Zusammenfassung

  • Mit dem Übergang zu mehreren kommerziellen Backbones brauchten autonome Netze einen gemeinsamen Ort, an dem sie ihre beabsichtigten Ankündigungs- und Annahmeregeln strukturiert veröffentlichen konnten.
  • Elise Gerich führte Teile dieser Arbeit beim Routing Arbiter. Das Register war jedoch eine Gemeinschaftsleistung und blieb eine Sammlung von Aussagen, deren Urheberschaft, Aktualität und Übereinstimmung mit dem realen BGP gesondert geprüft werden mussten.

Eine Route kann fehlen, obwohl beide beteiligten Router genau das tun, was ihre Betreiber konfiguriert haben. Das eine Netz kündigt nur Kundenpräfixe an; das andere erwartet eine größere Menge und filtert nach einer abweichenden Liste. BGP übermittelt Erreichbarkeitsinformationen, aber nicht automatisch die geschäftliche oder betriebliche Absicht hinter jeder Regel. Die Störung ist gemeinsam, die Erklärung liegt getrennt in zwei Unternehmen.

Solange NSFNET einen großen Teil des amerikanischen Forschungsverkehrs bündelte, konnten Koordinationsfragen innerhalb eines gemeinsamen Programms bearbeitet werden. Mit dem Aufstieg konkurrierender Network Service Provider verteilten sich Betrieb und Wissen. Der Übergangsplan der National Science Foundation sah deshalb neben Network Access Points auch einen Routing Arbiter vor. Der Markt sollte Transportleistungen bereitstellen; gemeinsame Funktionen sollten verhindern, dass zugleich die Verständlichkeit des Gesamtsystems zerfiel.

Elise Gerich arbeitete bei Merit an dieser Schnittstelle. Laut Internet Hall of Fame war sie von 1987 bis 1996 am NSFNET beteiligt, leitete Systemarbeiten für den T1-Ausbau und wirkte an der T3-Migration mit. Für Routing Arbiter Services war sie Co-Principal-Investigator. Merit hält fest, dass die NSF die frühen Routing-Arbiter-Aufgaben 1994 gemeinsam an Merit und USC ISI vergab. Zu den zentralen Ergebnissen gehörten Route Servers und die Routing Assets Database, aus der RADb hervorging.

Diese Geschichte hat keinen einzelnen Erfinder. RIPE hatte bereits Sprachen und Verfahren für die Veröffentlichung von Routing-Politik entwickelt. Ingenieure bei Merit und ISI bauten Dienste und Werkzeuge; die NSF finanzierte eine öffentliche Übergangsfunktion; Provider und Betreiber lieferten Anforderungen und Praxiswissen. Gerich verband Programmführung, Dokumentation und dauerhaften Betrieb. Gerade die geteilte Urheberschaft erklärt, warum ein von Rivalen genutzter Dienst glaubwürdig werden konnte.

RFC 1786 zeigt die konzeptionelle Lücke. Gerich ist eine von sieben Autorinnen und Autoren des 1995 veröffentlichten Dokuments, das RIPE-Arbeiten aufgreift und um Erfahrungen aus Merit erweitert. Ein Routingprotokoll könne Filter nach einer lokalen Politik anwenden, heißt es dort, veröffentliche oder kommuniziere diese Politik aber nicht. Für Betriebskoordination und Fehlersuche werde daher eine zusätzliche Darstellung benötigt.

Das Modell beschreibt zwei Seiten derselben Beziehung: Was kündigt ein autonomes System seinem Nachbarn an, und was nimmt der Nachbar an? Im Idealfall stimmen beide Ausdrücke überein, im Alltag oft nicht. Ein Register macht die beabsichtigten Regeln abfragbar. RPSL standardisierte später Objekte für autonome Systeme, Import, Export, Mengen und Filter. Verteilte Repositorien speicherten die Angaben; Werkzeuge konnten sie analysieren und daraus Filterlisten oder Teile einer Konfiguration erzeugen.

