网络还在，服务没了：865 万条测量数据深度还原2025年伊朗断网的四个阶段

一次全国性断网，通常会留下很直观的技术痕迹：BGP 路由被大规模撤回、网络前缀从全球路由表中消失，或者跨境流量突然跌至低谷。但 2025 年 6 月发生在伊朗的事件呈现出一种更隐蔽的模式：许多网络仍然可以在全球路由系统中被看见，IP 地址也未必完全失去响应，然而其中承载的 DNS、Web、邮件和 VPN 等服务，却从境外逐步变得不可达。

这意味着，仅凭“路由是否存在”或“主机能否被 ping 通”来判断网络状态，可能会把一场大规模服务封锁误判为网络仍然正常。论文将这种现象称为服务级断网（service‑level shutdown）：BGP层面的基础网络表面上仍然保持互联，然而真正影响用户体验和信息流通的服务层却被有选择地限制。

研究团队构建了一套面向服务层的断网监测框架。数据采集端依托 400 余个分布式测量节点，对伊朗全部可路由 IPv4 地址空间中的公开服务进行持续主动探测，覆盖 HTTP、SSH、DNS、SNMP 等多类协议，共获得 865 万条测量结果。

随后，监测框架让每个网络服务在短时间窗口都形成具有代表性的随机样本。系统将 IP 与端口对加入随机化测量队列，分散探测顺序带来的时间偏差；随后按 10 分钟粒度汇总服务状态，把探测到的活跃服务数量作为整体网络服务活性的代理指标。

图1: 服务级断网监测核心思路：让每个短时间窗口都形成具有代表性的随机样本

图2: 服务级断网监测框架：随机化主动测量、动态基线与异常下降检测（来源：论文 Figure 1）

为了区分正常波动和人为封锁，研究使用自适应滑动窗口建立动态基线：窗口保留最近三天的健康观测，并自动排除已被判定为断网阶段的数据，避免异常值反过来“污染”基线。当当前活跃服务量相对基线的下降超过统计阈值时，系统将该时间段标记为断网。论文用服务阻断率（Service Blocked Ratio，SBR）量化下降幅度。

框架设计特点：随机抽样解决“服务空间太大、无法短时遍历”的问题；动态基线解决“昼夜变化和日常波动”的问题；服务阻断率则把不同阶段、不同 AS 和不同协议放到同一尺度上比较。

系统监测结果显示，这次行动并非在某个时刻一次性关闭全国网络，而是经历了两个局部演练（LSD, Localized Shutdown Drill）、一次全国封锁（NS, Nationwide Shutdown）和一次分级恢复（NSR, Nationwide Shutdown Recovery）。四个阶段共同组成了一条清晰的断网时间线。

图3: 伊朗 2025 年 6 月服务活性与四阶段断网时间线（来源：论文 Figure 2）

图4: 断网自基础设施及隧道服务向应用服务的扩张（颜色越深代表受阻断越严重）

本次断网是渐进式的，体现在两个维度：一是受影响网络从少数 AS 扩张到几乎所有头部 AS；二是受影响服务从底层基础设施和隧道协议扩展到 Web、邮件、文件传输等用户可感知的应用服务。

图5: 头部 100 个 AS 在四个阶段中的状态迁移（来源：论文 Figure 3）

图6: 头部 50 类网络服务在四个阶段中的状态迁移（来源：论文 Figure 4）

两张状态迁移图进一步说明：封锁与恢复都不是均匀发生的。此前未受影响的网络或服务会在下一阶段被纳入；进入恢复期后，又被拆分成“完全恢复、部分恢复、仍受影响”等不同状态。整个行动不是单一开关，而是一套可以细粒度调节对象和强度的控制流程。

进一步比较不同自治系统（AS）的阻断时间和恢复轨迹，发现显著的跨 AS 异质性：有些网络在全国封锁开始数小时后才完全失去服务；另一些网络在恢复期反复波动，呈现不稳定的局部回归。即便处于同一全国性事件中，不同网络的执行强度、启动时刻和恢复速度也并不一致。

这种差异表明，封锁很可能并非完全依赖一个中央设备同步完成，而是由分布在多个运营商、网络节点或管理域中的机制共同执行。

图7: 恢复阶段不同 AS 的服务阻断率仍呈现显著差异（来源：论文 Figure 6）

补充传统路由与流量监测的盲区

BGP 路由、IP 可达性和宏观流量仍然是断网监测的重要信号，但它们分别回答的是“网络是否被宣告”“主机是否响应”和“总体通信量是否变化”。服务级测量补充了更贴近真实使用的问题，即用户所依赖的具体服务是否还能从外部真实访问。

揭示更细粒度的断网态势

从 DNS、VPN 到 Web、邮件，再到分级恢复，受影响对象的变化说明网络控制可以按协议、运营商和时间阶段精细实施。对研究人员、网络运营者和分析者而言，仅用“全国断网/没有断网”的二元标签已经不足以描述断网的现实态势。

伊朗 2025 年 6 月的断网行动说明，互联网控制正在从粗粒度的“切断网络”，走向更隐蔽、更细致的“选择性关闭服务”。当路由仍在、地址仍可见时，依赖传统指标的监测系统可能认为网络仍然在线；而对用户来说，无法访问网页、无法收发邮件，已经意味着服务事实上的消失。

本文以 865 万条主动测量结果为基础，把一次复杂的国家级断网拆解成可观察、可量化的四个阶段，也提醒互联网测量社区：理解网络韧性，不仅要追踪线路、路由和地址活跃性，更要持续观察线路之上真正承载信息流动的服务。