Ein /24 leasen, von Anfang bis Ende: der operative Lebenszyklus für Eigentümer und Mieter

Die meisten Texte über den IPv4-Sekundärmarkt hören bei der Wirtschaftlichkeit auf. Doch der Teil, der tatsächlich entscheidet, ob ein Leasing funktioniert – oder für beide Seiten zu einem Support- und Reputationsproblem wird –, spielt sich in der Registry, im RPKI und im Abuse-Postfach ab. Statt abstrakt über den Markt zu sprechen, begleiten wir deshalb ein einzelnes /24 durch seine gesamte Lebensdauer: von einer ruhenden Zuteilung in einem RIPE-Eintrag über den Abschluss, auf die Leitung, durch ein Betriebsjahr und zurück zum Ende der Laufzeit.

Es gibt hier zwei Betreiber, und Sie sind wahrscheinlich einer davon. Der eine hält ein /24, das seit einer Umstellung auf IPv6 und CGNAT keinen Traffic mehr trägt – sauber, registriert, bezahlt, ohne Ertrag. Der andere gewinnt in diesem Quartal Kunden hinzu, hat keinen Adressraum mehr und steht vor einer RIPE-Warteliste, die ein einziges /24 nach 12 bis 24 Monaten Wartezeit verspricht. Das Leasing verbindet beide.

Phase 1: Vorbereitung

Seite des Eigentümers – ist der Block wirklich leasingbereit? Ein ruhendes Subnetz ist selten so sauber, wie sein Inhaber annimmt. Bevor es etwas einbringt, braucht es ein Audit – dieselbe Arbeit, egal über wen Sie leasen:

• Reputation und Blacklist-Historie. Prüfen Sie das Präfix gegen Spamhaus DROP und SBL, die gängigen DNSBLs und jeden historischen Missbrauch im Zusammenhang mit dem Bereich. Ein Block, der seit 2021 ruht, kann noch Einträge aus seiner früheren Nutzung tragen. Siehe unsere Hinweise zu IP-Reputations-Tools.

• Registry-Hygiene. Bestätigen Sie, dass inetnum, status:, Maintainer-Objekte und abuse-c aktuell sind und keine veralteten route:-Objekte auf ein Origin-AS verweisen, das den Adressraum nicht mehr ankündigt.

• RPKI-Status. Prüfen Sie, ob bereits eine ROA existiert und für welchen Origin – eine übrig gebliebene ROA aus der Zeit vor der Umstellung macht die künftige Ankündigung des Mieters ungültig, wenn sie nicht aktualisiert wird.

• Geolocation-Altlasten. Alte Geofeed-Daten oder Geo-Datenbanken Dritter verorten den Block womöglich noch dort, wo er nicht mehr ist – der Mieter spürt das sofort an falsch geolokalisierten Nutzern.

Nichts davon ist eine Hürde – es ist Vorbereitung. Aber es ist echte Engineering-Zeit, und wer sie überspringt, startet ein Leasing mit einem Mieter, der am ersten Tag keine Mails versenden kann.

Seite des Mieters – warum Sie hier sind. Die Warteliste ist keine Versorgungsquelle für ein Netzwerk, das jetzt wächst: ein /24, nur für LIRs, eine lange Schlange, keine Zeitgarantie. Die realistische Alternative ist CGNAT, das spürbare, kundenseitige Kosten verursacht und keineswegs kostenlos ist:

• Erschöpfung von Port-Blöcken bei Spitzenlast und EIM/EIF-Mapping, das eingehende Verbindungen und Peer-to-Peer-Anwendungen bricht.

• Abuse-Zuordnung, die nun für jede Meldung den Abgleich von Quellport und Zeitstempel mit NAT-Logs erfordert – eine Last, die mit der Kundenzahl wächst.

• Geteilte Reputation und Geolocation, bei der ein einzelner Kunde die Adresse für alle dahinter verschlechtert.

Geleaster Adressraum umgeht das: Auf der Leitung verhält er sich genau wie eigener – Sie kündigen das Präfix an, und das Routing behandelt es nicht anders. Der Unterschied liegt in den Unterlagen und im Vertrauensmodell.

Phase 2: Vertrag und Vertrauensmodell

Ein Leasing ist eine Autorisierung, kein Transfer. Der Eigentümer behält die Ressource in der RIPE-Registry; der Mieter erhält das Recht, sie anzukündigen. Zwei Dokumente halten das fest:

• Der Letter of Authorization (LOA) – die unterschriebene Erklärung des Eigentümers, dass die Organisation und das Origin-AS des Mieters das Präfix ankündigen dürfen. Upstreams, IXPs und Peers verlangen sie zur Begründung ihrer Filter, und viele verlassen sich weiterhin darauf, selbst wo RPKI eingesetzt wird.

