Qu’est-ce qu’un ASN ? Guide pour les développeurs
Un ASN, ou numéro de système autonome (Autonomous System Number), est un numéro unique qui identifie un réseau exploité par une seule organisation et annonçant ses propres routes sur Internet, comme un FAI, un fournisseur cloud, une université ou une grande entreprise. Lorsque vous recherchez une adresse IP, l’ASN est le champ qui vous indique à quel réseau appartient l’adresse et qui l’exploite.
Ce qu’est un système autonome
Internet n’est pas un réseau unique mais un ensemble de réseaux exploités indépendamment. Chacun de ces réseaux, appelé système autonome, contrôle son propre espace d’adressage et sa propre politique de routage. Pour échanger des informations d’accessibilité, les systèmes autonomes dialoguent avec leurs voisins grâce au Border Gateway Protocol (BGP). Chaque système annonce les préfixes IP vers lesquels il peut acheminer du trafic, et chaque annonce porte l’ASN du réseau qui l’origine.
Les réseaux de Google ont des ASN, tout comme les FAI résidentiels, les opérateurs mobiles, les réseaux de diffusion de contenu et les sociétés d’hébergement. AS15169, par exemple, est enregistré au nom de Google. Une même entreprise peut exploiter plusieurs systèmes autonomes, et une petite organisation avec un seul fournisseur amont n’en a souvent aucun, utilisant à la place le numéro de son fournisseur. Les ASN étaient à l’origine des nombres sur 16 bits, et l’espace a été étendu à 32 bits, ce qui explique que l’on voie à la fois de petites et de très grandes valeurs d’ASN.
Qui attribue les ASN
Les ASN sont alloués de manière hiérarchique. L’IANA remet des blocs de numéros aux cinq registres Internet régionaux, et les registres les attribuent aux organisations de leurs régions :
- AFRINIC couvre l’Afrique.
- APNIC couvre l’Asie et le Pacifique.
- ARIN couvre les États-Unis, le Canada et une partie des Caraïbes.
- LACNIC couvre l’Amérique latine et une partie des Caraïbes.
- RIPE NCC couvre l’Europe, le Moyen-Orient et une partie de l’Asie centrale.
Une organisation fait sa demande auprès de son registre, généralement en tant que membre ou par l’intermédiaire d’un fournisseur parrain, et doit en général justifier la demande, par exemple en exploitant ou en prévoyant d’exploiter un réseau multi-hébergé (multi-homed). Les exigences et les frais diffèrent entre registres ; vérifiez donc la politique en vigueur du registre auquel vous vous adresseriez. Certaines plages sont réservées à l’usage privé et à la documentation et n’apparaissent jamais sur l’Internet public.
Pourquoi les développeurs devraient s’y intéresser
Une adresse IP seule n’est qu’un nombre. L’ASN lui donne un propriétaire, ce qui ouvre plusieurs usages pratiques. Vous pouvez distinguer les réseaux d’hébergement et cloud des FAI grand public, ce qui compte pour la détection de bots et l’interprétation du trafic. Vous pouvez ajuster les listes d’autorisation et de blocage par réseau plutôt que par adresse isolée, et regrouper les comportements abusifs par origine plutôt que de traquer une adresse à la fois. Lors d’un incident, constater que des dizaines de sources partagent un même ASN transforme un journal dispersé en un schéma.
La recherche d’ASN d’ipto prend un numéro d’AS tel qu’AS15169 et renvoie le propriétaire enregistré, le nom de l’organisation, le pays et le nombre de plages d’IP qui lui sont attribuées, avec une page dédiée à chaque ASN listant ses plages annoncées. Elle est servie à partir du propre jeu de données de routage et de registre d’ipto, actualisé quotidiennement. Dans la recherche d’IP principale, les champs asn et org vous donnent les mêmes informations pour une adresse donnée, avec des indicateurs tels que is_vpn, is_datacenter et is_abuser.
ASN, sécurité et limites
L’ASN est une entrée utile pour la réputation, car les réseaux diffèrent dans leur manière de surveiller leurs clients. C’est pourquoi la détection de VPN combine listes de blocage et données d’ASN, et pourquoi les classements de réseaux abusifs et le vérificateur d’abus d’IP montrent dans quel réseau se trouve une adresse. Un mauvais hôte est plus exploitable lorsqu’on voit toute la plage qui l’entoure, ce que l’annuaire des plages IP permet de parcourir par bloc /8 et /16.
Il est aussi utile de savoir ce qu’un ASN ne vous dit pas :
- Il décrit qui exploite un réseau, pas qui utilise une adresse précise à l’intérieur. Un ASN cloud couvre des milliers de clients sans rapport.
- Le pays est le pays d’enregistrement, qui n’est pas toujours l’endroit où l’infrastructure se trouve physiquement.
- Les enregistrements des registres peuvent accuser un retard sur les acquisitions et les réorganisations.
- BGP lui-même repose sur la confiance. Un réseau peut annoncer des préfixes qu’il ne possède pas, ce qu’on appelle un détournement de route, et la validation d’origine de route RPKI existe pour aider à le détecter. La recherche RPKI vérifie si la route actuellement annoncée pour une IP est couverte par un ROA valide, et indique valid, invalid ou non couvert.
Pour poursuivre sur la propriété, le WHOIS d’IP via RDAP renvoie l’enregistrement structuré du registre pour un bloc. L’offre gratuite autorise 1 000 requêtes par jour sans inscription, et la documentation de l’API liste les points de terminaison. Pour une notion connexe, voir ce qu’est un bloc CIDR, puisque chaque ASN annonce son espace d’adressage sous forme de préfixes CIDR.