O que é um ASN? Guia para desenvolvedores
Um ASN, ou Autonomous System Number, é um número único que identifica uma rede operada por uma única organização e que anuncia suas próprias rotas na internet, como um ISP, um provedor de nuvem, uma universidade ou uma grande empresa. Ao consultar um endereço IP, o ASN é o campo que informa a qual rede o endereço pertence e quem a opera.
O que é um sistema autônomo
A internet não é uma rede única, mas um conjunto de redes operadas de forma independente. Cada uma dessas redes, chamada de sistema autônomo, controla seu próprio espaço de endereços e sua própria política de roteamento. Para trocar informações de alcançabilidade, os sistemas autônomos conversam com seus vizinhos usando o Border Gateway Protocol (BGP). Cada sistema anuncia os prefixos IP para os quais consegue entregar tráfego, e cada anúncio carrega o ASN da rede que o origina.
As redes do Google têm ASNs, assim como ISPs residenciais, operadoras móveis, redes de distribuição de conteúdo e empresas de hospedagem. O AS15169, por exemplo, está registrado para o Google. Uma única empresa pode operar vários sistemas autônomos, e uma organização pequena com um único provedor upstream muitas vezes não tem nenhum, usando o número do seu provedor. Os ASNs eram originalmente números de 16 bits, e o espaço foi ampliado para 32 bits, e por isso você vê valores de ASN tanto pequenos quanto muito grandes.
Quem atribui os ASNs
Os ASNs são alocados de forma hierárquica. A IANA entrega blocos de números aos cinco registros regionais de internet, e os registros os atribuem a organizações de suas regiões:
- A AFRINIC cobre a África.
- A APNIC cobre a Ásia e o Pacífico.
- A ARIN cobre os Estados Unidos, o Canadá e partes do Caribe.
- A LACNIC cobre a América Latina e partes do Caribe.
- O RIPE NCC cobre a Europa, o Oriente Médio e partes da Ásia Central.
Uma organização faz o pedido ao seu registro, em geral como membro ou por meio de um provedor patrocinador, e normalmente precisa justificar a solicitação, por exemplo operando ou planejando operar uma rede multi-homed. Os requisitos e as taxas diferem entre os registros, então consulte a política vigente do registro ao qual você faria o pedido. Algumas faixas são reservadas para uso privado e documentação e nunca aparecem na internet pública.
Por que os desenvolvedores devem se importar
Um endereço IP sozinho é apenas um número. O ASN lhe dá um proprietário, e isso abre vários usos práticos. Você pode distinguir redes de hospedagem e de nuvem de ISPs de consumo, o que importa para a detecção de bots e para interpretar o tráfego. Você pode ajustar listas de permissão e bloqueio por rede em vez de por endereços individuais, e agrupar comportamento abusivo por origem em vez de perseguir um endereço de cada vez. Durante um incidente, descobrir que dezenas de origens compartilham um único ASN transforma um log disperso em um padrão.
A consulta de ASN do ipto recebe um número de AS como AS15169 e retorna o proprietário registrado, o nome da organização, o país e o número de faixas de IP atribuídas a ele, com uma página dedicada a cada ASN listando suas faixas anunciadas. A resposta vem do conjunto de dados próprio de roteamento e registro do ipto, atualizado diariamente. Na consulta principal de IP, os campos asn e org fornecem a mesma informação para um endereço, junto com sinalizadores como is_vpn, is_datacenter e is_abuser.
ASNs, segurança e seus limites
O ASN é uma entrada útil para a reputação, já que as redes variam na eficácia com que policiam seus clientes. É por isso que a detecção de VPN combina listas de bloqueio com dados de ASN, e por que os rankings de redes abusivas e o verificador de abuso de IP mostram em qual rede um endereço está. Um host ruim é mais acionável quando você enxerga toda a faixa ao redor dele, o que o diretório de faixas de IP permite navegar por bloco /8 e /16.
Também ajuda saber o que um ASN não diz:
- Ele descreve quem opera uma rede, não quem usa um endereço dentro dela. Um ASN de nuvem abrange milhares de clientes sem relação entre si.
- O país é o país de registro, que nem sempre é onde a infraestrutura fisicamente está.
- Os registros podem ficar defasados em relação a aquisições e reorganizações.
- O próprio BGP é construído sobre confiança. Uma rede pode anunciar prefixos que não possui, o que se chama sequestro de rota, e a validação de origem de rota RPKI existe para ajudar a detectar isso. A consulta RPKI verifica se a rota atualmente anunciada para um IP é coberta por um ROA válido, informando valid, invalid ou não coberto.
Para aprofundar a titularidade, o whois de IP via RDAP retorna o registro estruturado de um bloco. O plano gratuito permite 1.000 requisições por dia sem cadastro, e a documentação da API lista os endpoints. Para um conceito relacionado, veja o que é um bloco CIDR, já que cada ASN anuncia seu espaço de endereços como prefixos CIDR.