• Der Leasingvertrag – Laufzeit, Preis, zulässige Nutzung, Abuse-Pflichten und was bei Vertragsverletzung oder vorzeitiger Beendigung geschieht.

Das Vertrauen geht in beide Richtungen. Der Eigentümer vertraut darauf, dass der Mieter den Block nicht auf eine Liste bringt oder etwas originiert, das Missbrauchsmeldungen auf den Namen und das AS des Eigentümers lenkt. Der Mieter vertraut darauf, dass der Eigentümer ROA oder LOA nicht mitten in der Laufzeit zurückzieht, denselben Adressraum nicht doppelt verleast und tatsächlich kontrolliert, was er angibt. Deshalb ist das Vorbereitungs-Audit auch für den Mieter wichtig: Prüfen Sie vor der Ankündigung die Routing-Historie des Präfixes unabhängig über RIPEstat und bgp.tools, statt der LOA blind zu vertrauen. Unser Sicherheitsleitfaden für Blockeigentümer behandelt die Seite des Eigentümers.

Phase 3: Das Präfix in Betrieb nehmen

Hier wird das Leasing real – und hier passieren die meisten technischen Fehler.

• ROA-Erstellung. Der Eigentümer legt als registrierter Inhaber eine ROA an, die die Origin-ASN des Mieters autorisiert – im RIPE NCC LIR Portal unter Resource Certification. Die Falle ist maxLength: Gleich der Präfixlänge gesetzt (eine /24-ROA mit maxLength /24), kann der Mieter nicht de-aggregieren; zu großzügig gesetzt, haben Sie spezifischere Präfixe autorisiert, die einen Hijack-Weg über More-Specifics öffnen. Für ein einzelnes /24 an einen Mieter sollte maxLength dem Präfix entsprechen, es sei denn, der Mieter hat einen genannten Grund, spezifischere Präfixe anzukündigen.

• IRR-Route-Objekt. Ein route:-Objekt im RIPE-IRR, das zu Präfix und Origin-AS des Mieters passt, damit Upstreams, die Filter aus IRR-Daten bauen, die Ankündigung akzeptieren.

• Die Ankündigung. Der Mieter konfiguriert das Präfix und originiert es aus dem autorisierten AS. Mit gültiger ROA ist es RPKI-valid; ohne IRR-Objekt und LOA verwerfen strenge Upstreams es trotzdem.

• Validierung. Beide Seiten bestätigen Verbreitung und RPKI-Gültigkeit – bgp.tools und RIPEstat für die Sichtbarkeit, Routinator oder eine Cloudflare-Prüfung für den Validierungsstatus. Der Eigentümer achtet auf unerwartete Origins für den Adressraum.

Die Registry-Schritte im Einzelnen beschreibt unsere Help-Center-Anleitung zur Konfiguration eines geleasten Subnetzes und der ROA.

Phase 4: Leben mit dem Leasing

Ein geleastes /24 ist für keine Seite ein Selbstläufer, und die Aufteilung der Verantwortung sollte im Vertrag ausdrücklich geregelt sein.

• Abuse und Reputation. Meldungen gehen an den eingetragenen abuse-c, der meist auf den Eigentümer verweist, obwohl der Mieter den Traffic kontrolliert. Beide Seiten brauchen einen definierten Ablauf: wer Meldungen erhält, wer prüft, wie schnell der Mieter handeln muss, was eine Sperrung auslöst. Ein Mieter, der den Block auf eine Liste bringen lässt, hat einen Vermögenswert beschädigt, der ihm nicht gehört; ein Eigentümer ohne Eskalationsweg führt die Korrespondenz mit Spamhaus.

• Geolocation. Neue Nutzer werden dort verortet, wo die großen Datenbanken den Block vermuten. Veröffentlichen Sie korrekte Geofeed-Daten (ein geofeed:-Verweis im inetnum gemäß den Geofeed-RFCs) und reichen Sie Korrekturen bei den großen Geo-Anbietern ein – ein laufender Abstimmungspunkt, keine einmalige Aufgabe.

• Monitoring. Laufende Prüfungen auf Abweichungen der RPKI-Gültigkeit, unerwartete Origins und neue Blacklist-Einträge. Eine abgelaufene ROA oder ein geänderter Upstream-Filter kann das Präfix ohne erkennbare Ursache teilweise unerreichbar machen.

