La valeur d’option de l’opérateur dans un préfixe inactif

Résumé

• La visibilité BGP mondiale n’est pas une mesure complète de l’utilisation d’IPv4. Les collecteurs de routes enregistrent les annonces reçues de leurs pairs ; ils ne révèlent pas chaque assignation interne, déploiement cloud préparé, dépendance contractuelle, plan de migration ou option de routage d’urgence.
• Un préfixe inactif peut avoir une véritable valeur d’option lorsqu’il donne à un opérateur un droit réalisable, mais non une obligation, d’activer de la capacité après une interruption de service, pendant une croissance de la clientèle ou lors d’un transfert entre réseaux. La valeur provient des délais, renumérotations et pertes de service évités, et non de la seule rareté.
• Ce même langage peut masquer de la rétention spéculative. Une réserve n’est crédible que si le détenteur peut identifier l’événement déclencheur, la taille de bloc exigée, l’état de préparation technique, le responsable opérationnel, la période de réexamen, une capacité alternative et une règle de désengagement si le besoin expire.
• Les corpus de politiques actuels n’instaurent pas une règle universelle selon laquelle tout bloc non routé serait récupérable. L’actuel contrat de services d’enregistrement d’ARIN précise expressément qu’ARIN n’a pas le droit, en vertu de ce contrat, de révoquer les ressources incluses pour défaut d’utilisation, cependant que les politiques de demande et de transfert de plusieurs régions continuent d’examiner les besoins démontrés ou projetés dans des circonstances définies.
• La documentation publique des fournisseurs de cloud et de sécurité démontre que des préfixes provisionnés peuvent être délibérément non annoncés entre deux usages. AWS prend en charge le provisionnement avant l’annonce, Google Cloud laisse les clients décider quand certains préfixes BYOIP sont annoncés ou retirés, et Cloudflare décrit l’annonce à la demande durant une attaque. Ces exemples établissent la possibilité opérationnelle, non la prévalence des réserves justifiées.
• Un examen d’utilisation rigoureux sépare l’observation du jugement. Il combine les enregistrements de registres, l’historique BGP, les preuves de gestion d’adresses, l’état de préparation du routage et de RPKI, les contrats, les jalons de migration et les tests de continuité d’activité, tout en protégeant l’architecture sensible.
• La Société des ressources numériques peut rendre cette distinction plus lisible en promouvant un profil de preuve portable pour les réserves opérationnelles et en défendant un examen procédural. Ses propres prises de position restent un plaidoyer en première personne ; elle ne devrait pas certifier la nécessité, fixer les prix du marché ou se substituer à un RIR, un auditeur ou un tribunal.

Le collecteur de routes voit une ombre, pas l’ensemble de l’actif

La statistique IPv4 la plus facile à produire est aussi l’une des plus faciles à surinterpréter. Prenez une allocation de registre, cherchez dans une table de routage une annonce couvrante, et appelez ce qui est absent « inutilisé ». La méthode est attrayante parce qu’elle est reproductible et publique. Elle peut repérer rapidement de grandes questions. Elle ne peut, à elle seule, déterminer si un opérateur a un motif défendable pour l’espace.

Le service d’information de routage RIPE explique clairement ses propres limites : les collecteurs de routes ingèrent les données BGP par le biais de sessions de peering. La plupart des collecteurs reçoivent des routes de pairs aux points d’échange où ils sont raccordés, tandis que les collecteurs multi-sauts élargissent l’éventail de perspectives. Les données qui en résultent sont inestimables pour l’étude du système de routage. Elles demeurent des observations issues de pairs entités, non un capteur universel au sein de chaque réseau.

Cette distinction a deux conséquences. Premièrement, l’absence d’un seul collecteur est une preuve plus faible que l’absence constatée sur un ensemble varié de collecteurs au fil du temps. Une route peut être filtrée, visible seulement pour certains pairs, représentée par un agrégat couvrant, ou annoncée brièvement à l’occasion d’un événement. Deuxièmement, même une absence totale de la zone publique sans défaut établirait seulement que le préfixe n’a pas été annoncé mondialement durant la fenêtre d’observation.

Elle n’établirait pas qu’aucune adresse n’a été configurée, qu’aucune migration de client n’en dépendait, qu’aucune interconnexion privée ne les utilisait, qu’aucune intégration cloud n’avait débuté, ou qu’aucun plan d’urgence testé ne les réservait.

Les travaux de CAIDA sur l’inférence de l’utilisation d’IPv4 sont parvenus à une conclusion méthodologique similaire depuis une autre direction. Ses chercheurs ont combiné des ensembles de données actifs et passifs hétérogènes car aucune source de mesure unique n’exposait toute l’activité des adresses. Cette étude a amélioré l’inférence ; elle n’a pas transformé l’inférence en décision de propriété. La mesure peut réduire l’incertitude. Elle ne supprime pas la nécessité de se demander quel état juridique et opérationnel est mesuré.

Le vocabulaire importe donc. « Non annoncé » devrait signifier que les observations BGP sélectionnées ne contenaient pas de route. « Non réactif » devrait signifier que les sondes sélectionnées n’ont pas suscité de réponse. « Non assigné » devrait décrire un fait de gestion d’adresses établi à partir d’enregistrements appropriés. « Non nécessaire » est un jugement sur les besoins futurs et les alternatives. « Abandonné » est une allégation concernant l’intention ou la conduite.

« Récupérable » est une conclusion en application d’une politique, d’un contrat ou d’une loi applicable. Passer du premier terme au dernier sans preuve supplémentaire n’est pas de la sauvegarde. C’est une erreur de catégorie.

La rareté a modifié le prix de l’attente

La période qui débute en 2010 est importante car le coût de remplacement d’un bloc IPv4 a fortement changé à ce moment-là. La Number Resource Organization rapporte que le pool central libre de l’IANA a été épuisé le 3 février 2011, lorsque les cinq derniers blocs /8 ont été alloués aux cinq RIR. L’épuisement régional a suivi selon des calendriers différents. ARIN indique que son pool libre s’est épuisé le 24 septembre 2015 et oriente désormais la plupart des demandes ordinaires vers des transferts, une liste d’attente, des pools réservés étroits ou IPv6.

