Zusammenfassung

  • Der dritte Beitrag der RIPE-Labs-Reihe IRR Landscape nutzt Verkehrsmessungen von AMS-IX und DE-CIX, um zu prüfen, welche IRR-Bestandteile RPKI ersetzen kann.
  • Das Ergebnis ist asymmetrisch: Drittanbieter-ROUTE(6)-Objekte können in den untersuchten Szenarien weitgehend entfallen; Drittanbieter-AS-SET bleiben für die BGP-Filtergenerierung wesentlich.
  • Daraus folgt weder eine allgemeine Löschanweisung noch, dass eine ROA einen Kundenkegel beschreibt. ASPA erscheint als möglicher späterer Ersatz, nicht als bereits breit verfügbare Lösung.

Ein Sammelbegriff ersetzt keine Funktionsanalyse

Wer von IRR-Daten spricht, hat noch nicht gesagt, welcher Nachweis in einer Filterkette gebraucht wird. ROUTE und ROUTE6 verknüpfen Präfix und Ursprungs-AS. Ein AS-SET kann eine Menge autonomer Systeme erschließen und in manchen Werkzeugen einen Kundenkegel für die Filterbildung abbilden. Beide begegnen sich in der Routingpolitik, doch sie beantworten verschiedene Fragen.

RIPE Labs untersucht diese Unterscheidung mit Verkehrsmessungen an AMS-IX und DE-CIX. Verglichen werden Produktionskonfigurationen mit Szenarien, die Klassen von Drittanbieter-IRR-Daten reduzieren und RPKI-abgeleitete Informationen einsetzen. Die veröffentlichte Aussage bleibt differenziert: Drittanbieter-ROUTE(6) können weitgehend auslaufen, Drittanbieter-AS-SET bleiben für die BGP-Filtergenerierung erforderlich.

„Weitgehend“ bedeutet nicht „überall“. Die Quelle berichtet keine bereits vollzogene Änderung bei einem bestimmten Betreiber und erlässt keine RIPE-NCC-Vorgabe. Sie sagt, dass ROAs ROUTE- und ROUTE6-Objekte ersetzen können, wo Abdeckung besteht. Damit bleibt der Abstand zwischen einem getesteten Szenario und einer pauschalen Betriebsanweisung erhalten.

Eine ROA bildet keinen Kundenkegel ab

Gerade die verbliebene Rolle von AS-SET zeigt, warum die Formel „RPKI ersetzt IRR“ zu grob ist. Ein Kundenkegel ist keine zweite Schreibweise für eine Präfix-Ursprungsautorisierung, sondern eine Beziehungsmenge, die in Filterbildung einfließen kann. Die Studie nennt ASPA als möglichen operativen Nachfolger, hält aber fest, dass Standardisierung und breite Einführung noch fehlen.

Eine gültige ROA beweist deshalb weder bilaterale Politik noch Erreichbarkeit, Pfadauswahl, Verkehr oder einen vollständigen Kundenkegel. Umgekehrt beweist ein beibehaltenes AS-SET nicht, dass jedes fremde ROUTE(6)-Objekt unentbehrlich bleibt. Beide Objektklassen brauchen eigene Deckungsbedingungen und eigene Änderungsentscheidungen.

Teilrückbau nachvollziehbar machen

Wer Drittanbieter-IRR-Eingaben testweise verringert, sollte nicht nur „IRR abgeschaltet“ festhalten. Ein brauchbarer Eintrag benennt Objekt- und Quellenklasse, Filterfunktion, Bedingung für RPKI- und autoritative-IRR-Abdeckung, Konfigurationsszenario, Auswertungszeitraum, bekannte Grenzen, beobachteten Umfang, Rückfallauslöser und Korrekturverlauf.

Ebenso wichtig ist das, was erhalten bleibt. Werden Drittanbieter-AS-SET weiter für Kundenkegel verwendet, dann überzeichnet ein Bericht allein über entfernte ROUTE(6)-Objekte die Wirkung. RPKI-abgeleitete Objekte können Teil eines Versuchs sein, ohne eine nicht geprüfte Beziehungsbehauptung zu ersetzen.

Dies ist ein redaktioneller Vorschlag zur Nachvollziehbarkeit, keine Vorgabe von RIPE NCC, AMS-IX oder DE-CIX. Er erhält die von der Studie gezogene Grenze: Ein Wechsel beim Präfix-Ursprungsnachweis macht den Beziehungsnachweis nicht automatisch entbehrlich.

Reichweite der Quelle

Die RIPE-Labs-Quelle belegt den Untersuchungsrahmen und die unterschiedlichen Schlüsse für Drittanbieter-ROUTE(6) und AS-SET. Sie belegt keine Live-Einführung, keinen Vorfall, keinen Filterzustand eines benannten Betreibers und keine allgemeine ASPA-Bereitschaft.

Quellen