Résumé

  • Le bloc d'espace PI 193.168.8.0/21, attribué par le RIPE NCC à l'organisation ORG-NSA90-RIPE de la NSPA, n'est jamais annoncé dans son intégralité : AS210872, le système autonome de l'agence, annonce la moitié basse du bloc, tandis que POST Luxembourg (AS6661) origine 193.168.10.0/23 et 193.168.14.0/23 depuis le même espace attribué.
  • Les agrégateurs qui ne voient que la moitié AS210872 rapportent 512 adresses ; ceux qui rattachent l'espace attribué au système autonome rapportent 1 024. La détention au registre et l'origine des routes sont deux faits distincts, et la délégation à des tiers est le mécanisme qui les relie.

L'agence derrière le préfixe

La NSPA est l'agence de logistique et d'acquisition de l'alliance, chargée de fournir des services de soutien, d'approvisionnement et de soutien opérationnel aux nations de l'OTAN et à ses partenaires, comme le décrit la page officielle de l'organisation. Son siège se trouve à Capellen, au Luxembourg ; elle est la successeure de l'ancienne NAMSA, selon Wikipedia. Le gouvernement luxembourgeois a souligné ce rôle lors d'une réception organisée le 26 mars 2024 par le Vice-Premier ministre Xavier Bettel pour le 75e anniversaire de l'agence, la décrivant comme un acteur central du soutien logistique de l'alliance, d'après le communiqué officiel. C'est cette institution, et non un fournisseur de cloud, qui se tient derrière le bloc d'adresses examiné ici.

Le compte RIR : la vue qui fait parler les chiffres

Le point de départ le plus révélateur n'est pas une page d'ASN mais le compte RIR lui-même. Le compte lu.nspa sur bgp.tools montre l'espace PI 193.168.8.0/21 attribué à l'organisation, l'ASN AS210872 et un bloc IPv6 2a14:e480::/29. Dans cette vue, 193.168.8.0/24 et 193.168.9.0/24 sont originés par AS210872, tandis que 193.168.10.0/23 et 193.168.14.0/23 sont originés par AS6661, et 2a14:e480::/48 est annoncé par AS210872. Autrement dit, un seul compte de registre alimente deux origines de routes différentes.

La délégation complète du bloc 193.168.8.0/21 sur bgp.he.net confirme qu'il s'agit d'une délégation RIPE attribuée à NATO SUPPORT AND PROCUREMENT AGENCY (LU) et qu'elle n'est pas visible dans la table de routage mondiale en tant qu'agrégat unique. Une page tierce recensant le bloc place le même /21 dans son contexte d'allocation, sans tracer les annonces réelles.

AS210872 : le système autonome de l'agence

Le système autonome lui-même est enregistré auprès du RIPE NCC sous le nom d'organisation ORG-NSA90-RIPE. Le profil AS210872 sur bgp.tools identifie l'as-name NSPA, indique deux préfixes IPv4 et un préfixe IPv6 originés, une politique IRR visant AS6661 et AS6939, des objets maintenus par NSPA-MNT et NAMSA-AOET, et le site nspa.nato.int comme référence. L'objet aut-num, tel que reflété par le miroir whois de Qrator, a été créé le 3 avril 2025 à 08:38:19 UTC, modifié pour la dernière fois le 27 avril 2026, avec les mainteneurs NSPA-MNT et NAMSA-AOET et des contacts admin-c/tech-c anonymisés en DUMY-RIPE, la rédaction standard du RIPE. Un miroir whois indépendant reproduit le même enregistrement.

Les descriptions de ce que l'ASN annonce varient selon les agrégateurs. CheerVision rapporte 512 adresses IPv4 avec les préfixes 193.168.8.0/24 et 193.168.9.0/24, le réseau NAMSA, pays LU, registre RIPE_NCC, statut ASSIGNED PI. ipregistry rapporte plutôt 1 024 adresses IPv4 dans deux /23 — 193.168.8.0/23 et 193.168.12.0/23 — avec un type d'AS « Government », un registre RIPE NCC, une allocation du 3 avril 2025 et une mise à jour au 27 avril 2026. theipapi liste les mêmes deux /23, l'organisation LU-NSPA-20250408, un enregistrement créé le 2 décembre 2013 et mis à jour le 16 avril 2025.

