BGP-Rehoming: Warum sich die Origin-ASN eines IPv4-Präfixes ändert
Warum sich die Origin-ASN eines IPv4-Präfixes ohne Inhaberwechsel ändern kann und wie sich BGP, RPKI, IRR und Registerstand prüfen lassen.
Der Adressblock kann gleich bleiben, wenn sich das Netz ändert, das seine Route ankündigt. Routing, Autorisierung und Inhabereinträge erfüllen unterschiedliche Aufgaben.
Ein IPv4-Präfix kann seine Adressen behalten und dennoch scheinbar in ein anderes Netz wechseln. In BGP wird dieser Wechsel meist durch eine neue Origin-ASN sichtbar.
Das wird als BGP-Rehoming bezeichnet. Es handelt sich um eine Beobachtung des Routingzustands. Für sich genommen ist sie kein Beleg dafür, dass sich der registrierte Inhaber geändert hat, das Präfix in ein anderes Land gewechselt ist oder ein Adresstransfer stattgefunden hat.
Ausgangspunkt ist die Route
Wenn ein Route Collector 203.0.113.0/24 → AS64500 beobachtet, sieht er, dass AS64500 zu diesem Zeitpunkt die Route als Ursprungs-AS ankündigt. Erscheint dasselbe Präfix später als 203.0.113.0/24 → AS64550, hat sich die Origin-ASN geändert.
Der Begriff Origin-ASN bezeichnet hier die ASN am Ursprungsende des beobachteten AS-Pfads. Er darf nicht mit dem BGP-Attribut ORIGIN verwechselt werden, einem eigenständigen Attribut, das in RFC 4271 definiert ist.
Was aktuelle Daten zeigen
Bei einem Vergleich von Routing-Momentaufnahmen von Anfang 2025 und Anfang 2026 zählte APNIC 29.699 IPv4-Präfixe, deren Origin-ASN sich geändert hatte. Die Vergleichstabelle zu Transfers führt 1.991 Präfixe mit Rehoming auf, die in den Transferaufzeichnungen enthalten sind, und 26.722, die darin nicht vorkommen. Zusammen ergeben diese Zahlen 28.713, also 986 weniger als die angegebene Gesamtzahl der Präfixe mit Rehoming. Außerdem nennt die Tabellenbeschriftung Routingänderungen im Jahr 2024 und Transferprotokolle für 2023–2024, während der umgebende Text Änderungen im Jahr 2025 und Protokolle für 2024–2025 beschreibt. Die veröffentlichten Zahlen und Zeitangaben ergeben daher keine vollständig in sich schlüssige Jahresaufstellung.
Der Vergleich ist kein Beleg dafür, dass die Präfixe ohne zugehörigen Transfereintrag unzulässig übertragen wurden. Er zeigt, warum Routinghistorie und Registerhistorie nicht als ein und derselbe Datensatz behandelt werden dürfen. Viele legitime Netzänderungen erfordern keinen Wechsel des registrierten Inhabers.
Warum sich eine Origin-ASN ändert
Dafür gibt es mehrere übliche betriebliche Erklärungen:
- Ein Unternehmen wechselt den Transit- oder Hostinganbieter;
- Infrastruktur zieht in ein anderes Rechenzentrum oder Cloudnetz um;
- ein Kunde beginnt, Routen über seine eigene, neu erhaltene ASN anzukündigen;
- ein Unternehmensnetz wird zusammengeführt, aufgeteilt oder umstrukturiert;
- ein Inhaber überträgt das Routing an einen anderen Betreiber oder Hostinganbieter; oder
- die Routingarchitektur ändert sich, während die Zuordnung im Register unverändert bleibt.
Jede dieser Erklärungen braucht Belege. Die Route allein zeigt, was angekündigt wird, nicht, warum es sich geändert hat oder wer die Änderung autorisiert hat.
Rehoming und IPv4-Transfer beantworten unterschiedliche Fragen
Beim BGP-Rehoming lautet die Frage: Welche ASN kündigt dieses Präfix als Ursprungs-AS an?
Bei einem IPv4-Transfer lautet die Frage: Hat sich die anerkannte Zuordnung im Register geändert?
Beide Ereignisse können gleichzeitig eintreten. Sie können aber auch unabhängig voneinander stattfinden. Ein Inhaber kann den Anbieter wechseln, ohne die Ressource zu übertragen, und die Zuordnung im Register kann sich ändern, während derselbe Anbieter die Route weiterhin als Ursprungs-AS ankündigt.
BGP liefert Routingbelege, aber keinen vollständigen Nachweis der Verfügungsgewalt
Dass AS64550 ein Präfix als Ursprungs-AS ankündigt, beweist nicht automatisch, dass AS64550 dessen Eigentümer oder registrierter Inhaber ist, es übertragen darf oder dauerhaft zu seiner Ankündigung berechtigt ist. Eine Vermietung, eine Kundenvereinbarung, eine vorübergehende Migration oder ein Fehler könnten zur gleichen Beobachtung führen.