Avant la rareté, un opérateur qui décidait de libérer de l’espace excédentaire pouvait raisonnablement s’attendre à en redemander plus tard selon les politiques en vigueur si la croissance revenait. Après la rareté, la réacquisition peut nécessiter un transfert négocié, un courtage, une diligence juridique, l’approbation du registre, une renumérotation, des vérifications de réputation et un calendrier incertain. Le détenteur n’a pas simplement cédé des adresses. Il a cédé un choix futur qu’il pourrait être coûteux de recréer.

C’est la source de la valeur d’option. Une option réelle est utile lorsque l’avenir est incertain, que la décision peut être différée et que le coût d’inverser une cession est significatif. Un opérateur qui détient un préfixe propre peut choisir plus tard de l’annoncer, de le diviser, de le déployer dans une nouvelle région, d’y migrer des clients, de l’utiliser lors d’une atténuation, de le louer dans les règles applicables ou de le transférer. Libérer le bloc éteint certains ou tous ces choix.

La rareté seule ne rend pas chaque choix précieux. Un /12 sans objet opérationnel plausible ne se justifie pas parce que les adresses sont chères. Une option sans chemin d’exercice réalisable, sans propriétaire, sans déclencheur et sans date de révision peut être une histoire racontée après coup. L’analyse doit relier un bloc particulier à une incertitude particulière et à une action crédible.

La bonne question économique n’est pas : « Ce préfixe pourrait-il être vendu ? » Presque tout actif rare transférable peut avoir un prix. Elle est : « Quelle perte de service, quel coût de migration ou quelle expansion manquée l’opérateur subirait-il s’il libérait le préfixe maintenant et rencontrait plus tard le besoin déclaré ? » La réponse peut être grande, petite ou nulle. Elle dépend de l’architecture de l’opérateur et de la substituabilité du bloc.

Aucune source publique ne fournit un dénominateur global pour les réserves inactives justifiées. Les jeux de données BGP comptent les routes observées, non les plans de continuité approuvés par le conseil. Les listes de transfert des RIR enregistrent les changements approuvés, non chaque décision de conserver un bloc. Les opérateurs publient rarement l’intégralité de leurs systèmes de gestion d’adresses IP, leurs tests de reprise après sinistre ou leurs prévisions de clientèle future. Les fournisseurs de cloud décrivent les fonctionnalités prises en charge, non les inventaires de réserves des clients.

Les affirmations selon lesquelles un pourcentage donné de l’espace non routé est du gaspillage, de l’assurance ou de la spéculation exigent donc une définition et des preuves que le dossier public ne fournit pas actuellement.

Quatre états identiques vus de l’extérieur

Imaginez quatre préfixes /20, aucun n’étant visible dans la table de routage publique un mardi après-midi.

Le premier appartient à un fournisseur qui a terminé son intégration avec un réseau d’atténuation. Les autorisations de route, les lettres d’autorité, les tunnels et les procédures sont en place. Pendant une attaque volumétrique, le fournisseur peut retirer sa route ordinaire et demander au réseau d’atténuation d’annoncer le préfixe. Le bloc est silencieux à la périphérie de ce fournisseur parce que sa valeur réside dans un chemin de réponse testé.

Le deuxième est affecté à un nouveau déploiement régional. Le matériel est commandé, deux contrats clients sont signés, les plans de sous-réseau sont approuvés et un fournisseur de cloud termine la validation. La date de mise en service annoncée est dans trois mois. Le préfixe ne produit pas encore de trafic, mais le libérer ferait dérailler un projet engagé.

Le troisième fait partie d’un programme de renumérotation. Les anciennes et nouvelles adresses doivent coexister le temps que les valeurs TTL DNS baissent, que les listes de contrôle d’accès changent, que les partenaires autorisent les nouveaux points de terminaison, que les certificats et licences soient mis à jour et que les équipements clients soient remplacés. Le bloc peut rester largement silencieux avant la bascule ou après l’écoulement du trafic, même s’il est essentiel pour le retour arrière.

Le quatrième a été alloué il y a des années. Le détenteur ne peut identifier ni une affectation en cours, ni un projet approuvé, ni une dépendance client, ni un test, ni un budget, ni un plan de route, ni une date de décision. Les dirigeants savent seulement que les adresses pourraient être utiles un jour et qu’elles ont pris de la valeur. C’est le candidat le plus évident à la libération, à la location ou au transfert.

Un instantané étiquette les quatre comme inactifs. Un audit devrait les étiqueter différemment : réserve de contingence, croissance engagée, chevauchement de migration et inventaire non étayé. La distinction n’exige pas que le registre gère les réseaux. Elle exige du détenteur qu’il produise des preuves proportionnées à la demande.

C’est aussi pourquoi un pourcentage d’utilisation binaire peut être trompeur. Si le premier fournisseur réserve un /20 agrégéable parce que le service d’urgence n’accepte que cette unité de routage, le comptage des interfaces configurées peut montrer une utilisation proche de zéro. Fragmenter le bloc parmi les clients ordinaires pourrait augmenter un ratio nominal tout en détruisant la conception de contingence. Inversement, un opérateur peut gonfler les enregistrements d’affectation sans créer de demande significative.

Une gestion efficace des ressources suit la fonction de service et la plus petite unité exploitable, non une occupation cosmétique.

La reprise après sinistre est un droit de changer de chemin

La résilience opérationnelle repose souvent sur des ressources délibérément inactives en conditions normales. Un générateur de secours n’est pas gaspillé parce qu’il ne produit pas d’électricité un jour ordinaire. Un deuxième centre de données n’est pas sans valeur parce que le trafic préfère normalement le premier. Les critères pertinents sont l’état de préparation, la nécessité et la proportionnalité.

