Resumen

  • El bloque 193.168.8.0/21, registrado en RIPE NCC como espacio PI de NSPA (netname NAMSA), no se anuncia como un agregado único en la tabla global de enrutamiento; se divide entre el AS210872 y el AS6661 de POST Luxembourg.
  • Los agregadores publican recuentos de prefijos contradictorios para el AS210872 (dos /24 frente a dos /23); la discrepancia se disuelve al leer el bloque a nivel de cuenta RIR lu.nspa, donde la propiedad del registro y la originación de rutas son hechos distintos.
  • NSPA no ha hecho ninguna declaración pública sobre el AS210872 o su política de enrutamiento; todo lo que sigue se deriva de datos públicos de registro y enrutamiento.

La Agencia de Apoyo y Adquisiciones de la OTAN es el organismo de la alianza que proporciona servicios logísticos, de adquisición y de apoyo operacional a las naciones y socios de la OTAN. Tiene su sede en Capellen, Luxemburgo, y es la sucesora de la antigua NAMSA, según el resumen enciclopédico de la agencia. El Gobierno de Luxemburgo subrayó en marzo de 2024, con motivo del 75.º aniversario de la NSPA, su papel central en la logística de la alianza. Ese papel institucional tiene una huella técnica mínima pero legible en el sistema de direcciones de internet, y esa huella es el tema de este análisis.

El bloque de registro

La cuenta de registro lu.nspa en el nivel de titular de RIR según bgp.tools muestra una sola asignación PI IPv4: 193.168.8.0/21, es decir, 2.048 direcciones (512 utilizables tras descartar direcciones de red, difusión y puertas de enlace típicas, según la contabilidad habitual de bloques PI), junto con el espacio IPv6 2a14:e480::/29. El registro espejo del aut-num en Qrator Radar muestra que el objeto AS210872 se creó el 3 de abril de 2025 y se modificó por última vez el 27 de abril de 2026, con el organismo ORG-NSA90-RIPE y los mantenedores NSPA-MNT y NAMSA-AOET; los contactos administrativo y técnico aparecen redactados con el marcador DUMY-RIPE estándar de RIPE. La página del sistema autónomo en bgp.tools confirma el nombre NSPA, el mismo organismo y la misma pareja de mantenedores, y lista el sitio institucional nspa.nato.int.

La página de referencia del rango en ipregistry reproduce el objeto inetnum de RIPE: 193.168.8.0 – 193.168.15.255, netname NAMSA, descr "Capellen Luxembourg", país LU, organismo ORG-NSA90-RIPE, estado ASSIGNED PI, con los mantenedores NSPA-MNT, NAMSA-AOET y RIPE-NCC-END-MNT y una lista de mnt-routes que incluye AS6661-MNT y CEGECOM-LU-MNT. Esa lista de mantenedores de rutas es la primera pista de la estructura de delegación: el registro permite a terceros anunciar rutas dentro del bloque de NSPA. Una página de terceros que recoge el contexto del bloque /21 sitúa el mismo rango en su contexto de asignación.

Quién anuncia qué

El análisis de la delegación /21 en bgp.he.net es explícito: el bloque es una delegación RIPE asignada a NATO SUPPORT AND PROCUREMENT AGENCY (LU) y NO es visible en la tabla global de enrutamiento como un único agregado. Lo que es visible son sus fragmentos. En la vista a nivel de cuenta RIR, bgp.tools muestra 193.168.8.0/24 y 193.168.9.0/24 originados por AS210872, mientras que 193.168.10.0/23 y 193.168.14.0/23 son originados por AS6661, POST Luxembourg.

El registro del prefijo 193.168.14.0/23 en bgp.he.net atribuye ese bloque al origen AS6661 con el titular registrado NATO SUPPORT AND PROCUREMENT AGENCY, y muestra el objeto de ruta NAMSA mantenido por AS6661-MNT con fecha de creación del 22 de febrero de 2023 — notablemente anterior a la creación del objeto aut-num del AS210872 en abril de 2025. La página de ipregistry para 193.168.10.0/23 vía AS6661 corrobora el objeto de ruta 193.168.10.0/23 con origen AS6661, también creado el 22 de febrero de 2023, y señala que el registro del organismo se creó el 29 de noviembre de 2013 y se modificó por última vez el 13 de mayo de 2026.

