Was ist eine ASN? Ein Leitfaden für Entwickler
Eine ASN, oder Autonomous System Number, ist eine eindeutige Nummer, die ein Netzwerk identifiziert, das von einer einzelnen Organisation betrieben wird und im Internet eigene Routen ankündigt, etwa einen ISP, einen Cloud-Anbieter, eine Universität oder ein großes Unternehmen. Wenn Sie eine IP-Adresse nachschlagen, ist die ASN das Feld, das Ihnen sagt, zu welchem Netzwerk die Adresse gehört und wer es betreibt.
Was ein autonomes System ist
Das Internet ist nicht ein Netzwerk, sondern eine Sammlung unabhängig betriebener Netzwerke. Jedes dieser Netzwerke, ein autonomes System genannt, kontrolliert seinen eigenen Adressraum und seine eigene Routing-Richtlinie. Um Erreichbarkeitsinformationen auszutauschen, kommunizieren autonome Systeme mit ihren Nachbarn über das Border Gateway Protocol (BGP). Jedes System kündigt die IP-Präfixe an, für die es Datenverkehr zustellen kann, und jede Ankündigung enthält die ASN des Netzwerks, von dem sie ausgeht.
Die Netzwerke von Google haben ASNs, ebenso private ISPs, Mobilfunkanbieter, Content-Delivery-Netzwerke und Hosting-Unternehmen. AS15169 ist zum Beispiel auf Google registriert. Ein einzelnes Unternehmen kann mehrere autonome Systeme betreiben, und eine kleine Organisation mit einem einzigen Upstream hat oft keines und nutzt stattdessen die Nummer ihres Providers. ASNs waren ursprünglich 16-Bit-Zahlen, und der Nummernraum wurde auf 32 Bit erweitert, weshalb Sie sowohl kleine als auch sehr große ASN-Werte sehen.
Wer ASNs vergibt
ASNs werden hierarchisch vergeben. Die IANA übergibt Nummernblöcke an die fünf regionalen Internet-Registries, und die Registries weisen sie Organisationen in ihren Regionen zu:
- AFRINIC deckt Afrika ab.
- APNIC deckt Asien und den Pazifik ab.
- ARIN deckt die USA, Kanada und Teile der Karibik ab.
- LACNIC deckt Lateinamerika und Teile der Karibik ab.
- RIPE NCC deckt Europa, den Nahen Osten und Teile Zentralasiens ab.
Eine Organisation stellt bei ihrer Registry einen Antrag, meist als Mitglied oder über einen sponsernden Provider, und muss ihn in der Regel begründen, zum Beispiel mit dem Betrieb oder der geplanten Inbetriebnahme eines Multi-Homed-Netzwerks. Anforderungen und Gebühren unterscheiden sich zwischen den Registries, prüfen Sie daher die aktuelle Richtlinie der Registry, bei der Sie beantragen würden. Einige Bereiche sind für private Nutzung und Dokumentation reserviert und erscheinen nie im öffentlichen Internet.
Warum Entwickler sich dafür interessieren sollten
Eine IP-Adresse allein ist nur eine Zahl. Die ASN gibt ihr einen Besitzer, und das eröffnet mehrere praktische Anwendungen. Sie können Hosting- und Cloud-Netzwerke von privaten ISPs unterscheiden, was für die Bot-Erkennung und die Interpretation von Datenverkehr wichtig ist. Sie können Allow- und Block-Listen nach Netzwerk statt nach einzelnen Adressen abstimmen und missbräuchliches Verhalten nach Herkunft gruppieren, statt einer Adresse nach der anderen hinterherzujagen. Bei einem Vorfall macht die Erkenntnis, dass Dutzende Quellen dieselbe ASN teilen, aus einem zerstreuten Log ein Muster.
Die ASN-Abfrage bei ipto nimmt eine AS-Nummer wie AS15169 entgegen und liefert den registrierten Besitzer, den Organisationsnamen, das Land und die Anzahl der ihr zugeordneten IP-Bereiche, mit einer eigenen Seite für jede ASN, die ihre angekündigten Bereiche auflistet. Sie wird aus dem eigenen Routing- und Registry-Datensatz von ipto beantwortet, der täglich aktualisiert wird. In der Haupt-IP-Abfrage liefern die Felder asn und org dieselben Informationen für eine bestimmte Adresse, zusammen mit Flags wie is_vpn, is_datacenter und is_abuser.
ASNs, Sicherheit und ihre Grenzen
Die ASN ist eine nützliche Eingabe für die Reputationsbewertung, denn Netzwerke unterscheiden sich darin, wie gut sie ihre Kunden kontrollieren. Deshalb kombiniert die VPN-Erkennung Blocklisten mit ASN-Daten, und deshalb zeigen Rankings missbräuchlicher Netzwerke und der IP-Abuse-Checker, in welchem Netzwerk eine Adresse liegt. Ein schlechter Host ist besser handhabbar, wenn Sie den gesamten Bereich um ihn herum sehen, den Sie im IP-Range-Verzeichnis nach /8- und /16-Blöcken durchsuchen können.
Es hilft auch zu wissen, was eine ASN Ihnen nicht sagt:
- Sie beschreibt, wer ein Netzwerk betreibt, nicht wer eine einzelne Adresse darin nutzt. Eine Cloud-ASN umfasst Tausende unbeteiligter Kunden.
- Das Land ist das Registrierungsland, was nicht immer dem physischen Standort der Infrastruktur entspricht.
- Registry-Einträge können Übernahmen und Umstrukturierungen hinterherhinken.
- BGP selbst beruht auf Vertrauen. Ein Netzwerk kann Präfixe ankündigen, die ihm nicht gehören, was als Route Hijack bezeichnet wird, und die RPKI-Route-Origin-Validierung soll helfen, dies zu erkennen. Die RPKI-Abfrage prüft, ob die aktuell für eine IP angekündigte Route von einer gültigen ROA abgedeckt ist, und meldet gültig, ungültig oder nicht abgedeckt.
Zur weiteren Klärung des Besitzes liefert die IP-WHOIS-Abfrage über RDAP den strukturierten Registry-Eintrag für einen Block. Die kostenlose Stufe erlaubt 1.000 Anfragen pro Tag ohne Registrierung, und die API-Dokumentation listet die Endpunkte auf. Zu einem verwandten Konzept siehe was ein CIDR-Block ist, denn jede ASN kündigt ihren Adressraum als CIDR-Präfixe an.