Les réserves IPv4 peuvent jouer le même rôle. Un opérateur peut avoir besoin d’un bloc stable capable de migrer vers un fournisseur d’atténuation, un transporteur alternatif, une région de reprise ou une plateforme de remplacement sans changer les adresses visibles par le client. Le préfixe préserve l’identité tandis que la route change. Cela peut éviter des modifications DNS d’urgence, des caches de résolveurs périmés, des échecs de listes blanches partenaires et des dépendances de certificats ou d’applications liées aux adresses.

La documentation de Cloudflare relative à Magic Transit à la demande fournit un mécanisme concret. Elle décrit l’activation de l’annonce de préfixe durant une attaque et sa désactivation après l’incident. Sa documentation sur l’annonce dynamique explique séparément que les clients peuvent annoncer ou retirer des préfixes via une API ou un tableau de bord. Un préfixe retiré ne prouve pas que le client l’a oublié ; dans cette conception de service, le retrait peut être l’état normal souhaité.

AWS documente une capacité de migration connexe pour Bring Your Own IP. Un opérateur peut configurer les ressources AWS pour utiliser des adresses avant que la plage ne soit annoncée, puis cesser d’annoncer depuis l’emplacement existant et commencer à annoncer via AWS. Le mode BYOIP régional recommandé par Google Cloud sépare lui aussi le provisionnement de l’annonce et précise que le client décide quand annoncer ou retirer. Ce sont des descriptions de service de première main. Elles prouvent que les grandes plateformes modélisent délibérément un état provisionné mais non annoncé.

Elles ne prouvent pas que chaque route absente relève d’une telle conception. Elles ne divulguent pas combien de clients utilisent la fonction, à quelle fréquence le basculement réussit, combien d’espace reste réservé, ni si un détenteur donné a terminé les tests. Un détenteur invoquant la reprise après sinistre devrait donc montrer plus qu’un lien vers une page produit.

Un dossier de preuves défendable identifierait le service protégé, le préfixe, les origines primaire et alternative, les lettres d’autorité, le plan RPKI, l’état du tunnel ou de l’interconnexion, l’autorité de déclenchement, le temps de propagation attendu, le dernier test et la méthode de retour arrière. Il indiquerait si le préfixe est retiré partout ou annoncé depuis un site primaire en fonctionnement normal. Il consignerait les dépendances qui empêchent l’utilisation d’un bloc plus petit.

Le plan a aussi besoin d’un modèle de défaillance. Si la propagation de route peut prendre des minutes et que l’objectif de service exige des secondes, le préfixe peut ne pas offrir la protection revendiquée. Si une autorisation d’origine de route RPKI ne couvre que l’ASN normal, l’annonce d’urgence peut être invalide. Si le fournisseur d’atténuation n’accepte que les routes IPv4 /24 ou plus courtes, une réserve composée de fragments plus longs peut ne pas être annonçable mondialement. La valeur d’option se mesure après ces contraintes, pas avant.

La réserve de croissance achète du temps, mais les prévisions expirent

La croissance produit une option différente. Un réseau qui ajoute des abonnés, des régions, des services ou des cibles d’acquisition peut avoir besoin d’espace d’adressage contigu avant que chaque point de terminaison n’existe. La planification de la capacité précède nécessairement la demande. Si la politique ne reconnaissait que les adresses actives aujourd’hui, les opérateurs ne pourraient jamais construire en avance des clients de demain.

Les règles des RIR ont historiquement reconnu l’usage planifié. L’actuel NRPM d’ARIN inclut des circonstances où les organisations démontrent des besoins immédiats et projetés, et il utilise l’utilisation des avoirs existants comme critère pour certaines demandes supplémentaires. La politique de ressources d’APNIC indique que les demandes doivent être étayées par des estimations fondées sur le besoin futur immédiat et projeté, tandis que ses directives publiques d’éligibilité demandent à un primo-demandeur IPv4 de montrer un plan détaillé d’utilisation du bloc demandé dans un délai d’un an.

La politique de transfert RIPE préserve également un critère prospectif pour les transferts provenant de régions qui exigent une politique basée sur les besoins : le bénéficiaire fournit un plan d’utilisation d’au moins la moitié dans les cinq ans.

Ces règles diffèrent par leur portée et ne doivent pas être fusionnées en un seuil mondial unique. Une demande initiale auprès d’un pool libre ou réservé n’est pas la même chose qu’un transfert d’un avoir existant. Une ressource historique peut avoir un traitement contractuel différent d’une allocation récente. Une règle utilisée pour déterminer l’éligibilité à de l’espace supplémentaire ne devient pas automatiquement un pouvoir permanent de confisquer tout ce qui se trouve en dessous du seuil.

La logique partagée est plus étroite : la demande future peut être légitime lorsqu’elle est suffisamment détaillée pour être testée. Une réserve de croissance devrait être liée à une prévision de service, des engagements clients, un calendrier de site, un plan d’acquisition ou une architecture de transition. Le détenteur devrait expliquer pourquoi la capacité libre existante, IPv6, le NAT de grande échelle, la location ou un transfert ultérieur ne répondraient pas au même besoin avec un risque raisonnable.

Les prévisions se dégradent. Un plan approuvé en 2022 pour un lancement en 2023 ne peut rester une preuve suffisante en 2026 si le lancement n’a jamais eu lieu. L’opérateur devrait actualiser la probabilité, la date prévue et la taille du bloc. Si le projet est annulé, la réserve retourne dans la file des décisions de portefeuille. Si la demande arrive plus lentement, une partie du bloc peut être libérable sans sacrifier l’agrégation.

C’est là que le langage des options peut discipliner plutôt qu’excuser la rétention. Les options financières expirent ou perdent de la valeur à mesure que les hypothèses changent. Une réserve opérationnelle devrait aussi avoir des points de révision et des déclencheurs d’abandon. L’option est précieuse parce que la direction peut choisir ; une direction responsable doit effectivement reconsidérer le choix.