Um die Verfügungsgewalt zu verstehen, gleichen Sie die Route mit Registereinträgen, der betrieblichen Autorisierung und den Belegen ab, die das Verhältnis erklären. Das ist der praktische Grund dafür, die Kontrolle über das Routing, die Verfügungsgewalt im Register und geschäftliche Beziehungen auseinanderzuhalten.
RPKI ergänzt die Autorisierung
Eine Route Origin Authorization besagt, dass eine bestimmte ASN innerhalb des RPKI-Systems berechtigt ist, ein Präfix als Ursprungs-AS anzukündigen. RFC 9582 definiert das aktuelle ROA-Profil.
Wenn sich der Ursprung von AS64500 zu AS64550 ändert, sollte der beabsichtigte neue Zustand in der entsprechenden ROA abgebildet sein. Eine gültige ROA beweist nicht, dass die Route gerade angekündigt wird, und eine beobachtete Route beweist nicht, dass die Ankündigung autorisiert ist. BGP und RPKI liefern einander ergänzende Belege.
IRR und Reverse-DNS gehören zur Migration
Anbieter können IRR-Routenobjekte nutzen, um Filter zu erstellen. Kunden können auf Reverse-DNS, Freigabelisten, Monitoring und Reputationssysteme angewiesen sein. Eine Routingmigration kann daher mehrere aufeinander abgestimmte Aktualisierungen erfordern, selbst wenn der registrierte Inhaber derselbe bleibt.
Eine brauchbare Betriebsdokumentation hält jede Ebene fest: Registerstand, BGP-Ursprung, RPKI-Autorisierung, IRR-Richtlinien, Zuständigkeit für Reverse-DNS, Ansprechpartner und die interne Änderungsdokumentation.
Was bei einem Wechsel des Ursprungs zu prüfen ist
Vor der Änderung
- Die genauen Präfixe und die aktuelle Origin-ASN dokumentieren;
- die vorgesehene neue ASN und den autorisierten Betreiber bestätigen;
- ROAs, IRR-Objekte, Reverse-DNS und die Bereitschaft des Anbieters prüfen; und
- die aktuellen BGP- und Registerbelege sichern.
Während der Migration
- Die Ausbreitung der Routen und die Änderungen des Ursprungs aus mehreren Netzen beobachten;
- die RPKI-Validierung und Ankündigungen spezifischerer Präfixe prüfen; und
- darauf achten, dass die alte Route dort verschwindet, wo die Änderung dies erfordert.
Nach der Migration
- Überprüfen, ob die erwartete ASN das Präfix als Ursprungs-AS ankündigt;
- bestätigen, dass ROAs, IRR und Reverse-DNS dem beabsichtigten Zustand entsprechen;
- Registerdaten und Ansprechpartner prüfen; und
- die Belege sichern, damit der nächste Betreiber die Änderung nachvollziehen kann.
Bedeutet ein unerwarteter Ursprung ein Hijacking?
Nicht unbedingt. Er sollte untersucht werden, doch die erste Frage sollte lauten, ob die Änderung autorisiert war. Mögliche Erklärungen sind ein Anbieterwechsel, vorübergehende Wartungsarbeiten, Routing durch einen Kunden, eine neue ASN, die Übertragung betrieblicher Aufgaben, ein Konfigurationsfehler oder eine unautorisierte Ankündigung.
Ziehen Sie die BGP-Historie zusammen mit Registereinträgen, ROAs, IRR-Informationen, Anbieterunterlagen und internen Änderungsaufzeichnungen heran, bevor Sie eine Ursache benennen. Eine vorschnelle Einordnung kann das eigentliche betriebliche Problem verdecken.
Warum das für die Portabilität wichtig ist
IPv4-Ressourcen bleiben zunehmend über Wechsel von Anbietern, Rechenzentren, Unternehmensstrukturen, ASNs und betrieblichen Nutzern hinweg bestehen. Portabilität bedeutet daher mehr, als nur die unveränderte Weiternutzung einer Adresse zu erlauben. Die umgebenden Systeme müssen Eindeutigkeit, Autorisierung, korrekte Einträge, Sicherheit und Kontinuität gewährleisten, während sich das Netz verändert.
Die Kontinuität öffentlicher IP-Adressen hängt von dieser praktischen Ebene ab. DNS, Zugriffskontrollen, Freigabelisten von Partnern, VPNs und Monitoring können sämtlich von einer Adresse abhängen, selbst wenn die Register- und Routingänderungen wie reine Verwaltungsaufgaben wirken.
Entscheidend ist das funktionierende Netz
Registereinträge, RPKI, IRR-Objekte und BGP-Beobachtungen sind unterschiedliche Instrumente rund um ein laufendes Netz. Das Ziel eines legitimen Rehomings ist einfach: die erforderliche Routingänderung umsetzen und dabei sicherstellen, dass das Netz erreichbar bleibt, sein Routing autorisiert ist und sein Zustand nachvollziehbar bleibt.