La discrepancia de los agregadores

Aquí es donde las herramientas de agregación divergen. ipregistry resume el AS210872 con 1.024 direcciones IPv4 en dos /23 (193.168.8.0/23 y 193.168.12.0/23), tipo de AS "Government", registro RIPE NCC, asignado el 3 de abril de 2025 y actualizado el 27 de abril de 2026. theipapi reporta los mismos dos prefijos /23 para el organismo LU-NSPA-20250408. En cambio, CheerVision muestra para el AS210872 exactamente 512 direcciones IPv4 y dos prefijos: 193.168.8.0/24 y 193.168.9.0/24, con la red NAMSA y el estado ASSIGNED PI.

La reconciliación es el hallazgo interpretativo central de este artículo. Los agregadores que muestran los dos /23 están mapeando el espacio de la cuenta RIR a la ASN por contigüidad de registro; los que muestran los dos /24 informan de lo que el AS210872 realmente origina. La vista de prefijos de Qrator Radar sitúa a AS210872 originando 193.168.12.0/23, 193.168.8.0/23, 193.168.8.0/24, 193.168.12.0/24 y 193.168.9.0/24 más el prefijo IPv6 2a14:e480::/48 — y marca 193.168.12.0/24 como RPKI/ROA inválido con severidad alta y propagación de unas 96 (~19,2%), mientras que los /23 y los objetos de ruta figuran como válidos. Robtex registra el estado rpki-ov como válido para 193.168.8.0/24, 193.168.9.0/24, 2a14:e480::/48 y 2a14:e480:1::/48 bajo la vista de AS210872. La página del prefijo /24 en IPinfo atribuye 193.168.8.0/24 a AS210872 con ROA válido a nombre de NATO SUPPORT AND PROCUREMENT AGENCY y, reveladoramente, registra cero entradas RDNS, cero dominios alojados y solo dos direcciones con respuesta a ping en sus datos de sondeo.

La discordancia del ROA invalidado de 193.168.12.0/24 frente a los estados válidos de Robtex es una tensión sin resolver entre dos observadores independientes; puede reflejar un conflicto real de ROA o una medición desactualizada, y no puede resolverse con los datos públicos recopilados aquí.

La estructura de servicio

¿Por qué POST Luxembourg origina la mitad de los prefijos de una agencia de la OTAN? El registro de AS6661 en whoer lo identifica como el operador nacional luxemburgués, y bgp.tools lista la LU-CIX, el punto de intercambio de internet de Luxemburgo, como el centro de intercambio local donde el tránsito luxemburgués se consolida naturalmente. El operador regional CEGECOM (AS15965 según ipgeolocation) mantiene autoridad de rutas dentro del bloque según el mnt-routes del inetnum. La hipótesis de servicio es directa: una agencia de defensa con 512 direcciones y, aparentemente, poca infraestructura de red propia delega la conectividad de tránsito y la originación de rutas a los operadores con los que ya contrata conectividad. El peeringdb del AS210872, actualizado el 18 de agosto de 2026, permanece discreto sobre la política de interconexión. El espejo de whois en ipip reproduce el mismo objeto de registro sin información adicional.

La vista de la cuenta RIR en bgp.tools y la página del AS en bgp.tools muestran juntas la asimetría que este artículo quiere fijar: una cuenta de registro con /21 completo y /29 IPv6, y una ASN que origina solo una fracción. La propiedad del registro y la originación de rutas son hechos distintos, y confundirlos es exactamente lo que produce los recuentos de prefijos contradictorios en la superficie de los agregadores.

Qué significa esto

Para los lectores técnicos, el caso ilustra tres puntos generales. Primero, la infraestructura de defensa aparece en datos públicos de enrutamiento, pero fragmentada: ningún agregador muestra por sí solo la imagen completa de la cuenta RIR. Segundo, la delegación a operadores comerciales (aquí POST Luxembourg y, como mantenedor, CEGECOM) es el mecanismo mediante el cual el espacio de una agencia llega a la tabla global, de modo que las herramientas centradas en una sola ASN subestiman o sobrestiman sistemáticamente la huella. Tercero, los marcadores de higiene —ROA, RDNS, dominios alojados— son inconsistentes: IPinfo registra cero RDNS y cero dominios alojados en el espacio que atribuye a AS210872, mientras que Qrator marca un /24 como inválido por RPKI y Robtex reporta validez para las rutas principales.

Ninguna declaración pública de NSPA acompaña a cualquiera de estos hechos. La agencia no ha explicado la creación del AS210872 en abril de 2025, la relación comercial con POST Luxembourg ni la política de anuncios. La lectura razonable, apoyada en los datos de registro, es una transición de delegación de terceros hacia una ASN propia en curso desde 2025, con la mitad del bloque todavía en manos del operador nacional.