Zusammenfassung

  • Usama Ejaz und Antonis Chariton glichen vom 8. bis 14. August 2026 BGP-Ankündigungen mit IRR-Objekten und RPKI-Prüfungen ab. Laut RIPE-93-Originalabstract hatten 64,4 Prozent der in der Wochenmenge beobachteten Präfix-Ursprungs-Paare einen exakten IRR-Treffer.
  • Unter diesen Treffern blieben 786 die ganze Woche RPKI Invalid: 371 überschritten die ROA-Maximallänge, 415 nannten ein anderes Ursprungs-AS.

Ein Beleg beantwortet nicht jede Frage

Ein Betreiber baut einen Filter und findet im IRR das passende route-Objekt. Der Datensatz sieht sauber aus. Ejaz stellte im offiziellen Vortragsprotokoll vier Belege nebeneinander: die beobachtete BGP-Ankündigung, das exakte IRR-Objekt, den RPKI-Status und die Mitgliedschaft im AS-SET. Bei einem Widerspruch kann keiner der vier allein den ganzen Fall erledigen.

Für die Woche vom 8. bis 14. August betrachtete das Team öffentliche Präfix-Ursprungs-Paare aus 57 RIPE-RIS- und RouteViews-Sammlern, Objekte aus 19 IRR-Quellen und validierte Daten aus 17 durchgehend verfügbaren RPKI-Prüfansichten. In der Wochenmenge hatten 64,4 Prozent einen exakten IRR-Treffer. Von diesen Treffern standen 79,9 Prozent nur in einer IRR-Quelle. Die automatische Übernahme der ersten passenden Zeile macht aus einer einzelnen Quelle schnell einen Schiedsrichter.

Der dauerhafte Streit betraf 786 Paare. Der RIPE-NCC-Leitfaden zur Ursprungsvalidierung trennt die Ursachen: 371 Ankündigungen waren spezifischer als die maxLength im ROA; bei 415 war das Ursprungs-AS vom deckenden ROA nicht autorisiert. Für den Einzelfall fehlt die aktuelle Absicht des Ressourcenhalters zu genau diesem Präfix, AS und Längenbereich. Unterschiedliche Ursachen verlangen unterschiedliche Korrekturen.

Der alte Eintrag bleibt sitzen

Die Studie behielt außerdem 140.360 Kandidaten mit breiteren IRR-Objekten. Ein altes Objekt kann neben einer späteren, spezifischeren Ankündigung weiterleben. Die RIPE-Regeln zur Objekterstellung zeigen einen weiteren Unterschied: Für ein route(6)-Objekt wird gegenüber der Adressressource authentifiziert; das als Ursprung eingetragene AS muss sich nicht selbst authentifizieren. IRR-Eintrag und ROA folgen verschiedenen Autorisierungswegen.

Eine gesonderte AS-SET-Nachbildung hielt 99,27 Prozent der exakten IRR-Treffer fest; unvollständige Expansionen mussten geprüft werden. Ejaz liefert eine Reihenfolge: Ankündigung ansehen, Objekt prüfen, ROA vergleichen und den Halter finden, der den widersprüchlichen Anspruch berichtigen kann.

Quellen: RIPE-93-Originalstudie; offizielles Protokoll; RIPE-NCC-RPKI-Leitfaden; RIPE-Regeln für Route-Objekte.