La migration exige un chevauchement, pas une pureté instantanée

La renumérotation est souvent discutée comme s’il s’agissait d’une édition de base de données. Dans un réseau vivant, c’est une séquence de dépendances. Les serveurs ont besoin de nouvelles interfaces. Les pare-feux et les listes de contrôle d’accès nécessitent à la fois les anciennes et les nouvelles valeurs. Les partenaires peuvent avoir des listes blanches manuelles. Les enregistrements DNS doivent changer et les caches doivent expirer. La supervision, la géolocalisation, les contacts abuse, le DNS inverse, les objets RPKI et les filtres de routes peuvent avoir besoin de mises à jour.

Les équipements clients peuvent échapper au contrôle immédiat de l’opérateur.

Pendant cet intervalle, de l’espace apparemment inactif peut se trouver d’un côté ou de l’autre de la bascule. Le préfixe de destination peut être configuré en préparation, autorisé dans RPKI et accepté par les fournisseurs amont avant que le trafic ne bascule. Le préfixe source peut rester annoncé ou prêt pour le retour arrière après que le flux principal est parti. Aucun des deux états n’est une occupation productive permanente. Les deux peuvent réduire le risque de migration.

Le guide BYOIP d’AWS rend le séquencement concret : configurer les ressources avant l’annonce, puis coordonner le retrait d’un site et l’annonce d’un autre pour minimiser les interruptions. L’instruction n’est pas une loi générale de la migration, mais elle expose le défaut de l’utilisation instantanée. La préparation a de la valeur avant que le trafic n’apparaisse.

La RFC 1918 fournit un rappel historique plus profond. Elle recommandait l’espace d’adressage privé en partie pour conserver l’espace globalement unique, mais elle avertissait aussi que passer d’un adressage privé à un adressage public peut imposer une renumérotation coûteuse. L’adressage privé est donc une alternative avec des compromis, non la preuve que chaque entreprise peut abandonner son espace public sans conséquence.

Une réserve de migration devrait être encadrée par des jalons : conception terminée, destination validée, double fonctionnement démarré, pourcentage de bascule client, fenêtre de retour arrière, retrait de l’ancienne route et disposition finale. Les retards devraient être justifiés. L’audit devrait demander si le chevauchement reste nécessaire et si le préfixe entier, plutôt qu’une partie plus petite, est requis.

La « migration » permanente n’est pas une catégorie défendable. Si le même projet apparaît année après année sans travail d’ingénierie, budget ou réduction des dépendances, sa valeur d’option devrait être ramenée vers zéro. Le détenteur peut toujours choisir de conserver l’actif pour des raisons d’investissement lorsque les contrats et les politiques le permettent, mais il ne devrait pas qualifier à tort ce choix d’utilisation opérationnelle imminente.

Le bloc n’est pas parfaitement divisible

Un audit qui compte les adresses individuellement peut recommander une optimisation techniquement destructrice. Les pratiques de routage, de filtrage et de registre fonctionnent avec des préfixes. La plus petite unité annonçable mondialement peut être bien plus grande qu’une seule adresse, et les politiques ou les contreparties peuvent imposer des tailles minimales de transfert ou d’annonce. La réputation et l’agrégation s’attachent également aux blocs, pas seulement aux points terminaux isolés.

Supposons qu’un opérateur ait besoin de 128 adresses pour un service de reprise. L’arithmétique suggère la moitié d’un /24. Les pratiques de routage mondiales peuvent rendre un /25 non fiable car de nombreux réseaux filtrent les routes plus longues que /24. L’opérateur peut avoir besoin du /24 entier pour préserver un chemin de basculement crédible. La moitié inutilisée n’est pas automatiquement du gaspillage ; elle peut être le coût indivisible pour obtenir la moitié utilisable.

Le même effet apparaît pour la croissance. Un /20 peut être divisé en /24, mais vendre des fragments alternés peut laisser un portefeuille plus difficile à agréger, gérer ou transférer. La géolocalisation et l’historique de réputation des clients peuvent différer selon les fragments. Les objets RPKI et de route doivent suivre. Un examen d’utilisation devrait tester une subdivision raisonnable, mais il devrait inclure les coûts de transaction et d’exploitation.

Cela ne justifie pas de conserver un bloc couvrant arbitrairement grand. Si une réserve /16 existe pour soutenir un service /24 et que le reste peut être séparé proprement, la charge de la preuve se déplace vers le détenteur. La bonne unité est le plus petit ensemble de préfixes qui préserve la fonction documentée avec un risque acceptable.

La valeur d’option peut donc être discontinue. Une adresse supplémentaire peut exiger de conserver une unité de routage entière. Un audit propre enregistre explicitement cette indivisibilité au lieu de la cacher derrière un pourcentage.

Les politiques des registres répondent à des questions différentes à des moments différents

Le débat devient confus lorsque trois moments sont traités comme un seul : recevoir des adresses, demander plus d’adresses et conserver des adresses déjà enregistrées.

À la réception, un RIR peut demander si le demandeur satisfait à la politique en vigueur. Les conditions de transfert d’APNIC exigent que les bénéficiaires d’espace IPv4 inutilisé ou excédentaire fournissent un plan d’utilisation détaillé. ARIN évalue les transferts avec bénéficiaire spécifié selon son NRPM. Ce sont des conditions d’entrée.

Lors d’une demande supplémentaire, un opérateur peut avoir à démontrer l’utilisation des avoirs antérieurs. Le NRPM d’ARIN stipule dans les cas pertinents que les organisations peuvent être éligibles à des blocs IPv4 supplémentaires en démontrant une utilisation à 80 % de l’espace alloué actuel. APNIC précise que l’utilisation de l’espace IPv4 historique est prise en compte lorsqu’un détenteur demande plus. Ces règles empêchent un demandeur d’ignorer l’inventaire disponible tout en cherchant des ajouts rares.

