Кратко

  • AS210973, автономная система венской компании DATAMATIX Datensysteme GmbH, полностью проверяема на канонических уровнях: распределение RIPE NCC от 30 июля 2021 года, два ROA на пять префиксов и австрийский Firmenbuch сходятся на одном имени.
  • Коммерческий зеркальный слой не сходится: Hurricane Electric перечисляет три IPv4-префикса и опускает 194.0.132.0/24, который включает снимок RIS от RIPEstat за 11 сентября 2026 года; Qrator Radar также его опускает; IRR Explorer NLNOG сообщает, что префикс вообще не виден в DFZ, несмотря на существующие объекты маршрутов и действительный ROA.
  • Метки зеркал приписывают префиксам имена, которые никакой канонический реестр не подтверждает: IPinfo показывает «Rapid Solution Development» и домен crashcars.at на 212.236.10.0/24, video-broadcast.at на 212.236.9.0/24, а Hurricane Electric называет лицом — «Clemens Schmikal» — держателем префикса.
  • Объекты маршрутов RIPE для обоих 212.236.x-префиксов обслуживаются AS8245-MNT — мантейнером Video-Broadcast GmbH, созданным 16 августа 2021 года: чужой объект-мантейнер стоит между DATAMATIX и её собственным анонсируемым пространством.
  • Вывод обобщается: реестровые записи и криптографические авторизации — доказательства особого, проверяемого рода; метки коммерческих зеркал — непроверяемые утверждения об этих доказательствах.

DATAMATIX Datensysteme GmbH — по меркам компаний, которые охватывает это издание, небольшая организация. Австрийский торговый реестр фиксирует GmbH с адресом Märzstraße 1/Top 2.7, 1150 Wien, зарегистрированную 18 октября 2003 года под номером Firmenbuch FN 240683x, где Michael Kastelic с той же даты является управляющим директором и единственным акционером; штатный капитал (Stammkapital) по зеркалу evi.gv.at составляет 36 000 евро, тогда как коммерческое зеркало Firmenabc для той же компании показывает 34 000 евро (https://www.evi.gv.at/f/240683x; https://www.firmenabc.at/datamatix-datensysteme-gmbh_HkT). Каталог продукции компании на datamatix.at описывает промышленные беспроводные системы передачи данных — оборудование, которое, как фиксировала предыдущая отчётность BTW, спроектировано так, чтобы работать без зависимости от публичных сетей (https://datamatix.at/impressum.html; https://btw.media/en/datamatix-as210973-operational-capability).

И всё же та же компания держит автономную систему AS210973, распределённую RIPE NCC 30 июля 2021 года, анонсирующую набор IPv4- и IPv6-префиксов под двумя Route Origin Authorisations, которые два независимых зеркала валидации rpki-client показывают идентично (https://console.rpki-client.org/AS210973.html; https://console-ams.rpki-client.org/AS210973.html). Объект aut-num указывает организацию ORG-DDG16-RIPE, имя DATAMATIX-AS, дата создания — 30 июля 2021 года, последняя модификация — 5 июня 2023 года, обслуживается мантейнерами RIPE-NCC-END-MNT и lir-at-datamatix-1-MNT (https://bgp.he.net/AS210973). Предыдущая отчётность BTW прошла по этой цепочке от начала до конца — от записи о распределении RIPE через Firmenbuch к операционному бизнесу (https://btw.media/en/datamatix-as210973-evidence-chain-closed). Эта цепочка закрыта; предмет данной статьи — другой.

Предмет этой статьи — слой дальше: десятки коммерческих сервисов перепаковывают канонический реестр для своих клиентов, и для AS210973 перепаковка заметно разошлась.

