BGP Lookup & RPKI Check
Ein BGP-Looking-Glass zeigt, wie das globale Routing-System ein IP-Präfix sieht — wer es originiert, wie breit es gesehen wird und ob sein Routenursprung durch eine ROA autorisiert ist. Geben Sie eine IP-Adresse, ein CIDR-Präfix oder eine AS-Nummer ein und lesen Sie die Antwort aus Live-Routingdaten, die weltweit gesammelt werden.
Zuletzt aktualisiert:
Ein Routing-Problem, das Sie laufend überwachen möchten? Kostenlos mit myeventwatch überwachen — Ablauf- und Ausfallwarnungen, keine Karte nötig.
Was ein BGP-Lookup wirklich prüft
Das Internet hat keine zentrale Karte. Jedes Netz — jedes autonome System, kurz AS — teilt seinen Nachbarn mit, welche IP-Präfixe es erreichen kann, die Nachbarn geben die Nachricht weiter, und die globale Routing-Tabelle ist schlicht die Summe dieser Ankündigungen, so wie Kollektoren rund um die Welt sie hören. Ein BGP-Lookup fragt diese Kollektoren, was sie gerade für ein Präfix hören: welches AS es originiert, also welches Netz behauptet, sein Zuhause zu sein, und welche Pfade der Verkehr dorthin nehmen würde. Das ist eine ganz andere Frage als die, wem der Block auf dem Papier gehört: Register sagen, wer ein Präfix ankündigen sollte; die Routing-Tabelle sagt, wer es gerade wirklich tut — und wenn beide auseinanderfallen, gehorcht Ihr Verkehr der Tabelle.
Die Sichtbarkeit ist das zweite Signal auf dieser Seite und fängt eine andere Problemklasse ab. Ein gesundes, gut angebundenes Präfix wird von fast jedem Kollektor-Peer gesehen; eines, das nur wenige sehen, ist entweder sehr neu, absichtlich lokal, oder es leckt oder wird gefiltert, wo es nicht sollte. Die hier gezeigte Zahl — wie viele RIS-Peers das Präfix von allen meldenden sehen — macht aus „Ist meine Route da draußen?“ eine Zahl statt einer Vermutung. Zeitstempel für erstes und letztes Sehen vervollständigen das Bild: Ein Präfix, das heute zum ersten Mal gesehen wurde, ist eine Änderung, kein Dauerzustand.
RPKI: Ist der Ursprung autorisiert?
Ankündigungen sind Behauptungen, und jahrzehntelang hinderte nichts ein Netz daran, jedes beliebige Präfix zu behaupten — aus Versehen, durch einen falsch getippten Filter oder absichtlich, bei einer Entführung. RPKI ist die Reparatur: Der Inhaber eines Präfixes veröffentlicht eine Route Origin Authorisation, eine ROA, die benennt, welche AS-Nummern es originieren dürfen und welche längste Präfixlänge sie ankündigen dürfen. Validatoren vergleichen jede Ankündigung mit diesen ROAs und markieren sie als gültig, ungültig oder unbekannt. Diese Seite zeigt dieses Urteil zusammen mit den ROAs selbst. Gültig heißt, eine ROA deckt genau diesen Ursprung. Ungültig heißt, eine ROA existiert, autorisiert aber nicht, was angekündigt wird — die klassische Signatur einer falsch ausgestellten Ankündigung oder einer echten Entführung — und sollte sofort untersucht werden. Unbekannt heißt, keine ROA deckt das Präfix: häufig, noch kein Fehler, aber eine offene Einladung, die der Inhaber schließen sollte.
Verwandte Tools: der DNS-Propagation-Checker, wenn der Name an verschiedenen Orten anders aufgelöst wird, der Port-Scanner, wenn die Route stimmt, aber der Dienst nicht antwortet, und der Begleitartikel BGP-Routen und RPKI prüfen mit einer durchgearbeiteten Anleitung, Pfade, Sichtbarkeit und ROA-Urteile zusammen zu lesen.
Datenquellen und Namensnennung: Die Routingdaten stammen von RIPEstat, der Daten-API des RIPE NCC, aufgebaut auf den RIPE-RIS-Kollektoren, die mit Netzen weltweit peeren und die Ankündigungen aufzeichnen, die sie hören; die RPKI-Validierung erfolgt mit Routinator gegen die Vertrauensanker der fünf Regionalregister. Routingdaten ändern sich minütlich, daher sind Ergebnisse eine Momentaufnahme zum Prüfzeitpunkt und werden nur kurz zwischengespeichert.
