Zusammenfassung

  • Die NSPA (NATO Support and Procurement Agency) mit Sitz in Capellen, Luxemburg, hält den RIPE-PI-Block 193.168.8.0/21, doch dieser Block erscheint nie als ein einziges angekündigtes Präfix im globalen Routing.
  • Zwei /24-Netze (193.168.8.0/24 und 193.168.9.0/24) stammen von der eigenen, niedrig sichtbaren AS210872; 193.168.10.0/23 und 193.168.14.0/23 trägt POST Luxembourg (AS6661).
  • Die scheinbar widersprüchlichen Präfix-Zählungen verschiedener Aggregatoren lösen sich auf, wenn man die RIR-Konto-Ebene statt einer einzelnen ASN-Seite liest.
  • Die NSPA selbst hat zu AS210872, ihrer Routing-Politik oder der Rolle von POST Luxembourg keine öffentliche Erklärung abgegeben.

Eine Militärbehörde, die Allianz-Legitimations- und Beschaffungsdienste für die NATO-Nationen erbringt, ist im öffentlichen Internet auffallend leise präsent. Die offizielle NATO-Seite beschreibt die NSPA als Agentur der Allianz, die Logistik, Beschaffung und operationelle Unterstützung liefert. Ihr Hauptsitz liegt in Capellen bei Luxemburg; die Agentur ist der Nachfolger der NAMSA, wie die Wikipedia-Darstellung zusammenfasst. Die Luxemburger Regierung würdigte die Agentur im März 2024 anlässlich ihres 75-jährigen Bestehens und betonte ihre zentrale Rolle in der Allianz-Logistik (Regierungskommuniqué, 26. März 2024).

Im öffentlichen Adressraum tritt diese Behörde als Inhaberin des Blocks 193.168.8.0/21 auf – 2.048 Adressen, als ASSIGNED PI beim RIPE NCC registriert unter dem Netnamen NAMSA. Doch genau hier beginnt die Verwirrung, die dieser Artikel aufklärt: Der Block wird nicht als Ganzes geroutet, sondern in Teilen, und die Teile werden von unterschiedlichen Betreibern angekündigt.

Das Puzzle der Präfix-Zählungen

Wer die Datenquellen vergleicht, stößt auf zwei konkurrierende Bilder. Das Portal bgp.tools listet für AS210872 die Organisation ORG-NSA90-RIPE, zwei IPv4-Präfixe und ein IPv6-Präfix, mit IRR-Policy-Einträgen gegenüber AS6661 und AS6939. CheerVision meldet für dieselbe ASN genau 512 IPv4-Adressen in den Präfixen 193.168.8.0/24 und 193.168.9.0/24, Netzwerk NAMSA, Status ASSIGNED PI. Demgegenüber berichtet ipregistry von 1.024 Adressen in zwei /23-Blöcken (193.168.8.0/23 und 193.168.12.0/23), ASN-Typ Government, zugeordnet im April 2025, aktualisiert im April 2026. Und theipapi zeigt wiederum nur zwei /23-Präfixe für die Organisation LU-NSPA-20250408, angelegt laut eigenem Eintrag 2013-12-02, aktualisiert 2025-04-16.

Die Auflösung dieses Widerspruchs liegt nicht in den Zahlen, sondern in der Frage, was gezählt wird: Registry-Holding und Route-Originierung sind zwei verschiedene Fakten. Das RIR-Konto lu.nspa bei bgp.tools zeigt die volle Struktur: IPv4 193.168.8.0/21 als PI-Space mit AS210872 und IPv6 2a14:e480::/29; 193.168.8.0/24 und 193.168.9.0/24 stammen von AS210872, während 193.168.10.0/23 und 193.168.14.0/23 von AS6661 – POST Luxembourg, dem nationalen Telekommunikationsbetreiber – originiert werden. Im IPv6-Bereich stammt 2a14:e480::/48 ebenfalls von AS210872.