Die operative Last hier – Onboarding, ROA-Lebenszyklus, Abuse, Reputation, Verlängerungen – ist die Substanz jedes Leasings, und es gibt mehr als einen Weg, sie zu tragen. Ein Eigentümer kann sie intern übernehmen, behält volle Transparenz und Marge, muss aber IPAM, Abuse-Desk und Registry-Arbeit als eigenen kleinen Betrieb aufbauen; er kann sie an einen Broker abgeben, was die tägliche Last abnimmt, meist aber Transparenz, Kontrolle über die Beziehung und Marge kostet; oder er nutzt eine verwaltete Plattform, die Beziehung und Wirtschaftlichkeit beim Eigentümer belässt und Tools und Compliance übernimmt.

Der Mieter hat eine parallele Wahl: geleasten Adressraum neben seiner eigenen Adressverwaltung führen oder ihn mit dem bündeln, was bereits sein Routing und Abuse-Handling abwickelt. Keine Option ist automatisch richtig – die Aufgaben sind dieselben; die Frage ist, wo die Last liegt.

Phase 5: Laufzeitende – Verlängerung, Rückgabe und Rücknahme

Leasings enden, und auch der Abschluss hat seine eigene Technik. Bei einer Verlängerung stimmen Sie den Ablauf der ROA mit den Vertragsdaten ab, damit das Präfix in der Lücke nicht RPKI-invalid wird. Bei der Rückgabe zieht der Mieter die Ankündigung zurück, der Eigentümer widerruft oder ändert die ROA und entfernt das route:-Objekt des Mieters, und die LOA wird aufgehoben – in dieser Reihenfolge, sonst entsteht ein Zeitfenster mit gültigem, aber nicht angekündigtem oder ungültigem, aber angekündigtem Zustand. Und der Teil, den Eigentümer unterschätzen: die Reputationsfolgen. Ein Block kommt mit der Reputation zurück, die der Mieter hinterlassen hat. Gut genutzt kommt er sauber zurück; andernfalls erbt der Eigentümer die Bereinigung, bevor er ihn erneut verleasen kann. Das ist das stärkste Argument dafür, dass die Abuse- und Sperrklauseln aus Phase 4 real und durchgesetzt sind und keine Floskeln.

Die dritte Position: selbst betreiben

Verfolgt man den Lebenszyklus bis zum Ende, stellt sich jedem Betreiber, der bereits Adressraum hält und Kunden bedient, eine Frage: Warum nur eine Partei auf der Plattform eines anderen sein, wenn man die Leasing-Beziehung unter eigener Marke führen könnte? Das geht – und der obige Lebenszyklus ist die Spezifikation dessen, was es braucht: IPAM, einen im großen Maßstab verwalteten Lebenszyklus für LOA und ROA, einen Abuse-Desk, der die Fristen für Meldungen einhält, Delisting- und Reputationsabläufe, Abrechnung, Verlängerungen und die Compliance, um dafür einzustehen. Nichts davon ist exotisch; alles davon ist dauerhaft, und es ist der Teil, der im Leasingpreis nicht auftaucht. Das ist die eigentliche Entscheidung zwischen Selbstbau und Partnerschaft – und Rechenzentren und Hosting-Anbieter, die ihren Mietern ohnehin Konnektivität bereitstellen und oft eigenen Adressraum halten, passen am deutlichsten dazu.

Was der Lebenszyklus zeigt

Der IPv4-Sekundärmarkt ist besser handhabbar, als sein Ruf vermuten lässt, aber die Arbeit ist real – und es ist Arbeit an Registry und Routing, nicht am Dealmaking. Ob Sie einen ungenutzten Block monetarisieren, leasen, was Sie in diesem Quartal brauchen, oder einen eigenen Leasingbetrieb führen: Die Technik ist dieselbe – saubere Einträge, gültiges RPKI, eine belastbare LOA, disziplinierter Umgang mit Abuse und ein sauberer Abschluss.

Machen Sie das richtig, verhält sich ein geleastes /24 wie jedes andere Präfix in Ihrer Tabelle. Machen Sie es falsch, haben Sie ein Reputationsproblem mit dem Namen eines anderen darauf. Bei der Wirtschaftlichkeit kalkulieren Sie mit aktuellen Marktdaten statt mit einer einzelnen Zahl – nicht der Preis, sondern der obige Lebenszyklus entscheidet, ob sich ein Deal lohnt.