Die fünf Fakten, die diese Seite zeigt
| Ursprungs-ASN | Die Nummer des autonomen Systems, das das Präfix ankündigt — das Netz, das in der globalen Routing-Tabelle behauptet, sein Zuhause zu sein. |
| Angekündigt | Ob Kollektoren aktuell irgendeine Ankündigung für das Präfix hören; ein nicht angekündigtes Präfix ist aus dem öffentlichen Internet unerreichbar. |
| RIS-Sichtbarkeit | Wie viele RIPE-RIS-Kollektor-Peers das Präfix sehen, als Zahl von allen meldenden — nahezu vollständige Sichtbarkeit ist die gesunde Norm. |
| AS-Pfad | Die Folge autonomer Systeme, die eine Ankündigung bis zu einem Kollektor durchlaufen hat, von rechts nach links gelesen, vom Ursprung zum Kollektor. |
| RPKI-Status | Ob eine ROA die Ankündigung autorisiert: gültig heißt abgedeckt, ungültig, dass eine ROA existiert, aber diesen Ursprung oder diese Länge nicht erlaubt, unbekannt, dass keine ROA sie abdeckt. |
Häufig gestellte Fragen
Was kann ich eingeben — eine IP, ein Präfix oder eine ASN?
Alle drei. Eine einzelne IP-Adresse wird auf das Präfix abgebildet, das sie abdeckt, und dieses Präfix wird nachgeschlagen. Ein CIDR-Präfix wie 1.1.1.0/24 wird direkt nachgeschlagen. Eine AS-Nummer wie AS13335 liefert den Inhabernamen des Netzes, wie viele Präfixe es ankündigt, eine Auswahl davon und seine Zähler für Upstream-, Downstream- und eindeutige Nachbarn.
Mein Präfix wird als nicht angekündigt angezeigt. Was heißt das?
Kein RIS-Kollektor hört aktuell eine Ankündigung dafür, also hat das öffentliche Internet keine Route dorthin. Häufige Ursachen sind ein Router- oder Sitzungsproblem am Ursprung, eine von einem Upstream gefilterte Ankündigung, eine sehr frische Änderung, die sich noch nicht verbreitet hat, oder schlicht ein zugeteilter, aber ungenutzter Block. Prüfen Sie zuerst die BGP-Sitzungen des Ursprungsrouters und fragen Sie dann den Upstream, ob er das Präfix akzeptiert und weitergibt.
RPKI sagt ungültig. Wurde mein Präfix entführt?
Ungültig heißt, eine ROA deckt das Präfix ab, autorisiert aber die gesehene Ankündigung nicht — das Ursprungs-AS steht nicht auf der Liste, oder das angekündigte Präfix ist länger als die Höchstlänge der ROA. Die häufigste Ursache ist betrieblich, nicht böswillig: Ein neuer Ursprung oder eine spezifischere Ankündigung wurde ausgerollt, ohne die ROA zu aktualisieren. Ist die Ankündigung Ihre und beabsichtigt, korrigieren oder veröffentlichen Sie die ROA neu; ist das Ursprungs-AS überhaupt nicht Ihres, behandeln Sie es als mögliche Entführung und kontaktieren Sie dringend den Präfixinhaber und Ihre Upstreams.
Warum ist die Sichtbarkeit kleiner als die Gesamtzahl der Peers?
Manche Kollektoren peeren mit Netzen, die diese Route nie führen — ein nur regional angekündigtes Präfix, eines, das per Richtlinie gefiltert wird, oder eines, das so neu ist, dass es noch nicht jede Sitzung erreicht hat. Ein kleiner Fehlbetrag ist normal, besonders bei IPv6 und spezifischeren Präfixen. Sichtbarkeit nahe null bei einem Präfix, das global sein sollte, ist das Warnsignal: Die Ankündigung verlässt den Ursprung, verbreitet sich aber nicht.
Wie frisch sind die Daten, und werden sie zwischengespeichert?
RIPEstat aggregiert RIS-Kollektordaten laufend, und diese Seite liest sie zur Prüfzeit live über den Checker von sysosx, der ein Ergebnis nur kurz zwischenspeichert, um höfliche Anfragelimits einzuhalten — eine zwischengespeicherte Antwort ist als solche gekennzeichnet. Routenänderungen können Minuten brauchen, bis sie in Kollektordaten erscheinen, selbst wenn sie für echten Verkehr schon wirken; prüfen Sie daher kurz nach einer Änderung erneut, statt eine Momentaufnahme als endgültig zu nehmen.