Drei Quellen, drei Ausschnitte

Aggregatoren, die nur die AS210872-originierten Präfixe sehen, berichten 512 Adressen. Aggregatoren, die auch registry-allokierten Raum der ASN zuordnen, melden 1.024. Die Qrator-Radar-Präfixliste für AS210872 zeigt beide Halbwelten: 193.168.12.0/23, 193.168.8.0/23, 193.168.8.0/24, 193.168.12.0/24 und 193.168.9.0/24, dazu 2a14:e480::/48 – wobei 193.168.12.0/24 als RPKI/ROA Invalid (High severity) mit einer Propagation von etwa 96 Routen (19,2 Prozent) markiert ist, die /23-Blöcke als Valid mit Propagation um 509 bzw. 498, während die /24- und /48-Präfixe im einstelligen Bereich liegen.

Auch das Whois-Bild bestätigt die geteilte Verantwortung. Der Qrator-Spiegel des aut-num AS210872 zeigt ORG-NSA90-RIPE, erstellt am 3. April 2025, zuletzt geändert am 27. April 2026, mit den Maintainern NSPA-MNT und NAMSA-AOET sowie der RIPE-Redaktionskennung DUMY-RIPE als Admin- und Tech-Kontakt. Die ipregistry-Wiedergabe des RIPE inetnum 193.168.8.0 - 193.168.15.255 auf der AS6661-Seite dokumentiert den Netnamen NAMSA, Standort Capellen, Land LU, Status ASSIGNED PI, und – entscheidend – die mnt-routes-Zeile mit NAMSA-AOET, NSPA-MNT, AS6661-MNT und CEGECOM-LU-MNT. Das Route-Objekt 193.168.10.0/23 mit Origin AS6661 wurde am 22. Februar 2023 erstellt, ebenfalls unter AS6661-MNT; der Organisationsdatensatz selbst existiert seit dem 29. November 2013.

Die bgp.he.net-Ansicht von 193.168.14.0/23 bestätigt: angekündigt mit Origin AS6661 (POST Luxembourg), Registrant NATO SUPPORT AND PROCUREMENT AGENCY, Route-Objekt NAMSA, erstellt 2023-02-22. Und die Eltern-Delegation 193.168.8.0/21 ist laut bgp.he.net eine RIPE-Delegation an die NATO SUPPORT AND PROCUREMENT AGENCY (LU), die im globalen Routingtabelle als einziges Aggregat nicht sichtbar ist.

Der Unerwähnte: CEGECOM

In der mnt-routes-Zeile taucht mit CEGECOM-LU-MNT ein dritter Name auf. CEGECOM ist ein luxemburgischer Netzbetreiber (AS15965), der Maintain-Autorität über die Routing-Datensätze des NSPA-Blocks hält – wie genau diese Rolle entstanden ist und ob sie aktiv ausgeübt wird, lässt sich aus den öffentlichen Daten nicht ableiten. Sie dokumentiert aber, dass die Verwaltung des Adressraums zwischen mindestens drei Parteien verteilt ist: NSPA als Inhaberin, POST Luxembourg als originierender Provider, CEGECOM als Mitverwalter der Route-Objekte.

Die Anycast-Frage der Sichtbarkeit

Wie sichtbar ist dieses Netzwerk tatsächlich? Die IPinfo-Ansicht von 193.168.8.0/24 attribuiert das Netz an AS210872, meldet RPKI valid mit einer ROA für die NATO SUPPORT AND PROCUREMENT AGENCY und – bemerkenswert – null Reverse-DNS-Einträge, null gehostete Domains und nur zwei pingbare IPs in den Probe-Daten. Der Robtex-Datensatz hält die Routen 193.168.8.0/24, 193.168.9.0/24, 2a14:e480::/48 und 2a14:e480:1::/48 unter der AS210872-Sicht für RPKI-valid. Die whoer-Ansicht von AS6661 zeigt die Provider-Seite desselben Bildes.

Die PeeringDB-Seite der ASN 210872, zuletzt aktualisiert am 18. August 2026, ist ein weiterer Hinweis auf die niedrige Öffentlichkeit des Netzes. Und das bgp.tools-Profil des Luxembourg Internet Exchange (LU-CIX) zeigt den Rahmen, in dem sich diese Akteure bewegen: ein kleiner nationaler Exchange, an dem luxemburgische Betreiber miteinander und mit Transit-Partnern tauschen.