Resumen

  • La consulta de 190.147.255.0 devolvió el bloque padre 190.144.0.0/14 y dos valores aut-num, AS14080 y AS10620. Es una proyección de autorización, no una observación de una ruta en vivo.
  • La instantánea RPKI contemporánea contenía cuatro VRP de cobertura. RIPE RIS observó AS10620 como origen de 190.147.255.0/24, y esa ruta concreta obtuvo estado ROV Valid.

Una mejora de mantenimiento creó una nueva frontera de evidencia

La sección 3.4 del manual de políticas de LACNIC establece que, cuando la información esté disponible, LACNIC incluirá en WHOIS el ASN de origen de los prefijos consultados. El texto, incorporado por la propuesta LAC-2021-1 e implementado el 28 de marzo de 2022, añade que el ASN puede extraerse del repositorio RPKI tomando el origen indicado en el ROA.

La modificación atacaba un problema razonable. Un valor descriptivo mantenido por el miembro podía quedar desfasado después de actualizar un ROA. Consultar RPKI elimina parte de esa doble administración. Pero también convierte el campo en una proyección de un conjunto de autorizaciones dependiente del tiempo.

Una proyección puede ser correcta sin ser autoexplicativa. Para usarla con rigor hace falta saber qué conjunto fue proyectado, qué regla seleccionó los valores y hasta cuándo conserva sentido.

Dos aut-num resumen cuatro VRP

A las 21:59:47 UTC del 19 de septiembre de 2026, una consulta directa a whois.lacnic.net por 190.147.255.0 devolvió el objeto asignado 190.144.0.0/14. La respuesta incluyó:

  • aut-num: AS14080
  • aut-num: AS10620

El ejemplo es importante porque la salida actual no redujo el caso a un solo ASN. No hay base para leer la primera línea como origen principal ni para afirmar que un valor individual sería necesariamente la única autorización.

La vista extendida de LACNIC Routinator, generada a las 21:52:52 UTC, mostró la estructura que quedó detrás de esas dos líneas para 190.147.255.0/24:

Prefijo VRP maxLength Origen autorizado
190.147.0.0/16 24 AS10620
190.147.0.0/16 24 AS14080
190.144.0.0/14 24 AS10620
190.144.0.0/14 24 AS14080

Cada VRP tenía además un URI de objeto ROA y ventanas de validez. WHOIS no mostró esos prefijos, los maxLength, el identificador temporal de la instantánea ni el vínculo con los objetos fuente.

Nada de esto demuestra que la respuesta WHOIS fuera errónea. Los dos ASN eran compatibles con el conjunto de autorización observado. La carencia es de trazabilidad: una lista plana no informa que había autorizaciones tanto en /16 como en /14, que ambas permitían específicos hasta /24, ni que dos orígenes requieren objetos ROA distintos.

El ASN autorizado y el ASN observado responden preguntas diferentes

La validación de origen no se ejecuta sobre una lista WHOIS. RFC 6811 define cada VRP mediante prefijo, longitud máxima y ASN de origen. Una ruta es Valid si al menos un VRP que la cubre también coincide en longitud y origen. RFC 9582 aclara la multiplicidad: un ROA identifica un AS autorizado; autorizar varios AS para los mismos prefijos exige varios ROA.

La observación BGP contemporánea añadió el dato que WHOIS no pretende proporcionar. La respuesta BGP-state de RIPEstat contenía 327 caminos observados para 190.147.255.0/24, todos terminados en AS10620. Al validar esa ruta, los dos VRP de AS10620 coincidieron. Los dos de AS14080 siguieron cubriendo el prefijo, pero quedaron clasificados como unmatched_as. El resultado final fue Valid.

Si la ruta concreta hubiera llegado con AS14080 como origen, también habría sido Valid con la misma instantánea. Se invertirían los grupos coincidentes y no coincidentes. Eso no significa que ambos AS estuvieran originando el /24 al mismo tiempo: significa que ambos estaban autorizados, mientras el punto de observación de RIPE RIS vio AS10620.

La cadena completa tiene cinco piezas y ninguna sustituye a la siguiente:

  1. el campo proyectado en el objeto WHOIS;
  2. el conjunto completo de VRP que cubren el prefijo;
  3. la tupla de prefijo, maxLength y ASN de cada autorización;
  4. el origen de la ruta observado en BGP;
  5. el resultado ROV calculado para esa ruta y esa instantánea.

Un recibo de proyección puede mantener la separación

No hace falta convertir WHOIS en un monitor BGP. Tampoco corresponde que LACNIC decida la política de encaminamiento de una red. Basta con adjuntar a la proyección un recibo pequeño y verificable.

El recibo debería identificar la consulta, su prefijo normalizado y el objeto de registro devuelto. Después debería enumerar todas las tuplas que alimentaron la proyección: prefijo VRP, maxLength y ASN. El conjunto debe quedar ligado al validador, la hora de generación, una sesión de caché o identidad equivalente, y un resumen criptográfico. Cuando sea prudente, puede incluir el URI o el resumen estable de cada ROA.

El resultado necesita además un estado explícito: vacío, único, múltiple, parcial o caduco. Una fecha de expiración o próxima actualización evita que una copia de la lista sobreviva indefinidamente a la autorización. Una referencia de sustitución conserva el historial sin fingir que el estado anterior nunca existió.

El recibo debe cerrar con un límite semántico: los ASN proyectados no son una observación BGP, no prueban que todos estén anunciando, no expresan preferencia y no ordenan aceptar una ruta. La observación del origen y el resultado ROV son pruebas separadas y específicas de una ruta.

Auditar una respuesta plural sin elegir un ganador

La salida actual de LACNIC ya preservó algo esencial: la pluralidad. El siguiente paso no consiste en escoger un ASN “principal”, sino en mostrar por qué los dos pertenecían al resultado.

Hoy, reproducir la interpretación exige unir WHOIS, Routinator y un colector de rutas. Un recibo no reemplazaría esos sistemas. Les daría una identidad de evidencia y una frontera temporal comunes.

El campo dice AS14080 y AS10620. El recibo añadiría los niveles /16 y /14, el maxLength 24, los objetos fuente y la regla de proyección. La observación BGP diría después que AS10620 apareció en la ruta, y ROV confirmaría que esa ruta coincidía con al menos una autorización. La utilidad de cada capa depende de que ninguna pretenda ser las demás.

Fuentes