Zusammenfassung

  • Laut offizieller RIPE-93-Kurzfassung hatten 786 beobachtete Präfix-Ursprung-Paare einen exakten IRR-Treffer und blieben vom 8. bis 14. August 2026 durchgehend RPKI Invalid.
  • Bei 371 Paaren war das Präfix zu lang für die ROA; bei 415 stimmte der Ursprungs-AS nicht. Ein gemeinsames Warnlicht verdeckt zwei verschiedene Fehlerbilder.

Auf dem Bildschirm des Netzbetriebs steht derselbe Routeintrag zweimal: im IRR mit Häkchen, in der RPKI-Prüfung mit Warnsignal. Die Ankündigung auf der RIPE-93-Seite beschreibt 786 solcher Präfix-Ursprung-Paare, die über die gesamte Messwoche hinweg Invalid blieben. Antonis Chariton und Usama Ejaz sprechen laut Programm am Dienstag, 27. Oktober. Die Zahlen stammen aus ihrer vorab veröffentlichten Kurzfassung.

Warum scheiterten sie? 371 Ankündigungen überschritten die in der ROA gesetzte maximale Präfixlänge. In 415 Fällen wich der Ursprungs-AS ab. Die Erläuterung des RIPE NCC beschreibt beide Prüfungen. Wer den ersten Fall bearbeitet, vergleicht die tatsächliche Aufteilung des Präfixes mit maxLength. Im zweiten Fall steht die Autorisierung des annoncierenden AS im Mittelpunkt. Der IRR-Eintrag dokumentiert eine Behauptung zu Präfix und Ursprung; die signierte ROA liefert eine eigene Prüfung.

Die Forscher glichen Beobachtungen vom 8. bis 14. August ab: 57 RIPE-RIS- und RouteViews-Kollektoren, 19 IRR-Quellen und 17 während der ganzen Woche verfügbare RPKI-Validatoransichten. Im Wochenbestand der beobachteten Paare fanden 64,4 Prozent einen exakten IRR-Treffer. Von diesen Treffern standen 79,9 Prozent nur in einer einzigen IRR-Quelle. Ein mehrfach abgefragter Datensatz gewinnt dadurch keine zusätzliche Herkunft.

Ein getrennter Test für den 8. August spielte die rekursive Auflösung von in PeeringDB angegebenen AS-SETs nach. Dabei blieben 99,27 Prozent der exakten IRR-Treffer erhalten. Unvollständige oder ungeklärte Auflösungen verlangen weitere Prüfung. Ein fehlgeschlagener Abruf kann sonst beim nächsten Filterlauf wie ein fehlender Kunden-AS aussehen.

RFC 6811 legt den Validierungsstatus fest; die Reaktion der Netztechnik ist eine ausdrücklich konfigurierte lokale Regel. Ein brauchbarer Entscheidungsvermerk enthält Präfix, Ursprung, IRR-Quelle, betroffene ROA, Fehlergrund, Zeitpunkt und Status der AS-SET-Auflösung. Den Hebel bewegt schließlich das Netz, das die Route annimmt oder verwirft.