企业如何把 IPv4 当作长期基础设施来管理

IPv4 资产管理，是在资源的整个生命周期中，把识别、记录、保护、使用和治理放在一起考虑。企业不仅要知道自己掌握哪些地址，还要知道哪些系统离不开它、谁在宣告路由、谁有权管理，以及未来是否仍然需要它。

到了 2026 年，IPv4 依然支撑客户应用、API、云服务、邮件、VPN、合作伙伴白名单、托管、安全设备、数据中心和旧系统。传统分配方式已不能提供不受限制的新地址，问题也从“再拿一些地址”变成了“现有资源如何支撑未来五年、十年甚至十五年”。

把 IP 地址视为基础设施资本，最终要落实到日常治理。资源具有市场价值，也具有运营、连续性、路由、客户接入、安全和迁移价值。一个 /20 如果已经写进大量客户白名单、旧防火墙、API、DNS 和合作伙伴系统，替换它的运营代价可能远高于当下的出售价格。管理应从依赖关系出发，而不是从报价出发。

清单既要记录外部可以核实的信息，也要写清企业内部的使用背景：前缀用来做什么、哪些应用依赖它、谁负责、是否仍然需要。只有登记信息，没有业务关系，仍然是一份不完整的清单。

盘点不应遗漏灾备、迁移和扩容预留，也要留下资源历史及转移、租赁、并购时需要的文件。有关更广的号码资源清单，可继续阅读 如何审计企业的互联网号码资源。

• Registry / RDAP：登记中哪个组织与这项资源关联？
• BGP：实际由哪个 ASN 宣告这个前缀？
• RPKI：哪个 ASN 获准作为这个前缀的路由起源？
• IRR：登记了哪些路由信息？
• CMDB / IPAM：企业内部认为资源正在怎样使用？

这些信息应相互支持，却不能相互替代。登记记录不证明当前路由，BGP 宣告不证明法律或合同权利，ROA 也不是完整的网络地图。

第三步：核对登记和 RDAP

检查登记组织、地址范围、资源状态、联系人、上级资源关系及所属 RIR。错误或过时的信息会妨碍转移、并购、账户恢复、供应商迁移、争议处理和故障响应。登记是重要证据，但不能自动视为法律所有权的完整结论。

具体方法见 如何读取 IP 地址的 RDAP 记录。

第四步：检查实际 BGP 宣告

203.0.113.0/24 → AS64500

为每个重要前缀定义预期状态，再检查：应由哪个 ASN 起源、现在是否可见、是否出现更具体的路由、是否有多个起源 ASN。登记完全正确的资源，也可能在生产网络中被意外宣告。

具体方法见 如何检查谁在 BGP 中宣告前缀。

第五步：维护 RPKI 授权

Prefix: 203.0.113.0/24
Authorized ASN: AS64500

ROA 可以声明某个 ASN 获准作为特定前缀的起源。原文引用 RFC 9582 说明 ROA 格式；日常核对则要覆盖起源 ASN、前缀长度、maxLength、过期或不再适用的授权，以及迁移时序。

改变 ASN、更换供应商、收购网络、接入 DDoS 清洗服务或重构网络时，尤其要同步处理授权。否则，合法的新路由也可能因旧 ROA 未更新而成为 RPKI Invalid。

第六步：维护 IRR 记录

route: 203.0.113.0/24
origin: AS64500

一些网络使用 IRR 数据生成路由过滤器，因此旧 route object 也会造成运营不一致。应定期对照预期路由、实际 BGP、RPKI 和 IRR。目的不是让不同系统的内容机械地完全相同，而是找出无法解释的差异。

第七步：区分正在使用、预留和真正多余

“现在几乎没有流量”并不等于“可以出售”。地址可能为灾备、客户迁移、区域故障切换、未来扩展、合同承诺或安全架构保留。

• 使用中：正在支撑生产服务。
• 已预留：可能尚未宣告，但有明确的计划或应急用途。
• 利用不足：正在使用，但分配效率可以改善。
• 可考虑内部回收：已找不到明确的运营依赖。
• 可考虑转移或租赁：确认超出长期运营所需，再完成适用的技术、合同和登记核验。

第八步：排查低流量背后的依赖

前缀可能被写进防火墙规则、VPN 策略、客户白名单、SaaS 集成、API 认证、DNS、SSL/TLS 配置、监控、支付网关或第三方供应商系统。流量小，不代表替换容易。转移或出租之前，必须先查明这些依赖。

第九步：决定保留、内部回收、转移还是租赁

• 保留：资源仍具有战略或运营价值。
• 内部回收：通过整合低效分配，重新利用已有地址。
• 转移：预计未来不再需要，并且满足适用的转移要求。
• 租赁：在合同、技术和登记条件允许时，让另一运营者使用多余资源，同时保留与这项资源的持续关系。

NRS 的 企业如何利用多余 IP 资源创造收益（英文） 讨论商业层面；资源管理首先要回答的却是：把它移出企业，会不会给未来的运营留下风险？

第十步：市场价格不是唯一尺度

出售可以回笼资金，但以后重新取得等效地址可能更难、更贵，也可能打乱原有白名单和网络设计。应将即时收益与长期基础设施用途并列考虑。这正是交易资产与管理基础设施资本的区别。