La conservation est distincte. La version 14.0 de l’accord de services d’enregistrement d’ARIN stipule qu’ARIN n’a pas le droit, en vertu de cet accord, de révoquer les ressources de numérotation incluses en raison d’un défaut d’utilisation par le détenteur. Cette clause ne protège pas contre la fraude, le non-paiement, les conduites illicites ni toute ressource hors champ de l’accord. Elle démontre pourquoi on ne saurait transformer un seuil d’allocation en règle universelle de confiscation permanente.

La politique de transfert de RIPE présente un autre modèle. Elle autorise un détenteur légitime à transférer des blocs complets ou partiels, impose des restrictions particulières, exige que le transfert soit reflété dans la base de données et publie les informations de transfert approuvées. La politique ne prétend pas déduire le gaspillage du silence BGP.

Ces exemples soutiennent une règle d’interprétation institutionnelle : identifier la politique exacte, l’accord, le statut de la ressource, la transaction et la date avant d’avancer une revendication de conservation. « Les RIR exigent l’utilisation » est une affirmation trop vague. Le test de nouvelle demande d’une région n’est pas le pouvoir de révocation d’une autre. Un bloc historique sans contrat actuel n’est pas nécessairement régi comme une allocation récente issue d’une liste d’attente.

La conservation demeure légitime. Les enregistrements de registre doivent être exacts, les demandeurs ne devraient pas obtenir un nouvel espace rare par des projections fausses, et les conditions de restitution définies par les politiques devraient être respectées. Mais la conservation est la plus forte lorsqu’elle est adossée à des règles claires ex ante et à des faits vérifiables, non lorsqu’un instantané de routage devient un pouvoir non écrit.

Un examen d’utilisation rigoureux comporte sept couches

La première couche est l’identité. Confirmer le préfixe exact, le détenteur enregistré, le statut de la ressource, l’accord applicable, l’historique de transfert et les organisations liées. Déterminer si l’entité qui opère le bloc est le détenteur, une filiale, un client, un preneur ou un fournisseur de services. Un actif apparemment inactif peut soutenir une autre entité dans le cadre d’un arrangement légitime ; il peut aussi se trouver dans une société dissoute dont les enregistrements sont périmés.

La deuxième est le routage. Examiner plusieurs collecteurs BGP sur une période définie, pas une seule table actuelle. Relever les annonces couvrantes et plus spécifiques, les ASN d’origine, les retraits, les fuites de route et les différences de visibilité. Indiquer les collecteurs et les dates. La preuve BGP doit être reproductible et décrite comme une observation.

La troisième est la gestion d’adresses. Examiner les assignations IPAM, les pools DHCP ou d’abonnés, les passerelles NAT, les services virtuels, le DNS inverse, les routes internes et les enregistrements clients selon le cas. Les détails sensibles peuvent être agrégés ou inspectés sous confidentialité. L’objectif est de distinguer l’absence de route publique de l’absence d’usage technique.

La quatrième est l’objet. Classer chaque segment réservé comme reprise après sinistre, croissance engagée, migration, obligation contractuelle, quarantaine technique, inventaire de vente ou détention non étayée. La catégorie ne devrait pas être choisie par le seul auditeur. Le détenteur fournit une demande et des preuves ; l’examinateur les teste.

La cinquième est l’état de préparation. Pour un bloc de contingence, tester si les routes, les ROA, les lettres d’autorité, les tunnels et les procédures fonctionnent. Pour la croissance, examiner les jalons, les budgets et les dépendances. Pour la migration, vérifier le double fonctionnement et les tâches de bascule. Une option théoriquement valable qui ne peut être exercée n’est pas une protection opérationnelle.

La sixième est la proportionnalité. Comparer la taille réservée avec l’unité minimale de routage et de service exploitable. Examiner l’espace alternatif, IPv6, la traduction, la location et une acquisition ultérieure, mais inclure les délais de basculement, la fragmentation, la réputation et les coûts de renumérotation. L’audit ne devrait pas supposer que le substitut visible le moins cher est opérationnellement équivalent.

La septième est la disposition. Chaque réserve reçoit une prochaine date de révision et une règle de résultat : conserver, réduire, activer, louer, transférer, restituer le cas échéant, ou enquêter. Un examen sans chemin de décision devient une mise en scène documentaire.

Cette structure permet à un examinateur d’être exigeant sans prétendre opérer le réseau. Elle crée aussi de la cohérence. Deux détenteurs faisant la même demande de reprise après sinistre devraient se voir demander des preuves comparables, même si leur architecture diffère.

Les preuves doivent être solides sans exposer le réseau

Les opérateurs résistent à juste titre à la publication d’une architecture détaillée de reprise après sinistre. Préfixes, fournisseurs de basculement, contacts d’activation, points de terminaison de tunnel et calendriers clients peuvent être sensibles sur le plan de la sécurité. Un bon audit n’oblige pas à verser tous les faits justificatifs dans le WHOIS public ou une liste de transfert.

Le modèle de preuve peut séparer une conclusion publique de la justification protégée. Un enregistrement public pourrait indiquer qu’un préfixe spécifié est conservé comme réserve de contingence à durée déterminée, a été examiné à une date indiquée et a une prochaine date de révision. Une annexe confidentielle peut contenir les schémas, tests, contrats et informations de contact. Un examinateur indépendant peut attester que les preuves ont satisfait à un standard publié sans les exposer.

Les empreintes cryptographiques peuvent préserver l’intégrité de documents datés, mais une empreinte ne prouve pas la véracité du document. RPKI peut montrer qu’un détenteur a autorisé une origine, mais un ROA ne montre pas une prévision de clientèle ni une décision du conseil. Les enregistrements de registre peuvent montrer le détenteur reconnu, mais ils ne révèlent pas chaque location ou assignation interne. Chaque type de preuve répond à une question limitée.