Сеть, о которой пять мониторов не могут договориться

Простейший вопрос: какие префиксы анонсирует AS210973? Каноническое доказательство — ROA — покрывает пять префиксов: 212.236.9.0/24, 212.236.10.0/24, 149.62.35.0/24, 194.0.132.0/24 и 2a10:fd00::/32 (https://console.rpki-client.org/AS210973.html; https://console-ams.rpki-client.org/AS210973.html). RIPEstat, собственная платформа данных RIPE NCC, перечисляет четыре IPv4-префикса против снимка RIS от 11 сентября 2026 года, отмечая, что сеть не видна в RIS как транзит-провайдер (https://stat.ripe.net/resource/AS210973).

Страница Hurricane Electric сообщает четыре originate-префикса — три IPv4 и один IPv6 — и опускает 194.0.132.0/24 целиком, предупреждая, что сеть анонсирует богонов, с датой обновления 26 июня 2026 года (https://bgp.he.net/AS210973). Qrator Radar за окно с 20 мая по 20 августа 2026 года перечисляет 2a10:fd00::/32, 149.62.35.0/24, 212.236.9.0/24 и 212.236.10.0/24 — снова без 194.0.132.0/24 — при статусе RPKI valid и 100% распространении для всего перечисленного (https://radar.qrator.net/as/210973/connectivity/prefixes).

Самое острое расхождение даёт IRR Explorer NLNOG, сверяющий BGP-наблюдения, RPKI и объекты маршрутов IRR префикс за префиксом. Для 194.0.132.0/24 он сообщает самое резкое заключение: объекты маршрутов существуют, ROA существует, но префикс не виден в DFZ — глобальной таблице маршрутизации. Иными словами, на вопрос, действительно ли этот префикс передаётся интернетом, IRR Explorer отвечает «нет», тогда как RIS-перечень RIPEstat — «да» (https://irrexplorer.nlnog.net/asn/AS210973; https://stat.ripe.net/resource/AS210973).

Это не ошибка данных в обычном смысле. Каждый монитор отвечает на слегка другой вопрос за слегка другое окно с разным порогом видимости. Расхождение само является доказательством: 194.0.132.0/24 — единственный префикс из ROA-набора AS210973, чьё присутствие в живой таблице маршрутизации не настолько устойчиво, чтобы пережить методологию каждого наблюдателя. Преднамеренный не-анонс, фильтрация выше по потоку или анонос настолько маргинальный, что основные точки наблюдения его пропускают, — публичный реестр этого не различает (https://irrexplorer.nlnog.net/asn/AS210973).

Та же сверка выявляет второе структурное наблюдение. Для 149.62.35.0/24 и IPv6-префикса 2a10:fd00::/32 IRR Explorer помечает объекты маршрутов как RPKI-invalid: объекты RIPE существуют одновременно с origin AS24953 и origin AS210973, тогда как DFZ показывает лишь один из них, а ROA авторизует только AS210973 (https://irrexplorer.nlnog.net/asn/AS210973).

Метки зеркал, которые не подтверждает ни один реестр

Глубже проблема проявляется, когда зеркала приписывают префиксам имена. Каноническая запись RIPE связывает AS210973 с ORG-DDG16-RIPE и, через перекрёстную ссылку на Firmenbuch, с DATAMATIX Datensysteme GmbH (https://bgp.he.net/AS210973; https://btw.media/en/datamatix-as210973-evidence-chain-closed). Коммерческие зеркала связывают те же префиксы с набором других имён.

На 212.236.10.0/24 IPinfo показывает идентификатор реестра «RSD-SUB1», домен ASN crashcars.at и приписывает перекрывающийся /16 к AS8245 Video-Broadcast GmbH (https://ipinfo.io/AS210973/212.236.10.0/24); страница Hurricane Electric для того же блока подтверждает origin AS210973 с держателем DATAMATIX Datensysteme GmbH, но префикс-держателем называет «Rapid Solution Development», и подтверждает, что менее специфичные аноносы 212.236.0.0/19, /18 и /16 идут от AS8245 (https://bgp.he.net/net/212.236.10.0/24). Отдельный запрос IPinfo адреса 212.236.10.1 несёт ту же схему атрибуции (https://ipinfo.io/212.236.10.1).

