¿Qué es un ASN? Guía para desarrolladores
Un ASN, o número de sistema autónomo, es un número único que identifica una red operada por una sola organización y que anuncia sus propias rutas en internet, como un ISP, un proveedor de nube, una universidad o una gran empresa. Cuando consultas una dirección IP, el ASN es el campo que te dice a qué red pertenece la dirección y quién la gestiona.
Qué es un sistema autónomo
Internet no es una sola red, sino un conjunto de redes operadas de forma independiente. Cada una de esas redes, llamada sistema autónomo, controla su propio espacio de direcciones y su propia política de enrutamiento. Para intercambiar información de alcanzabilidad, los sistemas autónomos hablan con sus vecinos mediante el Border Gateway Protocol (BGP). Cada sistema anuncia los prefijos IP a los que puede entregar tráfico, y cada anuncio lleva el ASN de la red que lo origina.
Las redes de Google tienen ASN, y también los ISP residenciales, los operadores móviles, las redes de distribución de contenido y las empresas de alojamiento. AS15169, por ejemplo, está registrado a nombre de Google. Una misma empresa puede operar varios sistemas autónomos, y una organización pequeña con un único proveedor ascendente a menudo no tiene ninguno y usa el número de su proveedor. Los ASN eran originalmente números de 16 bits, y el espacio se amplió a 32 bits, por lo que se ven valores de ASN tanto pequeños como muy grandes.
Quién asigna los ASN
Los ASN se asignan jerárquicamente. IANA entrega bloques de números a los cinco registros regionales de internet, y los registros los asignan a organizaciones de sus regiones:
- AFRINIC cubre África.
- APNIC cubre Asia y el Pacífico.
- ARIN cubre Estados Unidos, Canadá y partes del Caribe.
- LACNIC cubre América Latina y partes del Caribe.
- RIPE NCC cubre Europa, Oriente Medio y partes de Asia Central.
Una organización presenta su solicitud a su registro, normalmente como miembro o a través de un proveedor patrocinador, y por lo general debe justificarla, por ejemplo operando o planeando operar una red con varias conexiones a proveedores (multihomed). Los requisitos y las tarifas difieren entre registros, así que consulta la política vigente del registro al que acudirías. Algunos rangos están reservados para uso privado y documentación y nunca aparecen en internet público.
Por qué deberían importarte a ti como desarrollador
Una dirección IP por sí sola es solo un número. El ASN le da un propietario, y eso abre varios usos prácticos. Puedes distinguir las redes de alojamiento y de nube de los ISP de consumo, algo importante para la detección de bots y para interpretar el tráfico. Puedes ajustar las listas de permitidos y bloqueados por red en lugar de por direcciones individuales, y agrupar el comportamiento abusivo por origen en lugar de perseguir una dirección cada vez. Durante un incidente, descubrir que decenas de orígenes comparten un ASN convierte un registro disperso en un patrón.
La búsqueda de ASN de ipto toma un número de AS como AS15169 y devuelve el propietario registrado, el nombre de la organización, el país y el número de rangos IP atribuidos a él, con una página dedicada para cada ASN que enumera sus rangos anunciados. Se responde a partir del propio conjunto de datos de enrutamiento y registros de ipto, actualizado a diario. En la consulta principal de IP, los campos asn y org te dan la misma información para una dirección dada, junto con indicadores como is_vpn, is_datacenter e is_abuser.
Los ASN, la seguridad y sus límites
El ASN es una entrada útil para la reputación, ya que las redes varían en lo bien que vigilan a sus clientes. Por eso la detección de VPN combina listas de bloqueo con datos de ASN, y por eso los rankings de redes abusivas y el verificador de abuso de IP muestran en qué red se encuentra una dirección. Un host malo es más accionable cuando puedes ver todo el rango que lo rodea, algo que el directorio de rangos IP te permite explorar por bloques /8 y /16.
También conviene saber lo que un ASN no te dice:
- Describe quién opera una red, no quién usa una dirección concreta dentro de ella. Un ASN de nube abarca a miles de clientes sin relación entre sí.
- El país es el país de registro, que no siempre es donde se encuentra físicamente la infraestructura.
- Los registros pueden ir por detrás de adquisiciones y reorganizaciones.
- BGP en sí está construido sobre la confianza. Una red puede anunciar prefijos que no le pertenecen, lo que se llama un secuestro de ruta, y la validación de origen de ruta RPKI existe para ayudar a detectarlo. La búsqueda RPKI comprueba si la ruta anunciada actualmente para una IP está cubierta por un ROA válido, e informa de válido, inválido o no cubierto.
Para profundizar en la titularidad, el WHOIS de IP mediante RDAP devuelve el registro estructurado de un bloque. El nivel gratuito permite 1.000 solicitudes al día sin registro, y la documentación de la API enumera los endpoints. Para un concepto relacionado, consulta qué es un bloque CIDR, ya que cada ASN anuncia su espacio de direcciones como prefijos CIDR.