Zusammenfassung

  • Ein ASPA ist ein vom ASN-Inhaber erstelltes RPKI-Objekt mit einer signierten Liste autorisierter Upstream-Provider.
  • Die Liste ist eine Autorisierung. Eine aktuelle Beziehung erfordert einen beobachteten und validierten BGP-Pfad; Verkehr, Erreichbarkeit und Vertrag brauchen weitere Belege.

Eine signierte Liste bleibt eine Erklärung

APNIC beschreibt Urheber und Gegenstand genau. Der Inhaber des Kunden-ASN veröffentlicht das ASPA und nennt die ASNs, die als Upstream-Provider zugelassen sind. Die Validierung belegt, dass das Objekt in der RPKI-Hierarchie signiert ist und die Providerliste der Erklärung des Inhabers in diesem Repository-Zustand entspricht.

Das ist stärker als eine unsignierte Notiz, aber enger als eine Netzwerkmessung. Das Objekt sagt nicht, dass jeder autorisierte Provider genutzt wird, eine Sitzung besteht oder Pakete über die Beziehung liefen. Autorisierung beantwortet, wer die Rolle übernehmen darf; Beobachtung beantwortet, wer zu einer bestimmten Zeit in einem bestimmten Pfad erschien.

Validierung verbindet zwei Evidenzebenen

Laut APNIC rufen Validatoren ASPAs ab und vergleichen sie mit BGP-Ankündigungen. In Upstream-Richtung kann ein Pfad anhand seiner Kunden-Provider-Beziehungen gültig, ungültig oder unbekannt sein. In Downstream-Richtung prüft der Algorithmus, ob der Pfad mit einer nicht geleakten Route vereinbar ist.

Diese Ergebnisse entstehen nicht aus dem ASPA allein. Nötig sind ein beobachteter AS-Pfad, ein aktueller validierter ASPA-Satz und der richtige Richtungsalgorithmus. Auch „unbekannt“ zählt: Fehlende Daten verbieten eine Beziehung nicht; ein gelisteter Provider beweist seinerseits keine heutige Nutzung.

ASPA ersetzt weder ROA noch Telemetrie

APNIC trennt die Fragen. Ein ROA autorisiert ein ASN, einen Präfix zu originieren. Ein ASPA autorisiert Provider-Beziehungen zur Bewertung des weiteren Pfades. Keines misst Verkehrsmenge, Latenz, Erreichbarkeit, Routerkontrolle oder Vertragsbedingungen.

Eine prüfbare Aussage bewahrt Kunden-ASN, Provider-ASN, ASPA-Repository und Validierungszeit. Für aktuellen Transit ergänzt sie beobachtete Route, Messpunkt, AS-Pfad und Beobachtungszeit.

Quellen