На 212.236.9.0/24 IPinfo показывает идентификатор «DATAMATIX-01» — ближе к истине — но в паре с доменом video-broadcast.at (https://ipinfo.io/AS210973/212.236.9.0/24); Hurricane Electric называет префикс-держателем лицо: «Clemens Schmikal» (https://bgp.he.net/net/212.236.9.0/24).

Ни одно из этих имён — Rapid Solution Development, crashcars.at, video-broadcast.at как атрибут префикса, Clemens Schmikal — не появляется в канонических объектах RIPE, воспроизведённых в сохранённых источниках. Что появляется в каноническом слое — это другой след третьей стороны: объекты маршрутов RIPE для обоих 212.236.x-префиксов созданы 16 августа 2021 года с интервалом в 27 секунд и обслуживаются AS8245-MNT, мантейнером Video-Broadcast GmbH (https://bgp.he.net/net/212.236.10.0/24; https://bgp.he.net/net/212.236.9.0/24). Отношение обслуживания реально и записано; метки зеркал — выводы происхождения неизвестного качества.

Откуда берутся метки? Разумное прочтение: движки атрибуции комбинируют всё, что могут собрать — исторические снимки WHOIS, обратный DNS, веб-домены, связанные с адресами, эвристики, переносящие соседа на смежное пространство. Video-Broadcast GmbH держит родительский /16 и анонсирует покрывающие менее специфичные префиксы, поэтому её домен «протекает» на суб-распределение DATAMATIX. Каждое отдельное допущение объяснимо; вместе они дают запись, где один /24 несёт три взаимно несовместимые атрибуции в двух зеркалах. Предыдущая отчётность BTW по 212.236.x зафиксировала именно такой разрыв: операционный контроль — AS210973, владение — не атрибутируемо ни одной стороной в каком-либо публичном реестре (https://btw.media/en/datamatix-as210973-prefix-attribution).

Структура аплинков, которую зеркала всё же улавливают

Данные о связности стоят на более твёрдой почве, потому что связность — наблюдаемый факт, а не вывод. Три аплинка несут маршруты AS210973: AS24953 NETPLANET (IPv4 и IPv6), AS8218 Zayo (IPv4) и AS8245 Video-Broadcast (IPv4); участие в известных точках обмена трафиком отсутствует (https://bgpthingy.xindi.eu/asn/210973; https://bgp.he.net/AS210973). Предыдущий анализ BTW показал, что AS8245 и AS24953 обе находятся под AS8218 в наблюдаемой топологии: каждый анонсируемый маршрут в итоге проходит одну и ту же агрегирующую инфраструктуру (https://btw.media/en/datamatix-as210973-entangled-upstreams). Данные зеркал это подтверждают: одни и те же три аплинка во всех источниках, а менее специфичные аноносы 212.236.0.0/16, /18 и /19 от AS8245 подтверждают, что два префикса DATAMATIX едут под покрывающим аноносом того самого оператора, чей мантейнер контролирует их объекты маршрутов (https://bgp.he.net/net/212.236.10.0/24; https://bgp.he.net/net/212.236.9.0/24). Ещё одна деталь: данные Hurricane Electric показывают объект маршрута RIPE для 212.236.0.0/19 от AS8245, созданный 17 мая 2026 года — недавнее добавление в покрывающую структуру, спустя пять лет после /24-объектов под ним (https://bgp.he.net/net/212.236.9.0/24).

