Summary

  • Bryton Herdes' Team schickte ein eigenes Testpräfix aus einer Sitzung mit Nachbar-AS13335 und setzte die ebenfalls eigene AS402542 an den Anfang des AS_PATH. Sieben von vierzehn untersuchten Tier‑1-Netzen installierten die Route.
  • Die Prüfung der ersten AS gehört an die empfangende eBGP-Sitzung. Ein transparenter IX-Routenserver benötigt die in RFC 7947 beschriebene Ausnahme für genau diesen Nachbarn.

Eine Route hat einen Absender, den der Router aus seiner BGP-Sitzung kennt. Sie hat auch eine erste AS im geschriebenen Pfad. Bryton Herdes ließ beides absichtlich auseinanderfallen: AS13335 an der Sitzung, AS402542 vorn im Pfad. Das Originalprotokoll der Untersuchung zeigt ein glattes Patt. Sieben Tier‑1-Netze wiesen die Route ab, sieben übernahmen sie.

Bei NANOG 98 am 20. Oktober 2026 machte Herdes die Einstellung sichtbar. Die Originalfolien zeigen die Exportregel, die AS402542 vor den von AS13335 gesendeten Testpfad setzt. Am Ende des Pfades blieb der Ursprung legitim. RPKI-ROV prüft die Berechtigung dieses Ursprungs für das Präfix. Ob der unmittelbare Nachbar sich als erste AS ausweist, ist eine andere, lokale Frage. Ein verkürzter Pfad bietet auch einer ASPA-Prüfung weniger Beziehungen, die sie beanstanden könnte. Die Nachbar-AS liegt dem empfangenden Router bereits vor.

Die Untersuchung nutzte eigene Nummern und ein eigenes Präfix. Sie dokumentiert Annahme und Ablehnung einer konstruierten Route. Das Team wollte solche Ankündigungen zunächst fortlaufend messen. Einige Gegenstellen setzten jedoch bei fehlerhaften Pfaden gleich die BGP-Sitzung zurück. Aus einem kontinuierlichen Sensor wäre ein Betriebsrisiko geworden; der Plan wurde aufgegeben.

Der häufigste Grund für eine Ausnahme ist technisch sauber: Ein transparenter Routenserver am Internetknoten verteilt Pfade, ohne seine eigene AS voranzustellen. RFC 7947 verlangt, dass sein Client die erste-AS-Prüfung für diese Verbindung abschalten kann. Wer die Einstellung für alle Nachbarn deaktiviert, macht aus der Ausnahme eine Pauschalerlaubnis. Herdes' Tabelle der Implementierungen zeigt unterschiedliche Voreinstellungen; entscheidend ist die tatsächlich wirksame Konfiguration je Sitzung.

Ein Betreiber kann die Kante systematisch prüfen: Nachbar-AS und Rolle erfassen, Routenserver-Ausnahmen einzeln begründen, die first-AS-Regel für gewöhnliche externe Nachbarn aktivieren und eine autorisierte Testankündigung beobachten. Die Prüfspur muss sowohl die Ablehnung der Route als auch die Stabilität der Sitzung zeigen. Ein gültiger Ursprung ist kein Ausweis für denjenigen, der das UPDATE gerade übergibt.

Quellen: NANOG-98-Sitzung · Herdes' Originalfolien · Originalbericht des Teams · RFC 7947.