Le détenteur devrait aussi avoir le droit de corriger une erreur. Les mesures BGP peuvent manquer des routes. Les registres d’entreprise peuvent accuser un retard après une fusion. Un examinateur peut mécomprendre un déploiement privé. Avant une décision défavorable, l’opérateur devrait recevoir les faits observés, la règle appliquée et un délai raisonnable pour répondre. Si une décision ayant une portée importante subsiste, il devrait exister un appel indépendant ou une autre voie de recours.

La protection procédurale n’est pas un prétexte pour un report sans fin. Des délais peuvent être fixés. Les demandes de preuves peuvent être normalisées. Des mesures d’urgence peuvent traiter une fraude ou un problème de sécurité en direct. Le point important est que la rareté n’élimine pas la différence entre l’enquête et la conclusion.

RPKI révèle la préparation, non la consommation

RPKI est pertinent parce qu’un préfixe inactif peut avoir besoin de devenir routable rapidement. Une autorisation d’origine de route peut permettre à un ASN d’originer une longueur de préfixe spécifiée. Un opérateur qui prétend être prêt pour une urgence mais n’a pas de chemin d’autorisation exploitable peut avoir surestimé la valeur de sa réserve.

Pourtant, l’état ROA n’est pas l’utilisation. Un ROA valide peut exister pour un préfixe non annoncé. Un préfixe peut être annoncé sans ROA et apparaître NotFound plutôt qu’Invalide. Un ROA large peut autoriser des plus spécifiques qui n’apparaissent jamais. Révoquer un ROA peut être prudent après le retrait d’une route, mais un plan futur peut en nécessiter un nouveau.

L’audit devrait donc demander si la configuration RPKI correspond à l’option revendiquée. Pour un service normal actif-actif, les origines autorisées devraient refléter les routes prévues. Pour une atténuation à la demande, le plan d’origine normal et d’urgence devrait éviter les invalides accidentelles. Pour une migration, des autorisations qui se chevauchent peuvent être temporairement nécessaires et devraient être supprimées après la bascule.

Les fournisseurs de cloud et d’atténuation exigent souvent une validation de registre, des ROA ou des lettres d’autorité lors de l’intégration. L’achèvement de ces étapes prouve que l’activation est réalisable. Cela reste une preuve du fournisseur, non la démonstration que la taille du bloc entier est nécessaire ou que le plan a été testé.

RPKI impose aussi une obligation de sortie. Lorsqu’un préfixe est transféré, les anciennes autorisations et les objets de route ne devraient pas subsister indéfiniment. Un détenteur qui conserve de l’espace inactif devrait maintenir son état de sécurité au lieu de considérer l’inactivité comme une exemption d’hygiène. La valeur d’option dépend d’une capacité propre à l’exercice ; des autorisations périmées réduisent cette valeur et peuvent créer des risques pour les autres.

L’option peut être évaluée sans inventer un prix de marché

Aucune formule unique ne produira une valeur monétaire défendable pour chaque réserve. Les données d’entrée sont privées et incertaines. Une décision pratique peut néanmoins être structurée.

Commencez par les scénarios d’exercice. Estimez l’intervalle de probabilité d’une attaque, d’un lancement régional, d’une acquisition ou d’une migration forcée sur l’horizon de révision. Ne déguisez pas la spéculation en pourcentage précis. Un scénario bas, médian et haut peut être plus honnête qu’une décimale.

Estimez ensuite la conséquence si l’opérateur manque du bloc : interruption de service, délai de transfert d’urgence, attrition de clients, main-d’œuvre de renumérotation, nouveau matériel, pénalités contractuelles et expansion perdue. Séparez les coûts que le préfixe évite effectivement des coûts généraux d’incident qu’il ne peut changer.

Ensuite, estimez le coût de détention : frais de registre, contrôles internes, maintenance de sécurité, produit de vente abandonné, coût de financement et risque de baisse du marché. Incluez l’opportunité de louer ou de transférer seulement là où elle est réalistement disponible selon la politique et le contrat.

Enfin, testez les substituts. IPv6 pourrait-il supprimer le besoin ? Une location à la demande pourrait-elle fournir rapidement un espace propre équivalent ? Un préfixe plus petit pourrait-il fonctionner ? Un basculement basé sur DNS pourrait-il remplacer la portabilité d’adresse ? Le fournisseur pourrait-il réserver de la capacité contractuellement sans détenir les adresses ? Chaque substitut modifie la valeur incrémentale de l’option.

Le résultat est une fourchette de décision, non une référence universelle. Un réseau de paiement régulé avec des listes blanches partenaires codées en dur peut rationnellement conserver plus de capacité de continuité qu’une campagne web éphémère derrière un CDN managé. La comparaison devrait porter sur les alternatives réalisables du détenteur, non entre des activités sans rapport.

Les prix de transfert publics peuvent renseigner sur le coût d’opportunité, mais ils sont incomplets. Les cotations des courtiers peuvent refléter des prix demandés plutôt qu’exécutés. Les journaux de registre ne divulguent pas la contrepartie totale, les cessions-bails, les remises de réputation ou les frais de transaction. Aucun taux de rendement global pour une réserve opérationnelle inactive n’est disponible. Un examen qui appliquerait un rendement inventé par adresse à chaque bloc créerait une fausse précision.

Trois décisions mises en œuvre

Considérons un FAI régional détenant un /18. Il annonce un /19 pour ses abonnés actuels et conserve l’autre /19 pour un second marché. Le plan de croissance dispose de licences, de contrats de fibre et d’un budget d’équipement, mais le lancement a glissé deux fois. L’audit ne devrait pas immédiatement qualifier la réserve de gaspillage. Il devrait comparer la nouvelle date de lancement, les dépenses engagées, les prévisions d’abonnés et l’unité de routage minimale. Si le plan reste financé et à court terme, la conservation peut être proportionnée.

Si l’entrée sur le marché a été abandonnée, une option de taille /19 sans déclencheur devrait évoluer vers un transfert, une location ou une réserve plus petite.