Корпоративный реестр: одна компания, две цифры капитала

Корпоративный слой несёт свой урок расхождения. Зеркало Firmenbuch на evi.gv.at записывает Stammkapital 36 000 евро, управляющего директора и единственного акционера Michael Kastelic с 18 октября 2003 года и Prokurist Ing. Patrick Romberger, BSc с 23 сентября 2021 года (https://www.evi.gv.at/f/240683x). Коммерческое зеркало Firmenabc для той же компании показывает 34 000 евро (https://www.firmenabc.at/datamatix-datensysteme-gmbh_HkT). Обе цифры не могут быть одновременно актуальны; канонический реестр — авторитет, зеркала — снимки его в разное время. Паттерн идентичен маршрутизационному случаю в уменьшенном масштабе: каноническая запись существует, две перепаковывающие службы расходятся в её содержании, и только дисциплина обращения к первоисточнику разрешает вопрос.

Что ROA-набор доказывает и чего сознательно не доказывает

Два ROA — самые сильные криптографические утверждения в сохранённом наборе: один авторизует origin 212.236.9.0/24 и 212.236.10.0/24 с максимумом /24, другой — 149.62.35.0/24, 194.0.132.0/24 с максимумом /24 и 2a10:fd00::/32 с максимумом /32, все под RIPE Trust Anchor (https://console.rpki-client.org/AS210973.html; https://console-ams.rpki-client.org/AS210973.html). ROA доказывает, что держатель покрывающего ресурса подписал авторизацию, называющую AS210973 легитимным origin; он не доказывает владение адресным пространством в праве собственности — реестровые записи не являются adjudication-ами об активах (https://btw.media/en/datamatix-as210973-evidence-chain-closed). И он ничего не говорит об идентичности: ROA называет автономную систему, а не компанию.

Именно поэтому 212.236.x — самый острый тестовый случай. IRR Explorer сообщает их полностью согласованными: BGP origin 210973, RPKI 210973/24, объект RIPE 210973, «Everything looks good» (https://irrexplorer.nlnog.net/asn/AS210973). Но это те же два префикса, чьё владение не атрибутируемо и чьи объекты маршрутов сидят под чужим мантейнером (https://btw.media/en/datamatix-as210973-prefix-attribution). Читатель, принимающий сводку IRR Explorer за чистую монету, заключит, что пространство чистое; читатель, проследивший мантейнеры и /16-распределение, заключит, что пространство чистое на уровне origin-авторизации и не разрешённое уровнем ниже. Оба вывода верны — они отвечают на разные вопросы.

Атрибуция как нерешённая проблема на одном разобранном примере

Полная картина AS210973 по сохранённому набору:

Вторичные зеркала воспроизводят ту же картину: worldip, whois.ipip.net и ipgeolocation.io повторяют базовый профиль AS210973 с DATAMATIX Datensysteme GmbH и венским адресом (https://worldip.io/asn/210973; http://whois.ipip.net/AS210973; https://ipgeolocation.io/browse/asn/AS210973), canon.whisper.security дублирует набор префиксов (https://canon.whisper.security/asn/210973), а просмотр AS43855 и BigDataCloud дополняет картину соседних атрибуций (https://ipgeolocation.io/browse/asn/AS43855; https://www.bigdatacloud.com/network-lookup/212.236.9.0/24). Проблема не в том, что проверяемых слоёв нет, а в том, что слои, которые небрежный аналитик проверяет первыми, — именно те, что вероятнее всего ошибаются в идентичности. Эта инверсия — структурное наблюдение статьи, и оно не специфично для DATAMATIX: канонические записи бесплатны, но неудобны; зеркала отполированы, но выводны; и ничто в зеркальных продуктах не отмечает границу между этими двумя родами данных.

Предыдущая работа BTW спрашивала, что может доказать маршрутизационный след о бизнесе, и ответила: авторизацию, анонос и непрерывность, но не сервис и клиентов (https://btw.media/en/datamatix-as210973-operational-capability). Эта статья добавляет к ответу зеркальное измерение: след маршрутизации не доказывает и идентичность — а сервисы, построенные для того, чтобы делать данные маршрутизации читаемыми, в задокументированном случае приписывают тождества, которых в подлежащих записях нет (https://btw.media/ru/directory/datamatix).