Résumé

  • ARIN précise que /rest/net/NETHANDLE/routes ne renvoie que les objets de route du NET direct et n’inclut pas les sous-réseaux.
  • Le paramètre reassignments=true étend la recherche aux NET réaffectés en aval ; aucun des deux résultats ne constitue une mesure BGP en direct ni un verdict RPKI.

Un tiroir, pas toute l’armoire

Le piège tient dans la netteté de la réponse. Un opérateur interroge un handle NET et reçoit une collection vide. Dans un tableau de bord, le vide devient vite une conclusion : aucune route déclarée, aucun AS d’origine, peut-être aucun réseau actif.

La documentation d’ARIN dit pourtant exactement ce qui a été fouillé. L’appel /rest/net/NETHANDLE/routes rassemble les objets identifiés par le couple préfixe-origine pour le NET direct. Il ne fournit pas les sous-réseaux. La requête ouvre donc un tiroir d’enregistrement précis ; elle ne parcourt pas automatiquement tout l’arbre d’adresses placé en dessous.

Cette limite administrative peut masquer une réalité opérationnelle parfaitement ordinaire. Le détenteur d’une allocation directe peut avoir enregistré des réaffectations pour ses clients. Ces enregistrements enfants ont leurs propres handles, leurs propres organisations et, éventuellement, leurs propres objets IRR. La réponse parentale reste exacte, mais elle ne parle pas de ces objets-là.

Le paramètre qui change le périmètre

ARIN documente une seconde collection : /rest/net/NETHANDLE/routes?reassignments=true. Elle prend en compte le NET demandé et les NET de réaffectation situés en aval. Le paramètre ne rend pas chaque objet plus vrai ; il modifie l’ensemble des enregistrements susceptibles de figurer dans la réponse.

Dans les deux cas, ARIN exige qu’un objet soit visible et autorisé dans le système IRR. Ces mots doivent rester attachés à leur contexte. « Visible » ne signifie pas observé par l’ensemble du BGP mondial, joignable depuis chaque réseau ou porteur de trafic. « Autorisé » ne signifie ni titre juridique, ni contrôle matériel, ni validation cryptographique d’une annonce présente.

Les champs de la réponse confirment ce périmètre : type d’entrée, handle d’organisation, AS d’origine et préfixe. Il n’y a ni collecteur, ni chemin d’AS, ni heure d’observation, ni étendue de propagation, ni état de validation RPKI. L’interface n’est pas incomplète ; elle répond à une autre question.

Trois plans de preuve

RDAP décrit la hiérarchie d’enregistrement. Un objet réseau possède son propre handle et peut indiquer le parentHandle de son réseau parent. L’allocation directe et la réaffectation aval sont donc deux objets administratifs distincts, même lorsque leurs plages d’adresses sont emboîtées.

RPSL organise la déclaration de politique. La RFC 2622 donne à l’objet route une clé formée par le préfixe et l’AS d’origine. Ce couple peut alimenter des filtres et permettre plusieurs déclarations pour un même préfixe avec des origines différentes. Il ne transporte aucun paquet et ne démontre pas qu’un routeur annonce actuellement ce chemin.

La ROA appartient à un troisième plan. ARIN la présente comme un objet signé cryptographiquement par lequel le détenteur d’un bloc autorise un AS à en être l’origine. Une ROA valide renforce une conclusion d’autorisation. Elle ne transforme pas pour autant la collection IRR en observation BGP, et elle ne prouve pas que l’annonce existe au moment de la lecture.

Conserver la question avec la réponse

Une enquête solide note le handle, l’URL, les paramètres et l’heure de collecte. La liste directe répond à une question sur l’enregistrement direct. La variante avec réaffectations répond à une question plus large sur la hiérarchie enregistrée. Whois ou RDAP éclaire les liens parent-enfant. RPKI traite l’autorisation cryptographique. Des collecteurs datés montrent ce que certains observateurs BGP ont effectivement vu.

Si la première collection est vide, la bonne question est donc : les réaffectations faisaient-elles partie de la requête ? Si la seconde contient un objet, il faut encore demander à quel enregistrement il se rattache et quelle preuve indépendante établit son usage actuel. Le résultat reste utile tant que son périmètre reste dans la phrase qui le décrit.

Sources