Considérons un opérateur de cloud disposant d’un /24 intégré chez un fournisseur de DDoS à la demande. Le préfixe est normalement annoncé depuis l’opérateur, pas absent mondialement, mais la route du fournisseur d’atténuation est retirée. Un collecteur qui voit la route de l’opérateur qualifierait l’espace d’actif ; un collecteur centré sur le réseau d’atténuation pourrait qualifier ce chemin d’inactif. L’audit devrait évaluer l’annonce alternative, le ROA et l’historique de test, non compter deux fois les mêmes adresses.

Considérons maintenant une entreprise qui détient un /16 hérité et le dit réservé pour des acquisitions. Elle n’a réalisé aucune acquisition en dix ans, ne peut nommer une classe de cibles, utilise la RFC 1918 en interne et n’a aucun modèle d’intégration nécessitant des adresses publiques. L’option est large mais faible. La rareté et les fusions-acquisitions hypothétiques n’établissent pas la nécessité opérationnelle de 65 536 adresses.

L’entreprise a peut-être la liberté contractuelle de conserver le bloc, mais un rapport d’utilisation honnête devrait classer la majeure partie comme inventaire stratégique non étayé plutôt que comme reprise après sinistre.

Ces cas montrent pourquoi l’issue n’a pas besoin d’être la confiscation. L’audit peut améliorer les décisions même là où aucune autorité ne peut imposer la libération. Les conseils d’administration, les prêteurs, les membres et les acheteurs potentiels tirent avantage à savoir si la valeur est opérationnelle, spéculative ou mixte. Une classification transparente peut conduire à des transferts volontaires sans transformer un auditeur en souverain.

Garde-fous contre la rétention spéculative

L’argument en faveur de la valeur d’option échouera si chaque détenteur peut invoquer un avenir invérifiable. Cinq garde-fous maintiennent le concept borné.

Premièrement, la spécificité. Le détenteur identifie le bloc, l’objet, le déclencheur et le décideur responsable. « Besoin futur » seul est insuffisant.

Deuxièmement, la faisabilité. Les étapes techniques, contractuelles et de sécurité nécessaires à l’exercice sont connues et substantiellement préparées. Un plan qui exige une route impossible ou un service indisponible n’a pas de valeur opérationnelle présente.

Troisièmement, la proportionnalité. La taille de la réserve reflète la plus petite unité exploitable augmentée d’une marge justifiée. L’agrégation est pertinente mais pas absolue.

Quatrièmement, le temps. Chaque demande est assortie de jalons et de dates de révision. Le retard fait évoluer la charge de la preuve.

Cinquièmement, les alternatives. Le détenteur explique pourquoi un transfert à la demande, la location, IPv6, le NAT, un pool de fournisseur ou un bloc plus petit l’exposerait à un risque inacceptable. L’explication peut être qualitative lorsque les prix ou les probabilités ne sont pas disponibles, mais elle doit être concrète.

Ces garde-fous protègent aussi les détenteurs légitimes. Si le standard est publié, un opérateur peut savoir à l’avance quelles preuves seront convaincantes. Il n’a pas à deviner si un membre du personnel considère la capacité de contingence comme moralement acceptable. Un examen objectif et léger vaut mieux que l’absence de contrôle et qu’un pouvoir discrétionnaire sans limite.

Ce que la Société des ressources numériques peut apporter

La Société des ressources numériques se présente publiquement comme une organisation de membres centrée sur les droits des détenteurs, la protection des activités et la participation à la politique de numérotation Internet. Ses documents plus récents sur la continuité des affaires soutiennent que la reconnaissance stable des ressources de numérotation importe pour les clients et les revenus. Cet accent est utile ici : une réserve IPv4 devrait être évaluée comme une partie d’un système opérationnel, non comme une ligne de base de données morte.

La SRN pourrait rendre cette contribution pratique en publiant un profil optionnel de réserve opérationnelle. Le profil pourrait contenir la plage de préfixe, la classe de réserve, la date de preuve, la prochaine révision, l’unité minimale exploitable, l’état de préparation RPKI, le dépositaire des preuves confidentielles et le déclencheur de disposition. Il pourrait définir les termes de sorte que « non annoncé » ne devienne jamais silencieusement « abandonné ».

Elle pourrait aussi publier des cas types anonymisés : atténuation d’attaque testée, construction régionale retardée, renumérotation achevée, conservation indéfinie non étayée. De tels exemples aideraient les opérateurs et les registres à comparer les raisonnements sans divulguer les réseaux ni prétendre à un taux de prévalence.

La limite est essentielle. La FAQ, la charte et le site web de la SRN relèvent du plaidoyer en première personne. Ils n’établissent pas une neutralité indépendante, une autorité statutaire, une population de réserve auditée ou un régime de certification déployé. La SRN ne devrait pas déclarer un préfixe légalement possédé, contraindre à une mise à jour de RIR, approuver un transfert, évaluer un actif ou certifier qu’un plan de reprise fonctionnera. Son rôle le plus fort est d’améliorer les preuves, le vocabulaire et les attentes procédurales.

Un programme positif de la SRN associerait donc droits et maintenance. Les détenteurs cherchant une reconnaissance durable devraient maintenir à jour les données de contact, sécuriser RPKI et l’accès au registre, documenter les autorisations, examiner les réserves et libérer les demandes qui ont expiré. La protection des détenteurs est plus crédible lorsqu’elle inclut des devoirs de gestion qui peuvent être observés.

Une meilleure question de politique

Le débat sur les IPv4 inactives part souvent d’une mauvaise question : « Pourquoi quiconque devrait-il être autorisé à conserver des adresses inutilisées ? » Cette formulation présuppose le fait décisif.

Une meilleure séquence serait : Qu’a-t-on observé ? Quel type d’utilisation ou de réserve est revendiqué ? Quelle règle régit ce détenteur et ce bloc ? Quelles preuves étayent la revendication ? La taille du bloc est-elle proportionnée ? Quand la revendication sera-t-elle réexaminée ? Quelle mesure correctrice suit si les preuves sont insuffisantes ?

