Кратко

  • Агентство НАТО по снабжению и закупкам (NSPA) владеет блоком RIPE 193.168.8.0/21 независимого провайдерского пространства под сетевым именем NAMSA, зарегистрированным в Капеллене, Люксембург, и управляет им через собственную малозаметную автономную систему AS210872.
  • Блок разделён в глобальной маршрутизации: AS210872 анонсирует две младшие сети /24, тогда как POST Luxembourg (AS6661) анонсирует две другие сети /23 из того же зарегистрированного за NSPA пространства.
  • Расходящиеся счётчики префиксов агрегаторов (512 против 1024 адресов) оба верны в том, что измеряют: владение в реестре и анонсирование маршрута — разные факты.
  • Родительский блок /21 никогда не анонсируется как единый агрегат, поэтому вся история невидима, пока читатель не посмотрит на уровне учётной записи RIR.
  • Открытые вопросы остаются по живым аплинкам, валидности ROA одной сети /24 и отсутствию обратного DNS или размещённых доменов в данных зондов.

NSPA — логистическое подразделение НАТО: агентство альянса, предоставляющее логистические, закупочные услуги и услуги оперативной поддержки государствам НАТО и партнёрам, со штаб-квартирой в Капеллене, Люксембург, и преемник прежней NAMSA (NATO, Wikipedia). Правительство Люксембурга подчеркнуло роль агентства на приёме по случаю его 75-летия в марте 2024 года, назвав его центральным звеном логистической поддержки альянса (Gouvernement.lu).

Как выглядит сеть этой организации из публичного интернета? Ответ реестра на редкость чист. Учётная запись RIPE для NSPA владеет 193.168.8.0/21 как независимым провайдерским пространством IPv4, а также блоком IPv6 2a14:e480::/29, под автономной системой AS210872 (bgp.tools). Объект inetnum за этим пространством читается как 193.168.8.0 - 193.168.15.255, сетевое имя NAMSA, страна LU, статус ASSIGNED PI, сопровождается NSPA-MNT, NAMSA-AOET, RIPE-NCC-END-MNT, причём полномочия сопровождения маршрутов дополнительно делегированы AS6661-MNT и CEGECOM-LU-MNT (ipregistry).

Ответ маршрутизации более фрагментирован. bgp.tools показывает, что 193.168.8.0/24 и 193.168.9.0/24 анонсируются самой AS210872, тогда как 193.168.10.0/23 и 193.168.14.0/23 анонсируются AS6661 (POST Luxembourg), причём префикс IPv6 2a14:e480::/48 также исходит от AS210872 (bgp.tools). Представление ASN в CheerVision подтверждает половину с /24 для AS210872: 512 адресов IPv4 в двух сетях /24, сетевое имя NAMSA, реестр RIPE_NCC, статус ASSIGNED PI (CheerVision). Список префиксов Qrator Radar для этого ASN шире, включая 193.168.12.0/23 и 193.168.8.0/23 наряду с сетями /24, причём у /23 сильное распространение (~509/~498), а у /24 — низкие однозначные числа (Qrator Radar).

Другие агрегаторы режут ту же реальность иначе. ipregistry суммирует AS210872 как держатель 1024 адресов IPv4 в двух сетях /23 (193.168.8.0/23 и 193.168.12.0/23), с типом Government, выделено 3 апреля 2025 года и обновлено 27 апреля 2026 года (ipregistry). theipapi сообщает те же две сети /23 как префиксы этого ASN (theipapi). Тем временем bgp.he.net прямо заявляет, что родительский 193.168.8.0/21 — это выделение RIPE агентству NATO SUPPORT AND PROCUREMENT AGENCY и оно не видно в глобальной таблице маршрутизации (bgp.he.net) — важнейшая фраза для понимания всего остального.

Кажущееся противоречие между 512 и 1024 адресами рассеивается, как только владение в реестре отделяется от анонсирования маршрута. /21 — это факт владения: все 2048 адресов принадлежат NSPA в реестре. Анонсирование — это факт маршрутизации на каждый префикс: AS210872 анонсирует лишь часть собственного пространства, тогда как POST Luxembourg проносит две сети /23 пространства, зарегистрированного за NSPA, через интернет. Агрегаторы, сопоставляющие с ASN только анонсируемые префиксы, сообщают 512 адресов; те, кто сопоставляет выделенное в реестре пространство, сообщают 1024. Оба правы относительно разных объектов.

Механизм делегирования виден в объектах маршрутов. Объект маршрута для 193.168.14.0/23 несёт origin AS6661 с датой создания 2023-02-22, где bgp.he.net записывает POST Luxembourg как источник и NSPA как регистранта (bgp.he.net). Политика IRR в записи AS210872 называет AS6661 и AS6939 авторизованными аплинками (bgp.tools). Представление AS6661 у Whoer подтверждает сторону POST Luxembourg в этой схеме (whoer), а роль сопровождающего у CEGECOM отражена в записи оператора AS15965 для Люксембурга (ipgeolocation) — того же коммерческого оператора, что виден в Люксембургской точке обмена трафиком LU-CIX (bgp.tools).

Заметность намеренно низкая. Данные зондов IPinfo для /24 показывают ноль записей обратного DNS, ноль размещённых доменов и лишь два адреса, отвечающих на пинг, во всём диапазоне из 256 адресов — хотя сам префикс RPKI-валиден с ROA для NATO SUPPORT AND PROCUREMENT AGENCY (IPinfo). Robtex независимо помечает маршруты, исходящие от AS210872 (193.168.8.0/24, 193.168.9.0/24 и обе сети /48 пространства IPv6), как RPKI-валидные (Robtex).

Не всё сходится гладко. Qrator помечает 193.168.12.0/24 как RPKI/ROA Invalid с высокой степенью критичности и распространением около 96 (19,2%), при том что её агрегаты /23 валидны (Qrator Radar). Является ли это подлинным конфликтом ROA или устаревшим измерением — нерешённый вопрос. Запись aut-num, отражённая в whois-представлении Qrator, была создана 2025-04-03 и последний раз изменена 2026-04-27, с обезличенными контактными хендлами RIPE (DUMY-RIPE) и парой сопровождающих NSPA-MNT / NAMSA-AOET (Qrator whois).

Остаются открытые вопросы: анонсирует ли AS210872 агрегат /23 или только более специфичные /24 в живой маршрутизации; какие из заявленных аплинков (AS6661, AS6939, AS49624) действительно живы, а какие — устаревшая политика IRR; что говорит полный набор ROA; и почему данные зондов не показывают обратного DNS или размещённых доменов в сети, несущей трафик логистики альянса. Сторонние страницы со списками блоков подтверждают контекст /21 (third-party listing), а дополнительные зеркала воспроизводят запись ASN и профиль пиринга (PeeringDB, ipip whois).