POST Luxembourg et la moitié haute du bloc

La moitié haute du bloc ne circule pas sous l'AS de la NSPA. ipregistry reproduit l'inetnum RIPE 193.168.8.0 – 193.168.15.255, netname NAMSA, descr Capellen Luxembourg, pays LU, organisation ORG-NSA90-RIPE, statut ASSIGNED PI, avec mnt-by NSPA-MNT, NAMSA-AOET et RIPE-NCC-END-MNT, et mnt-routes incluant NSPA-MNT, AS6661-MNT et CEGECOM-LU-MNT. L'objet de route 193.168.10.0/23 y est originé par AS6661 et créé le 22 février 2023, maintenu par AS6661-MNT ; l'objet d'organisation date du 29 novembre 2013 et a été modifié le 13 mai 2026. De même, bgp.he.net montre 193.168.14.0/23 annoncé par AS6661 (POST Luxembourg) avec comme titulaire NATO SUPPORT AND PROCUREMENT AGENCY, un objet de route NAMSA, origin AS6661, mnt-by AS6661-MNT, créé le 22 février 2023.

POST Luxembourg est le principal opérateur luxembourgeois ; sa vue ASN sur whoer situe l'opérateur, et sa présence d'échange au LU-CIX, l'Internet Exchange luxembourgeois, explique la capacité à porter des routes d'un client institutionnel national. La chaîne de maintenance implique aussi CEGECOM, opérateur de réseau luxembourgeois visible dans la vue de l'AS15965 sur ipgeolocation, dont l'autorité de mainteneur sur les objets de route du bloc (CEGECOM-LU-MNT) relie un tiers commercial local à l'espace d'une agence de défense.

RPKI, propagation et la limite de la preuve

Les données de validation ne sont pas unanimes. Sur Qrator Radar, AS210872 présente 193.168.12.0/23, 193.168.8.0/23, 193.168.8.0/24, 193.168.12.0/24, 193.168.9.0/24 et 2a14:e480::/48 ; le préfixe 193.168.12.0/24 est marqué RPKI/ROA Invalid (haute gravité) avec une propagation d'environ 96 préfixes vus (19,2 %), tandis que les /23 sont Valid avec une propagation d'environ 509 et 498, et que les /24 et le /48 restent à des chiffres à un chiffre ; les objets de route sont Valid. Robtex rapporte au contraire un état rpki-ov-state Valid pour 193.168.8.0/24, 193.168.9.0/24, 2a14:e480::/48 et 2a14:e480:1::/48. IPinfo attribue 193.168.8.0/24 à AS210872, valide en RPKI avec un ROA pour NATO SUPPORT AND PROCUREMENT AGENCY, registre RIPE, identifiant réseau NAMSA — et ses données de sonde montrent 0 enregistrement RDNS, 0 domaine hébergé et seulement 2 adresses répondant au ping.

La page PeeringDB de l'ASN 210872, mise à jour le 18 août 2026, existe mais ne documente aucune politique d'appairage publique détaillée. Cet ensemble de traces — pas de DNS inverse, pas de domaines hébergés, une empreinte d'appairage minimale — est cohérent avec un réseau de périmètre institutionnel exploité sobrement plutôt qu'avec un service commercial.

Pourquoi les agrégateurs se contredisent

Le désaccord apparent sur le nombre de préfixes se résout par le modèle d'annonce partagée. Les sources qui ne voient que la moitié originée par AS210872 comptent 512 adresses ; celles qui rattachent à l'ASN l'espace du registre comptent 1 024. Tous les sources s'accordent sur le netname NAMSA, le pays LU, le registre RIPE NCC et le statut ASSIGNED PI, et aucune ne montre le /21 annoncé comme un agrégat unique.

La distinction qui compte est celle entre la détention au registre et l'origine des routes : la première est un fait d'allocation, la seconde un fait opérationnel, et la délégation à des tiers — POST Luxembourg comme opérateur, CEGECOM comme autorité de mainteneur — est le mécanisme qui relie les deux.

Ce qui reste non résolu

Plusieurs questions n'ont pas de réponse publique : si AS210872 annonce l'agrégat /23 ou seulement les /24 plus spécifiques en production ; si AS6661 annonce les /23 supérieurs pour le compte de la NSPA en tant que fournisseur de services, et à quelles conditions commerciales ; lesquels des opérateurs amont signalés (AS6661, AS6939, AS49624) sont actifs et lesquels reflètent une politique IRR obsolète ; l'ensemble complet des ROA publiés, et si le 193.168.12.0/24 signalé invalide par Qrator reflète un conflit ROA réel ou une mesure périmée ; enfin, pourquoi l'espace de la NSPA ne montre ni DNS inverse ni domaines hébergés dans

les données de sonde.

La NSPA n'a fait aucune déclaration publique sur AS210872, sa politique de routage ou les annonces de POST Luxembourg ; toutes les observations ci-dessus proviennent de données de registre et de routage publiques, reproduites par des agrégateurs et non vérifiées directement dans ripe.db.