第十一步：在并购交割前查清资源

合并、收购、剥离和重组时，要核实有哪些资源、登记在哪个实体名下、由哪个 RIR 账户管理、是否直接持有、由哪些 ASN 宣告、RPKI 是否有效、支持文件是否齐全。IPv4 应是技术尽调的一部分，不能等交割后才发现无法接管。

进一步阅读：并购时，IP 地址会发生什么变化？

第十二步：降低对单个员工的依赖

如果只有一个人知道 RIR 账户、RPKI、IRR、DNS、BGP、供应商联系人和转移历史，那么人员离职本身就可能成为基础设施风险。企业需要组织层面的可持续访问、书面的账户恢复办法、MFA 恢复方式、多名获授权管理员和最新联系人。资源连续性必须经得起人员变动。

第十三步：保存资源的来龙去脉

记录最初分配、后续指派、转移、公司更名、收购、路由调整、RPKI 变更和供应商迁移。以后办理转移、证明连续性、解释记录差异、完成尽调或恢复账户时，这些历史都可能派上用场。

第十四步：把信誉纳入管理

地址可能曾与垃圾邮件、恶意软件、滥用、僵尸网络、代理服务或封禁名单关联。应关注主要封禁名单、滥用报告、地理位置、反向 DNS 和路由历史。取得新资源、出租资源、收回租用或曾委派的资源时尤其需要检查；技术上有效，不等于已经适合投入生产。

第十五步：核对反向 DNS

查清反向解析由谁控制委派、使用哪些名称服务器、旧系统是否依赖 PTR，以及是否涉及 DNSSEC。反向 DNS 会影响邮件投递、安全工具、日志和客户服务，不能因为它看起来像一项 DNS 工作，就把它排除在资源清单之外。

IPv4 资产管理不应成为反对 IPv6 的理由。IPv6 可以降低长期依赖，但客户、合作伙伴和旧系统不会瞬间完成迁移，许多企业还会多年运行双栈或混合环境。

保护关键 IPv4
＋ 减少不必要的 IPv4 依赖
＋ 扩大 IPv6 部署

三件事应当并行。目标是保留选择，而不是把所有 IPv4 立即出售，也不是忽略 IPv6。

不要只在故障时想起地址资源。年度复核可以依次确认：是否知道每个地址块；登记、路由、ROA、IRR 和 DNS 是否符合实际；哪些正在使用、预留或多余；信誉是否可用；组织能否恢复管理权限；每个资源的下一步是什么。并购、迁移、ASN 变化或网络重构后，也应重新检查。

把治理变成七个连续动作

• 发现：识别每项资源。
• 记录：保存历史、权利背景、依赖和内部责任。
• 核验：对照登记、BGP、RPKI 和 IRR。
• 保护：守住账户访问和路由授权。
• 优化：整合低效分配，识别真正多余的资源。
• 监测：持续观察路由、信誉和运营状态。
• 复盘：按年度及重大业务变化重新评估。

登记过时会影响账户恢复、转移、安全事件处置、供应商变更和并购。谁被登记、谁获授权、谁在宣告、谁在内部理解资源、组织能否恢复控制，是五个不同的问题，都需要答案。

不要让“所有权”一词遮住具体权利

企业常说自己“拥有”一个地址块，这种说法在运营中便于交流，但不同法律和登记框架下，具体权利与控制关系并不完全相同。应同时保存登记、控制、合同权利、转移历史和公司记录，而不是指望一个数据库条目解决所有法律问题。收购、争议、转移和重组时尤其如此。

衡量资源提供的能力，而不只是价格

可预测的公网地址、路由独立性、更换供应商的自由、较容易的迁移、客户连续性、灾备和扩展能力，都可能是长期价值。即使没有用满，一个地址块也可能在提供这些能力。记录和维护越清楚，企业越有余地继续运营、调整网络、保留资源、转移真正的余量、支持收购并逐步扩展 IPv6。

八种应当避免的做法

• 只把 IPv4 当成技术细节，忽略业务、连续性和商业影响。
• 只把 IPv4 当成可变现资产，忽略运营用途。
• 把登记数据当成实际路由，不再独立检查 BGP。
• 过早宣布地址闲置，跳过隐藏依赖。
• 把知识和访问权限集中在一个员工身上。
• 迁移时忽略 RPKI，让旧 ROA 干扰合法路由。
• 依赖分析尚未完成就出售，以后才发现难以替换。
• 忽略 IPv6，把当前依赖变成长期停滞。

延伸阅读：为什么应当把 IP 地址视为基础设施资本（英文）。

真正成熟的管理，能回答企业掌握什么、登记在哪里、如何被宣告、谁获授权、哪些系统依赖它、谁能管理、历史如何，以及是否仍然需要。原则不是永远持有每个地址，也不是立即变现每个看似空闲的地址，而是依据运营重要性、可追溯历史、实际使用和长期基础设施价值逐项判断。登记、路由、授权与内部文档，应在整个生命周期里保持相互印证。