Cette séquence tient compte à la fois de la rareté et de la continuité. Elle rejette un droit permanent à de nouvelles adresses rares fondé sur des prévisions vagues. Elle rejette aussi la confiscation automatique sur la base d’un seul instantané de routage public. Elle peut soutenir une libération volontaire par le marché, un examen plus rigoureux des demandes et un enregistrement exact sans demander à un RIR de juger chaque stratégie d’entreprise.

Le design de la politique devrait maintenir distinctes l’entrée, l’expansion et la conservation. Les nouvelles allocations et les transferts fondés sur les besoins peuvent exiger un plan d’utilisation. Les demandes d’espace supplémentaire peuvent examiner l’inventaire antérieur. Les avoirs existants peuvent être régis par leurs contrats réels et des motifs de révocation définis. Un audit volontaire peut classer les avoirs non étayés même lorsque la récupération obligatoire n’est pas disponible.

Plus important encore, le design devrait récompenser la vérité. Si un opérateur peut admettre qu’un bloc est un inventaire stratégique plutôt que de prétendre qu’il porte du trafic vivant, l’enregistrement devient plus utile. Si une migration légitime peut être documentée sans crainte que le silence temporaire prouve l’abandon, l’ingénierie devient plus sûre. La gouvernance s’améliore lorsque les catégories correspondent à la réalité.

Observez l’exercice, pas seulement l’attente

Au cours des prochaines années, la preuve la plus utile viendra des résultats. Les préfixes à la demande se sont-ils activés lorsque les attaques se sont produites ? Les régions planifiées ont-elles été lancées ? Les migrations ont-elles libéré les anciens blocs comme prévu ? Les réserves réduites ont-elles été suffisantes ? L’espace volontairement libéré a-t-il atteint de nouveaux opérateurs ? Les enregistrements de registre et les objets RPKI ont-ils été mis à jour proprement après transfert ?

Ces questions peuvent produire un dénominateur au fil du temps, mais seulement si les catégories sont enregistrées de manière cohérente. Aujourd’hui, les données publiques ne révèlent pas combien de préfixes non routés sont adossés à des plans testés, combien de plans expirent, ni combien de blocs retournent à l’utilisation. Aucun taux ne devrait être inventé pour combler cette lacune.

Un préfixe inactif n’est donc ni innocent ni coupable. C’est un état non résolu. Parfois, c’est une clé de rechange onéreuse qui préserve une activité face à une défaillance. Parfois, c’est de la capacité qui se dirige vers des clients. Parfois, c’est un pont entre d’anciens et de nouveaux réseaux. Parfois, c’est simplement un actif que son détenteur préfère ne pas vendre.

La tâche d’un examen d’utilisation n’est pas de réduire ces choix à une étiquette morale unique. C’est d’identifier quelle revendication est étayée, quelle option demeure exerçable et quel récit a dépassé ses preuves. C’est un standard plus strict que le silence BGP, et plus juste.

Sources

• RFC 7020: The Internet Numbers Registry System- description faisant autorité de la hiérarchie des registres, de l’unicité et des objectifs d’enregistrement ; elle ne définit pas l’utilisation opérationnelle de chaque détenteur ni les droits légaux privés.
• NRO: Free Pool of IPv4 Address Space Depleted– enregistrement institutionnel primaire de l’événement du 3 février 2011 sur le pool libre de l’IANA ; il ne mesure pas l’utilisation ultérieure par les détenteurs.
• ARIN IPv4 Addressing OptionsetARIN Number Resource Policy Manual– règles et options régionales actuelles ; la politique d’ARIN n’est pas une règle mondiale pour les autres régions RIR.
• ARIN Registration Services Agreement, version 14.0– preuve contractuelle qu’ARIN n’a pas le droit, en vertu de cet accord, de révoquer les ressources incluses pour défaut d’utilisation ; la clause ne couvre pas tous les statuts de ressources ni tous les autres motifs d’action.
• APNIC Internet Number Resource Policies,APNIC eligibility guidanceetAPNIC transfer conditions– preuves régionales sur les besoins prévus, les avoirs antérieurs et les plans des bénéficiaires ; les documents ne créent pas de règle universelle de récupération post-allocation.
• RIPE Resource Transfer Policies, RIPE-807– règles actuelles de transfert et de mise à jour de l’enregistrement, y compris une condition de plan d’utilisation limitée pour certains transferts inter-RIR entrants ; elle ne traite pas tout l’espace invisible en BGP comme inutilisé.
• RIPE RIS route collector documentationetMRT data documentation– expliquent comment les observations BGP sont collectées auprès des pairs ; les données des collecteurs ne peuvent pas exposer toute utilisation privée, interne ou future.
• CAIDA: Lost in Space– recherche originale montrant la valeur des mesures actives et passives hétérogènes pour l’inférence de l’utilisation ; l’inférence reste sensible aux ensembles de données et aux définitions.
• AWS BYOIP onboardingetAWS BYOIP overview– preuves produit de première main pour les états de provisionnement, d’annonce et de retrait ; aucun nombre de clients ni taux de réussite n’est divulgué.
• Google Cloud BYOIP documentation– preuve de première main que certains préfixes provisionnés sont annoncés ou retirés au choix du client ; la documentation des fonctionnalités n’est pas un recensement des réserves inactives.
• Cloudflare Magic Transit on-demandetdynamic advertisement– preuves de première main pour l’annonce déclenchée par une attaque et contrôlée par API ; la disponibilité, la portée contractuelle et les limites de propagation varient.
• RFC 1918: Address Allocation for Private Internets– établit des alternatives d’espace privé et reconnaît le coût de la renumérotation ; elle ne montre pas qu’un détenteur particulier a besoin d’espace public en interne.
• NRS FAQ,NRS CharteretNRS business-continuity material– déclarations de première main sur les droits des détenteurs et le plaidoyer pour la continuité ; elles ne constituent pas une preuve indépendante du droit de propriété, une adjudication neutre ou une mesure de la performance des réserves.