Summary

  • Antonio Prado zählt 524.288 mögliche /48-Präfixe innerhalb eines IPv6-/29. Als Vergleich nennt sein Beitrag vom Juli 2026 rund 219.000 Einträge in der damaligen weltweiten IPv6-BGP-Tabelle.
  • Eine ROA benennt das berechtigte Ursprungs-AS. Wie viele Präfixe ein Nachbar liefern darf, entscheidet der empfangende Betreiber mit Filtern und einer Höchstzahl pro BGP-Sitzung.

In der Adressverwaltung ist ein /29 eine Zeile. Beim Nachbarn kann daraus ein Stapel von 524.288 /48-Ankündigungen werden. Antonio Prado stellt diese Rechnung in seinem RIPE-Labs-Beitrag über eine gemeinsame Sicherheitsstudie neben die etwa 219.000 Einträge der globalen IPv6-BGP-Tabelle zum Zeitpunkt seines Artikels im Juli 2026. Die erste Zahl ist die rechnerische Zahl möglicher Teilnetze, die zweite eine damalige Schätzung des Bestands. Zusammen legen sie den Kapazitätskonflikt offen.

Prado und seine Mitautoren ordnen BGP-Angriffe in vier Haupt- und acht Unterklassen. Bei der Herkunft von Präfixen gibt es kryptografische Prüfungen. Für vier andere Klassen sieht ihre Übersicht keine solche Antwort: sprunghafte Zustandswechsel, übermäßige Aufteilung von Präfixen, Manipulation der Routingpolitik und durch Attribute ausgelöste Sitzungsabbrüche. Filter, Kontrollschutz und Fehlerbehandlung helfen. Ihre Wirkung hängt an der konkreten Konfiguration einer einzelnen Netzgrenze.

Die RIPE-NCC-Erklärung zur Herkunftsprüfung beschreibt die ROA als Erlaubnis für ein AS, einen Präfix zu originieren. Sie legt keine Speicherquote für den Router fest, der die Ankündigungen entgegennimmt. Ein grünes Ergebnis bei der Herkunft beantwortet deshalb nur eine der beiden Fragen, die an der BGP-Sitzung auflaufen.

RFC 7454 empfiehlt Eingangs- und Ausgangsfilter und eine maximale Präfixzahl je Nachbar. Der Kunde mit bekannten Netzen braucht einen anderen Rahmen als der Transitprovider mit voller Tabelle. Zugleich muss der Rahmen für normales Wachstum reichen und regelmäßig überprüft werden. Zu viel Reserve lässt eine Flut weiterlaufen; zu wenig Reserve kann eine legitime Sitzung beenden. Der Betreiber trägt beide Folgen.

Prado forscht zur Routingsicherheit und gehört seit 2022 dem RIPE Programme Committee an. Seine stärkste Pointe ist keine neue Magie gegen Angriffe, sondern eine Zuständigkeitsfrage: Wer hat den Grenzwert tatsächlich gesetzt? Ein zeitgestempelter Satz von BGP-Ankündigungen, die Nachbarlimits und die Sitzungsprotokolle würden aus der Rechnung einen konkreten Vorfall machen. Bis dahin ist sie ein präziser Belastungstest für jede Netzgrenze.