ASNとは?開発者向けガイド
ASN(Autonomous System Number、自律システム番号)は、ISP、クラウドプロバイダー、大学、大企業など、単一の組織が運用し、インターネット上で独自の経路を広告するネットワークを識別する、一意の番号です。IPアドレスを検索すると、ASNは、そのアドレスがどのネットワークに属し、誰が運用しているかを示すフィールドです。
自律システムとは
インターネットは1つのネットワークではなく、独立して運用されているネットワークの集合です。自律システムと呼ばれるこれらのネットワークはそれぞれ、独自のアドレス空間と独自のルーティングポリシーを管理しています。到達可能性の情報を交換するために、自律システムはBorder Gateway Protocol(BGP)を使って隣接するネットワークと通信します。各システムはトラフィックを配送できるIPプレフィックスを広告し、各広告にはそれを起点とするネットワークのASNが付きます。
Googleのネットワークにも、住宅向けISP、モバイルキャリア、コンテンツ配信ネットワーク、ホスティング会社にもASNがあります。たとえばAS15169はGoogleに登録されています。1つの会社が複数の自律システムを運用することもあれば、上流が1つだけの小さな組織では、ASNを持たず、代わりにプロバイダーの番号を使うこともよくあります。ASNは当初16ビットの番号でしたが、空間が32ビットに拡張されたため、小さなASN値と非常に大きなASN値の両方が見られます。
ASNを割り当てるのは誰か
ASNは階層的に割り当てられます。IANAが番号のブロックを5つの地域インターネットレジストリに渡し、レジストリがそれぞれの地域の組織に割り当てます。
- AFRINICはアフリカを担当します。
- APNICはアジア太平洋を担当します。
- ARINは米国、カナダ、カリブ海の一部を担当します。
- LACNICはラテンアメリカとカリブ海の一部を担当します。
- RIPE NCCはヨーロッパ、中東、中央アジアの一部を担当します。
組織は、通常はメンバーとして、あるいはスポンサーとなるプロバイダーを通じて、レジストリに申請し、通常はマルチホームのネットワークを運用している、あるいは運用する予定であることなどによって、申請を正当化する必要があります。要件や手数料はレジストリによって異なるため、申請先のレジストリの最新のポリシーを確認してください。一部の範囲は、プライベート用途やドキュメント用に予約されており、公開インターネットに現れることはありません。
開発者が気にすべき理由
IPアドレス単体は、単なる数字です。ASNがそれに所有者を与えることで、いくつかの実用的な使い道が開けます。ホスティングやクラウドのネットワークと一般消費者向けISPを区別でき、これはボット検出やトラフィックの解釈に重要です。許可リストやブロックリストを、単一のアドレスではなくネットワーク単位で調整でき、不正な行為を1つのアドレスずつ追いかけるのではなく、発信元ごとにグループ化できます。インシデント発生時に、数十の送信元が1つのASNを共有していると分かれば、散らばったログがパターンに変わります。
ipto のASN検索は、AS15169のようなAS番号を受け取り、登録された所有者、組織名、国、帰属するIPレンジの数を返します。ASNごとの専用ページには、広告されているレンジが一覧されます。回答は、毎日更新される ipto 独自のルーティングとレジストリのデータセットから得られます。メインのIP検索では、asn と org のフィールドが、is_vpn、is_datacenter、is_abuser などのフラグとともに、特定のアドレスについて同じ情報を提供します。
ASN、セキュリティ、その限界
ネットワークによって顧客をどれだけ取り締まっているかが異なるため、ASNはレピュテーションの有用な入力です。VPN検出がブロックリストとASNデータを組み合わせる理由、そして不正ネットワークのランキングやIP不正利用チェッカーがアドレスの属するネットワークを示す理由はそこにあります。不正なホストは、その周囲の範囲全体を見られると対処しやすくなります。IPレンジディレクトリでは、/8と/16のブロックごとにそれを閲覧できます。
ASNが教えてくれないことを知っておくことも有益です。
- ASNが示すのは、ネットワークを誰が運用しているかであり、その中の1つのアドレスを誰が使っているかではありません。クラウドのASNは、無関係な数千の顧客を含みます。
- 国は登録国であり、インフラが物理的に存在する場所とは限りません。
- レジストリの記録は、買収や組織再編に遅れることがあります。
- BGP自体も信頼の上に構築されています。ネットワークは自分が所有しないプレフィックスを広告でき、これは経路ハイジャックと呼ばれ、RPKIルートオリジン検証はこれを検出する助けとして存在します。RPKI検索は、IPについて現在広告されている経路が有効なROAでカバーされているかを確認し、valid、invalid、未カバーのいずれかを報告します。
所有者を追跡するには、RDAP経由のIP whoisが、ブロックの構造化されたレジストリ記録を返します。無料枠はサインアップ不要で1日1,000リクエストまで利用でき、エンドポイントはAPIドキュメントに記載されています。関連する概念については、各ASNがCIDRプレフィックスとして自分のアドレス空間を広告しているため、CIDRブロックとは何かを参照してください。