如何租用 IP 地址：控制权、连续性与安全退出

IP 租用需要一条能够穿过变化的实际路径：今天的责任要清晰，安排结束时也要有经过测试的迁移方式。

租用一个 IP 地址常被描述成一次简单的基础设施采购：选一段地址、签一份协议，然后宣布它。这个描述遗漏了当网络依赖这段地址后最重要的问题：

谁能证明自己控制着这项资源，保持它可用，并在关系发生变化时帮助你离开？

一段公共 IPv4 地址块可能成为 DNS、客户允许列表、安全规则、电子邮件信誉、路由政策和投资计划的一部分。地址也许是租来的，但依赖是真实的。本指南解释如何把 IP 租用当作连续性决策来评估，而不是把它当成一串数字。

更大的问题：协调可能变成权力

互联网依赖共享的号码和名称系统。它们帮助不同网络找到彼此，但共享记录也决定了什么会被承认、什么能够到达，以及什么能够继续存在。当这份记录集中在一个中央管理员手中时，技术协调的角色可能悄悄变成权力中心。

管理员可以维护共享的号码或名称记录，但这一技术角色本身并没有授权它代表跨越各大洲的网络参与者，或替他们作出政治决定。维护地址簿，不等于代表所有工作出现在其中的人。

这就是 IP 租用背后的更大问题。如果同一个机构控制记录、对记录的解释以及保持连接的实际能力，用户就会承受自己从未授权作出的决定。一次租用，是一个具体而微的场景，可以用来追问协调究竟是在服务网络，还是正在变成无人能够替换的指挥点。《笔记 2》完整考察了这个区别。

租用中的问题：可用不等于控制

提供商可以证明某个地址今天能够响应，却不能因此证明整个运营安排是健全的。注册机构记录、使用这段地址块的组织、宣布它的网络、管理 RPKI 的一方以及回应滥用报告的一方，可能各不相同。

这些角色可以分开，却不必因此变得混乱。危险始于没人能够解释它们之间的链条，或者某个管理员把一份有效运行的记录当成自己拥有围绕这项资源作出所有决定的证明。一次租用如果给了你连接，却没有可核验的权限依据或退出路径，就会制造一种只有在争议中才显现的依赖。

这正是《笔记 2》所讨论的同一个区别：一份记录可以协调网络，却不会因此赋予其管理员对所有依赖它的人拥有无限授权。

解决方案：一层薄的协调机制

答案不是假装网络不需要共享协调，而是让共享层尽可能薄，只限于参与者真正需要的内容：

1. 唯一性：同一个号码或名称不应同时分配给两个参与者。
2. 证明：参与者应当能够展示自己控制什么，以及获得了什么授权。
3. 准确记录：目录应当描述现实，而不是制造一套无法质疑的故事。
4. 可移植性：记录、授权和运营关系应当能够随着工作一起迁移。
5. 可替代性：任何管理员都不应成为通往连续性的唯一可能路径。

从实践上说，一次好的 IP 租用正好检验这套设计。提供商可以协调路由、记录和支持，但你应当能够核验每项责任，带走相关证据，并在不丢失网络的情况下改变关系。目标是获得有用的协调，同时不把协调者变成依赖它的人的主权者。

为什么现在很紧迫

这种紧迫性来自结构，而不是新闻周期。每增加一项依赖，就会把更多权力推入用户可能无法检查或替换的控制平面。一旦地址嵌入 DNS、邮件系统、允许列表、路由政策、客户文件和信誉，离开就会变得更加昂贵。

实际窗口是在生产依赖累积之前：网络仍然运行时，核验控制链并演练退出。制度窗口则是在互联网协调仍然可以被设计成可移植、可替代的时候。如果允许技术管理冒充政治代表权，用户可能要等到选择已经减少后，才发现两者的区别。

持久的租用必须提供什么

一次有用的租用应当用明白的语言回答五个问题：

1. 我们究竟可以使用什么？明确前缀、数量、预期用途和路由模型。
2. 谁获授权提供它？区分资源持有者、商业提供商、宣布该资源的网络和运营联系人。
3. 在投入生产前我们可以核验什么？检查信誉、地理定位、注册信息、路由历史、反向 DNS 以及相关授权记录。
4. 谁可以改变每一层？明确 BGP、LOA、RPKI、IRR、反向 DNS、滥用处理和支持工作的责任。
5. 我们如何离开？弄清楚租用结束或提供商失败时，服务、DNS、路由、记录和客户依赖将如何迁移。

