Кратко

  • 20 января 2021 года в 16:57:35 UTC воспроизведённое обновление маршрутизации показало 11.0.0.0/8 под AS8003; 15 марта John Curran, обозначенный в сообщении как президент и CEO ARIN, написал в том же публичном списке: «The number resources remain assigned to the DoD».
  • 7 сентября 2021 года в 17:05 UTC 764 из 765 префиксов перешли на AS749 как источник анонса; транзит остался за Hurricane Electric, traceroute завершался на том же маршрутизаторе в Ашберне. Это смена источника, а не исчезновение адресов, и держатель записи не менялся.

20 января 2021 года в 16:57:35 UTC одно обновление маршрутизации вывело 11.0.0.0/8 в глобальную таблицу с путём AS, заканчивающимся на 6939 8003. Момент зафиксирован двумя независимыми воспроизведениями: технический разбор Stephane Bortzmeyer декодирует обновление RouteViews, а анализ Kentik воспроизводит то, что называет одним из самых ранних обновлений AS8003, — путь 1299 6939 6939 8003. Ни один из них не заявляет, что это была первая секунда в мире; оба говорят о собственном окне наблюдения.

Масштаб быстро перестал быть незаметным. Kentik приводит около 56 миллионов адресов-источников к концу января 2021 года и 175 миллионов уникальных адресов к середине апреля. Это измерения самого издателя в его собственном охвате, а не подсчёт этой редакции, но их достаточно, чтобы объяснить, почему давно молчавший блок заставил операторов поднять голову.

Публичный вопрос прозвучал 11 марта 2021 года. Сетевой оператор Siyuan Miao написал в списке NANOG, что 7.0.0.0/8, 11.0.0.0/8, 22.0.0.0/8 и более мелкие префиксы анонсируются под AS8003 с меткой GRSCORP, и спросил, авторизованы ли эти анонсы. От этого сообщения до первого воспроизведённого обновления — пятьдесят дней.

Через четыре дня заговорила сама регистратура. В том же публичном списке 15 марта 2021 года John Curran, обозначенный в сообщении как президент и CEO ARIN, написал: «The number resources remain assigned to the DoD». И объяснил механизм: анонс маршрутов к блоку не передаёт номерные ресурсы, а такой анонс вполне может быть обычной услугой, которую оператор оказывает клиенту.

Смешивать «тогда» и «сейчас» в одном чтении — значит ошибиться. 26 апреля 2021 года в воспроизведённом Bortzmeyer тексте WHOIS стоит строка Organization: DoD Network Information Center (DNIC), direct allocation, дата регистрации 1984-01-19, обновление 2007-08-22. Сегодняшнее чтение ARIN другое: 11.0.0.0/8 (NET-11-0-0-0-1, имя сети DODIIS) — прямое выделение United States Department of Defense (DoD), идентификатор организации USDDD, регистрация 1984-01-19, обновление записи 2025-08-27.

Все восемь блоков сегодня указывают на одного держателя: 7.0.0.0/8 (NET-7-0-0-0-1, DISANET7, 1997-11-24, обновление 2025-09-05), 22.0.0.0/8 (NET-22-0-0-0-1, DNIC-SNET-022, 1989-06-26), 21.0.0.0/8 (NET-21-0-0-0-1, DNIC-SNET-021, 1991-07-01), 26.0.0.0/8 (NET-26-0-0-0-1, DISANET26, 1995-05-01), 28.0.0.0/8 (NET-28-0-0-0-1, DNIC-NET-028, 1996-03-11), 30.0.0.0/8 (NET-30-0-0-0-1, DNIC-NET-030, 1991-07-01) и 33.0.0.0/8 (NET-33-0-0-0-1, DISN-IP-LEGACY, 1991-01-01).

Хронология со стороны маршрутизации приходит из других рук. Годовой обзор Geoff Huston в блоге APNIC числит AS8003 зарегистрированной за Global Resource Systems — карточка этой редакции в справочнике посвящена именно этой организации, чья операционная роль не подтверждена, — и датирует анонсы 11.0.0.0/8 и 22.0.0.0/8 20 января 2021 года, 33.0.0.0/8 — 7 апреля, а 21.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8 и 30.0.0.0/8 — 19–20 апреля.

Затем наступил перелом. 7 сентября 2021 года в 17:05 UTC все, кроме одного, из 765 префиксов, которые до того анонсировала AS8003, перешли на AS749 как источник анонса, и тот же анализ связывает AS749 с Министерством обороны. Наблюдаемые пути сменились с 6939 8003 на 6939 749, Hurricane Electric осталась единственным транзитом на этих маршрутах, а traceroute по-прежнему завершался на том же маршрутизаторе в Ашберне. Вывод автора сух: замена источника, а не исчезновение адресов.

От первого воспроизведённого анонса 20 января до массового перехода 7 сентября — 230 дней; от публичного сообщения 11 марта до того же перехода — 180 дней. За эти 230 дней ни один прочитанный этой редакцией материал не фиксирует смены держателя, и сентябрьский переход её тоже не принёс.

Это весь вывод, и это же его граница: префикс доказывает, кто анонсировал блок в конкретный момент; регистрационная запись несёт, кто отвечает за владение этим блоком. Путать одно с другим — значит принимать рабочий слой за слой правового титула. Достаточно одной смены источника анонса, чтобы фильтры, списки репутации и реестры активов, построенные на неверном слое, потеряли основание.

Что изменило бы эту классификацию, вполне конкретно: выгрузка истории регистратуры ARIN за 2021 год, покрывающая все анонсированные префиксы; документ о передаче, показывающий смену держателя; или документ Global Resource Systems, объясняющий, какую роль компания играет в отношении адресов Министерства обороны. Пока не появилось ни одного из трёх, запись, которая не сдвинулась, и есть аргумент.

Пробелы тоже нужно назвать. Эта редакция не получила историческую выгрузку ARIN за 2021 год, покрывающую все анонсированные префиксы; регистрационный документ уровня ASN для AS8003 не был прочитан в исходном виде; временные привязки опираются на опубликованные измерения, а не на самостоятельно восстановленный ряд истории маршрутизации; сырой архив MRT не декодировался. Момент 7 сентября — это массовый переход источника с явным исключением одного префикса, а не подтверждённое время отзыва каждого маршрута AS8003. DNIC и USDDD — наблюдения разных моментов одного и того же блока, и склеивать их в одну запись нельзя.

И ни один корпоративный документ, сайт или публичное заявление Global Resource Systems не был прочитан.