Damit entstand mehr als ein Datenformat. Kein Register bestimmte Transitpreise oder erzwang Peering. Kein zentraler Arbiter übernahm die Router. Die Netze behielten ihre lokale Entscheidungshoheit, veröffentlichten jedoch einen koordinationsrelevanten Teil ihrer Absicht auf einer gemeinsamen Oberfläche. Private Verhandlungen blieben möglich, aber widersprüchliche Erwartungen waren nicht mehr ausschließlich von persönlichen Kontakten und gerätespezifischem Wissen abhängig.

Eine veröffentlichte Absicht ist allerdings keine beobachtete Tatsache. Ein Route-Objekt enthält die Behauptung, ein Präfix solle von einem bestimmten AS stammen. Import- und Exportangaben beschreiben geplantes Verhalten. Daraus folgt weder, dass die Route derzeit in BGP angekündigt wird, noch dass ein Nachbar sie akzeptiert oder ein Router die Regel geladen hat. Ein Eintrag kann einer Änderung vorausgehen, sie korrekt begleiten oder lange nach ihr fortbestehen.

Die spätere IRR-Erfahrung machte diese Grenzen sichtbar. RFC 2725 nennt veraltete Objekte nach dem Rückzug von Routen, nach Umnummerierungen oder Änderungen von Ursprung und Nachbarschaft. RFC 7682 beschreibt ungleiche Anreize: Wer einen neuen Filter benötigt, trägt aktuelle Daten ein; für das Löschen wirkungsloser Altlasten fehlt häufig der Druck. Außenstehende wissen zudem nicht immer, welches Register für eine Ressource maßgeblich ist. Spiegel können Quellen auslassen, zeitlich zurückliegen oder schwach autorisierte Aussagen weitergeben.

Automatisierung verschärft die Verantwortung. Verlässliche Einträge erlauben konsistente Filter und weniger manuelle Fehler. Unzuverlässige Einträge verteilen einen Irrtum ebenso schnell. Sogar die Löschung eines vermeintlich alten Objekts kann legitime Erreichbarkeit unterbrechen, wenn ein Provider daraus noch Produktionsfilter erzeugt. Der Beweisbedarf muss deshalb mit der Wirkung steigen: Ein Recherchehinweis braucht eine andere Vertrauensstufe als eine automatisch ausgerollte Sperre.

Sicherheitsverfahren beantworten jeweils nur Teile der Kette. RPKI kann kryptografisch belegen, dass ein Ressourceninhaber einem AS die Herkunft eines Präfixes erlaubt hat. RFC 7682 grenzt diese Herkunftsautorisierung von den reicheren Import-, Export- und Gruppierungsregeln in RPSL ab. Eine gültige ROA ist keine vollständige Routing-Politik und keine Messung des Live-Netzes. Ressourcenhoheit, Autor einer Aussage, Gerätekonfiguration und beobachteter Kontrollpfad sind verschiedene Nachweise.

Gerichs Beitrag liegt damit nicht in dem Versprechen einer fehlerfreien Datenbank. Er liegt im Aufbau einer Institution, die verteilte Entscheidungsmacht lesbar machte. Der Routing Arbiter verband Sprache, Repositorium, Route Server und Werkzeuge, ohne die privaten Netze zu entmündigen. Seine Schwächen zeigen zugleich, welche Voraussetzungen ein öffentliches Register braucht: benannte Autorität, Herkunft, Frische, Konfliktregeln und eine Rückkopplung zur beobachtbaren Wirklichkeit.

Dieses Muster gilt heute ebenso für Softwarelieferketten, Cloud-Abhängigkeiten und KI-Infrastruktur. Eine veröffentlichte Komponente oder Kapazität erleichtert Koordination, beweist aber nicht ihre Existenz oder Sicherheit. Erst wenn klar ist, wer den Datensatz ändern darf, wann er verfällt, wie widersprechende Quellen behandelt werden und welche Messung ihn widerlegen kann, wird aus Sichtbarkeit belastbare Rechenschaft.

Private Netze blieben nicht deshalb ein Internet, weil sie alle Entscheidungen offenlegten oder einer einzigen Stelle gehorchten. Sie machten den für die Zusammenarbeit notwendigen Teil ihrer Absichten in gemeinsamer Form sichtbar. Das Register, an dessen Entwicklung Elise Gerich mitwirkte, war weder die Route noch die Wahrheit. Es war der Ort, an dem eine Behauptung überprüfbar werden konnte.

Quellen