如果这些答案依赖某个人的记忆，或依赖管理员的一句承诺，那么这项安排在运营上还不清楚。

签署前如何评估 IP 租用

1. 从工作负载开始

明确这些地址将承载什么。临时测试环境很容易重新编号。面向客户的 API、邮件系统、安全平台或 ISP 网络可能会积累多年的依赖。正确的地址块大小和服务模式，取决于这一区别。

考虑当前用途、预期增长、冗余、位置、客户承诺、电子邮件要求，以及你是否会从自己的 ASN 宣布这个前缀。

2. 确立控制链

询问资源来自哪里，以及提供商是持有者还是中间人。询问谁可以授权路由、谁可以创建或修改 ROA、谁管理反向 DNS、谁接收滥用报告，以及商业关系发生变化时会怎样。

只有签发 LOA 的一方确实有权签发时，LOA 才有用。BGP 可以宣布可达性，但一条被接受的路由本身并不能证明所有权或代表权。《数据如何穿越网络》让这种区分变得清晰：技术上的接受与制度上的权威是两个不同问题。

3. 在生产前检查地址块

在系统依赖它之前，查看这段地址的历史。在相关情况下检查信誉和黑名单、预期地理位置、注册信息、此前的路由、反向 DNS 以及现有授权记录的状态。测试入站和出站连接，并核验预期起源是否与路由和 RPKI 配置相符。

一个地址块可能能够到达，却仍然不适合电子邮件、安全敏感型服务或地区特定的工作负载。在迁移前发现问题，总比通过客户发现问题便宜。

4. 记录责任，而不只是价格

商业条款应当让实际运营网络的人能够理解。记录前缀、期限、续期流程、通知期、路由责任、RPKI 和反向 DNS 责任、支持路径、滥用处理和归还流程。

价格只是一个输入。更有用的比较，是完整的运营安排：包含什么、谁可以行动、有哪些证据，以及这段关系可以多快改变。

5. 在真正需要前测试连续性

在迁移关键服务前，模拟故障期间会发生的重要变化。确认新提供商如何获得授权、路由和 ROA 如何更新、DNS 和允许列表如何变化，以及哪些客户或合作伙伴需要收到通知。

连续性不是出了问题之后才阅读的一条条款，而是在网络仍然运行时就要测试的一项能力。

为什么退出计划属于租用的一部分

每次租用都有续期、归还或迁移的时刻，即使合同让这个时刻显得遥远。在租期内，地址可能成为应用配置、防火墙规则、DNS、客户文档、合作伙伴允许列表、监控和信誉系统的一部分。

在部署前写出退出顺序：迁移服务、更新 DNS、停止公告、协调 RPKI 和路由对象、更新反向 DNS、移除旧的允许列表，并核验合法流量已经不再依赖这个前缀。能够解释退出方式的提供商，比只承诺可用性的提供商展现出更高的运营成熟度。

更深一层的教训：租用应当保留行动能力

租用可以灵活，也可以符合商业逻辑。但当用户无法核验资源、无法转移运营关系，也无法在管理员改变方向后继续运行时，灵活性就消失了。

更强的设计，会让协调继续有用，同时让守门人可以被替换。控制权应当能够证明，记录应当能够移植，服务提供商发生变化时网络仍应保持连续。这就是为什么 Lu Heng 的工作把基础设施实践与去中心化联系起来：目标不是取消协调，而是阻止一项必要记录变成无法质疑的权力来源。《笔记 72》通过唯一性、可移植性和连续性展开了这层薄协调机制。

运营者通常会问的问题

企业可以租用公共 IPv4 地址吗？

可以。企业可以在规定期限内，通过合同获得公共 IPv4 地址空间的使用权。重要的是弄清楚这种使用背后的控制和路由安排。

我需要 ASN 吗？

不一定。如果你计划通过 BGP 独立起源发布这个前缀，可能需要 ASN。如果提供商通过自己的网络为这些地址提供路由，运营模式可能不同。签署前确认具体模式。

我可以租用少于 256 个地址吗？

这取决于地址将如何路由。当组织需要一个单独宣布的 IPv4 前缀时，通常使用 /24；而更少的数量也可能适用于提供商更大聚合块的内部。

IP 租用会转移所有权吗？

通常，它授予的是一段时期内的明确使用权，而不是永久转移底层资源关系。具体结构取决于提供商、注册机构记录和协议。要问清楚每项权力由谁保留，以及什么可以转移。

我应该先做什么？

先写下工作负载、控制链和退出路径。然后阅读《笔记 2》，了解一份有效运行的记录为什么不等于合法发号施令的权利。当权威问题变得可见后，技术决策会清晰得多。