式关系角色？
有多大比例的客户会话使用当前的授权前缀过滤器？
哪些会话设有警告和硬最大前缀限制？
有多少未关闭的例外，谁负责，何时过期？
上次路由泄露复现是什么时候，什么环节失败了？
组织能在多短时间内从独立观测点证明路由已撤销？

转接提供商应询问客户和对等方记录是否与实际配置匹配，过滤器是否已生成并测试，起源验证是否一致应用，以及继续导出是否受到单独约束。

数据中心和托管运营商应询问在设施、网络、租户、经销商和转接提供商之间路由责任是否清晰。物理托管合同不会自动定义谁拥有 AS21217 导出策略。

企业和移动客户应要求提供拓扑证据、外部路由监测、事件联系人和事件后报告中的路由状态证明。他们应避免将提供商品牌多样性等同于路径多样性。

审计人员应从注册证据到策略生成再到运行配置和负向路由测试追踪一个资源样本。门户截图或书面政策不是执行证据。

监管机构应避免将某个控制措施强制作为万能药。ROA 改善起源证据，但不会编码每一种关系。最大前缀限制可以遏制流量，但如果管理不当可能导致中断。有效的要求应关注结果：授权范围、分层遏制、留存证据、协调和经过测试的恢复。

事件审查应拒绝将“人为错误”作为根本原因。这个短语不能解释为什么一个操作就能导出庞大路由集合，为什么直接邻居接受了它，为什么后续防护未能遏制它，为什么告警是否触发，或为什么恢复耗时如观察到的那样。

公开报道应区分事实、推断和未知。它应注明路由数量、持续时间、关系描述、受影响服务、转发观察和恢复时间的来源。它应在不抹去证据痕迹的情况下纠正错误。

问责测试是有界传播与可验证恢复

2019 年 6 月 6 日 Safe Host 事件至今仍有启发性，因为它将技术路由政策与跨境后果联系起来。

AS21217 导出了异常规模的路由集合。AS4134 接受并传播了其中足够多的路由，改变了观察到的路径，并影响了部分欧洲网络基础设施的可达性。其他网络各自做出了接受和传播决定。公开采集器和测量系统保留了部分记录。

证据并不支持得出恶意意图、某个通用路由数量、某个无争议商业关系标签，或每个数据包都被检查或实际经过同一条物理路径的结论。这些限制是问责记录的一部分。

责任仍然具体。导出方控制了路由集合。直接导入方控制了第一个遏制边界。其他网络控制了继续传播和弹性。监测运营商控制了证据。服务运营商控制了用户影响响应。终端用户承受了后果，却无权改变 BGP 状态。

持久的控制集合是分层的：显式导入和导出策略、授权前缀与路径过滤器、关系证据、最大前缀控制、起源验证、异常监测、分阶段变更、指定协调联系人、独立路由观察和经过验证的撤销。

注册库和路由策略记录是不可或缺的台账。它们识别资源、起源和联系人。它们不强制执行路径。运行代码决定可达性。

因此，可信运营商应当能够证明四件事：

它知道邻居被授权且预期通告哪些路由；
其运行策略拒绝或遏制超出该范围的通告；
其监测足够快地检测到异常路径和流量变化，使负责人能够采取行动；以及
遏制之后，独立证据表明撤销已传播，预期转发已经恢复。

这就是 Safe Host 泄露所暴露的对等过滤与跨境问责测试。标准不是完美预防，而是有界传播、明确控制、可复现证据，以及可以在作出声明的网络之外验证的恢复。

Safe Host 2019 路由泄露使对等过滤成为跨境问责考验

摘要