摘要

  • NSPA 自有的 AS210872 于 2025 年 4 月在 RIPE NCC 注册，仅宣布 193.168.8.0/21 中的低段两个 /24（或其 /23 聚合），可见地址数为 512。
  • 同一 PI 块的上半部分 193.168.10.0/23 与 193.168.14.0/23 由 POST Luxembourg（AS6661）宣布，其路由对象创建于 2023 年 2 月，早于 AS210872 的注册。
  • 各聚合器对 AS210872 前缀数量的矛盾（512 对 1,024 个地址）源于对“注册持有”与“路由发起”两类事实的混同；在 RIR 账户层面阅读即可消解分歧。
  • CEGECOM 持有部分维护者权限，NSPA 本身未就其路由政策发表任何公开声明。

一个 512 地址的联盟网络

北约支持与采购局（NSPA）是联盟的后勤与采购机构，总部设在卢森堡卡佩伦，为成员国及伙伴提供后勤、采购与作战支持服务（NATO；Wikipedia）。2024 年 3 月 26 日，卢森堡政府为该机构成立 75 周年举行招待会，副首相 Xavier Bettel 出席，并强调 NSPA 在联盟后勤支持中的核心作用（Gouvernement.lu）。

与这一机构分量相比，其在公共互联网上的地址足迹小得出奇：RIPE 注册记录显示，名为 NAMSA 的 inetnum 覆盖 193.168.8.0 – 193.168.15.255，即一个 /21，共 2,048 个地址，状态为 ASSIGNED PI，组织为 ORG-NSA90-RIPE，维护者为 NSPA-MNT 与 NAMSA-AOET（ipregistry）。整个 /21 作为单一聚合前缀并未出现在全球路由表中（bgp.he.net /21）。

分拆宣布：一半自有，一半托管

AS210872 是 NSPA 自己的自治系统。其 RIPE aut-num 记录创建于 2025 年 4 月 3 日，最近修改于 2026 年 4 月 27 日，维护者为 NSPA-MNT 与 NAMSA-AOET，联系人字段按 RIPE 惯例被隐藏为 DUMY-RIPE（Qrator whois）。bgp.tools 将其记为 NSPA，组织 ORG-NSA90-RIPE，网站 nspa.nato.int，IRR 政策指向 AS6661 与 AS6939（bgp.tools）。

在路由层面，RIR 账户视图给出了最清晰的图景：193.168.8.0/24 与 193.168.9.0/24 由 AS210872 自己宣布，IPv6 侧 2a14:e480::/48 亦然；而 193.168.10.0/23 与 193.168.14.0/23 则由 AS6661——卢森堡国家运营商 POST Luxembourg——宣布（bgp.tools RIR 账户）。193.168.14.0/23 的注册人为 NATO SUPPORT AND PROCUREMENT AGENCY，路由对象 NAMSA 由 AS6661-MNT 维护，创建于 2023 年 2 月 22 日——早于 AS210872 的注册近两年（bgp.he.net /23）。

同一 /23 的路由对象 193.168.10.0/23 也由 AS6661 于 2023 年 2 月 22 日创建，而 inetnum 的 mnt-routes 列出了 NSPA-MNT、NAMSA-AOET、AS6661-MNT 与 CEGECOM-LU-MNT，显示第三方维护者权限的存在（ipregistry）。CEGECOM 是卢森堡的网络运营商，与 LU-CIX 交换中心相邻的生态有关（ipgeolocation；bgp.tools LU-CIX）。

聚合器的分歧如何消解

不同聚合器对 AS210872 的地址数各执一词：CheerVision 显示 512 个地址、前缀为两个 /24（CheerVision）；ipregistry 则报告 1,024 个地址，落在 193.168.8.0/23 与 193.168.12.0/23 两个 /23 内（ipregistry）；theipapi 也列出这两个 /23，并给出组织号 LU-NSPA-20250408（theipapi）。

Qrator Radar 对 AS210872 列出了六个前缀，其中 193.168.12.0/24 被标记为 RPKI/ROA Invalid（高严重性，传播约 96，即 19.2%），两个 /23 为 Valid 且传播约 509/498，两个 /24 与 /48 的传播仅为个位数（Qrator prefixes）。Robtex 则确认 193.168.8.0/24、193.168.9.0/24、2a14:e480::/48 与 2a14:e480:1::/48 的 RPKI 状态为 valid（Robtex）。IPinfo 对 193.168.8.0/24 的记录显示其为 RPKI valid、ROA 持有人为 NSPA，但探测数据显示 0 条反向 DNS、0 个托管域名、仅 2 个可 ping 的 IP（IPinfo）。

关键的解释是：把注册持有所得的空间机械地映射到某个 ASN 上，会造成前缀计数分歧。只统计 AS210872 自己发起路由的来源，就得到 512；把注册分配也计入，就得到 1,024。注册持有与路由发起是两回事，第三方托管（POST Luxembourg 与 CEGECOM）正是连接两者的机制。AS6661 作为老牌卢森堡运营商的可见度也解释了为什么该机构的部分流量经由其网络（whoer AS6661）。

刻意低调的痕迹

多个独立信号指向这是一张刻意保持低调的网络：无反向 DNS、无托管域名、极少可探测地址（IPinfo）；AS210872 在 PeeringDB 上的页面最后一次更新是 2026 年 8 月 18 日，内容稀少（PeeringDB）；第三方镜像的 whois 数据与 RIPE 记录一致（ipip whois；第三方 /21 页面）。对任何一个只看单一 ASN 页面的读者来说，这张网络几乎不可见；只有把 RIR 账户、路由对象与托管关系放在一起，图景才完整。