Zusammenfassung

  • Die Abfrage von 190.147.255.0 lieferte den Elternblock 190.144.0.0/14 und zwei aut-num-Werte: AS14080 und AS10620. Das ist eine Projektion, keine Beobachtung einer Live-Route.
  • Der zeitnahe RPKI-Stand enthielt vier abdeckende VRPs. RIPE RIS sah AS10620 als Ursprung von 190.147.255.0/24; diese konkrete Route war ROV Valid.

Ein besser gepflegtes Feld wird zur zeitgebundenen Projektion

Abschnitt 3.4 des LACNIC-Handbuchs verlangt, den Ursprungs-ASN abgefragter Präfixe im WHOIS anzuzeigen, sofern die Information verfügbar ist. Der durch LAC-2021-1 eingeführte und am 28. März 2022 umgesetzte Text erlaubt, den Wert aus dem RPKI-Repository und dem im ROA genannten Ursprung zu gewinnen.

Damit wurde ein Pflegeproblem reduziert: Ein vom Mitglied eingetragener Beschreibungswert konnte nach einer ROA-Änderung veralten. Zugleich ist das Feld nun die verdichtete Ansicht einer zeitabhängigen Autorisierungsmenge. Eine solche Ansicht kann korrekt sein und trotzdem ihre Herleitung nicht offenlegen.

Zwei WHOIS-Zeilen stehen für vier VRPs

Am 19. September 2026 um 21:59:47 UTC antwortete whois.lacnic.net auf 190.147.255.0 mit dem Allokationsobjekt 190.144.0.0/14 und:

  • aut-num: AS14080
  • aut-num: AS10620

Die aktuelle Ausgabe reduzierte den Fall also nicht auf einen ASN. Aus der Reihenfolge lässt sich weder Vorrang noch Exklusivität ableiten.

Der um 21:52:52 UTC erzeugte erweiterte Routinator-Datensatz enthielt für 190.147.255.0/24 vier Abdeckungen:

VRP-Präfix maxLength Autorisierter Ursprung
190.147.0.0/16 24 AS10620
190.147.0.0/16 24 AS14080
190.144.0.0/14 24 AS10620
190.144.0.0/14 24 AS14080

Zu jedem VRP gehörten außerdem eine ROA-URI und Gültigkeitszeiträume. Die zwei WHOIS-ASNs waren mit dieser Menge vereinbar. Nicht sichtbar waren dagegen die beiden Präfixebenen, maxLength 24, die Snapshot-Identität und die Regel, die vier Tupel auf zwei Werte abbildete.

Das belegt keinen fehlerhaften WHOIS-Eintrag. Es zeigt eine richtige mögliche Kurzfassung ohne reproduzierbare Begründung.

Autorisiert heißt nicht beobachtet

RFC 6811 beschreibt ein VRP durch Präfix, maximale Länge und Ursprungs-ASN. Eine Route ist Valid, wenn mindestens ein abdeckendes VRP zusätzlich zu Länge und Ursprung passt. RFC 9582 erläutert, dass ein ROA genau einen autorisierten AS identifiziert; mehrere Ursprünge benötigen mehrere ROAs.

Der BGP-Snapshot ergänzte die operative Seite. Die RIPEstat-Antwort enthielt 327 beobachtete Pfade für 190.147.255.0/24, sämtlich mit AS10620 am Ende. Für diese Route passten die beiden AS10620-VRPs. Die AS14080-VRPs deckten das Präfix weiterhin ab, passten aber nicht zum Ursprung. Das Ergebnis lautete Valid.

Wäre AS14080 der getestete Routenursprung gewesen, hätte derselbe RPKI-Stand ebenfalls Valid ergeben. Das sagt nicht, dass beide AS den /24 gleichzeitig ankündigten. Beide waren autorisiert; beobachtet wurde AS10620.

WHOIS-Feld, vollständige Abdeckungsmenge, jedes Präfix/maxLength/ASN-Tupel, beobachteter BGP-Ursprung und ROV-Ergebnis sind deshalb getrennte Zustände.

Der Beleg für die Ursprungprojektion

WHOIS muss kein BGP-Monitor werden, und LACNIC muss keine lokale Routing-Entscheidung treffen. Ein schmaler Beleg genügt. Er sollte Abfrage, normalisiertes Präfix und zurückgegebenes Registrierungsobjekt nennen und alle verwendeten VRP-Tupel auflisten. Validator, Erzeugungszeit, Cache-Sitzung oder gleichwertige Snapshot-ID sowie ein Digest der Menge binden die Aussage an ihren Zustand. Eine ROA-URI oder ein stabiler Digest kann die Herkunft ergänzen.

Auch der Ergebnistyp gehört dazu: leer, einzeln, mehrfach, partiell oder veraltet. Ein Ablauf- oder Aktualisierungszeitpunkt verhindert, dass eine Kopie ihre Autorisierung überlebt. Ein Ablöseverweis erhält die Geschichte.

Der Beleg sollte ausdrücklich ausschließen, was er nicht ist: keine BGP-Beobachtung, kein Nachweis gleichzeitiger Ankündigungen, keine Präferenz und keine Annahmeanweisung. Tatsächlicher Ursprung und ROV bleiben eine separate, routenspezifische Prüfung.

Den Plural begründen statt beseitigen

LACNIC hat in diesem Beispiel beide autorisierten Ursprünge bewahrt. Der nächste Schritt ist nicht die Wahl eines Haupt-ASN, sondern die Begründung der Mehrzahl. Heute müssen WHOIS, Routinator und ein Routensammler zusammengeführt werden. Ein Beleg gäbe ihnen einen gemeinsamen Nachweisschlüssel und Zeitrahmen, ohne ihre Aufgaben zu verschmelzen.

Das Feld nennt AS14080 und AS10620. Der Beleg ergänzt /16, /14, maxLength 24, Quellobjekte und Projektionsregel. BGP zeigt anschließend AS10620 als beobachteten Ursprung; ROV bestätigt die Übereinstimmung dieser Route. Jede Ebene gewinnt, wenn sie nicht vorgibt, die anderen zu sein.

Quellen