什麼是 ASN?開發者指南
ASN,即自治系統編號(Autonomous System Number),是一個唯一的編號,用來識別由單一組織營運、並在網際網路上宣告自己路由的網路,例如 ISP、雲端供應商、大學或大型企業。當你查詢 IP 位址時,ASN 這個欄位會告訴你該位址屬於哪個網路,以及由誰營運。
什麼是自治系統
網際網路不是單一網路,而是由獨立營運的網路所組成的集合。每個這樣的網路稱為自治系統,控制自己的位址空間與路由政策。為了交換可達性資訊,自治系統使用邊界閘道協定(Border Gateway Protocol,BGP)與鄰近網路溝通。每個系統宣告它能傳遞流量到達的 IP 前綴,而每個宣告都帶有發起該宣告的網路的 ASN。
Google 的網路有 ASN,住宅 ISP、行動電信業者、內容傳遞網路與主機代管公司也有。例如 AS15169 即登記給 Google。單一公司可能營運數個自治系統,而僅有單一上游的小型組織往往一個也沒有,而是改用其供應商的編號。ASN 最初是 16 位元的數字,後來空間擴充到 32 位元,這就是為何你會看到很小與非常大的 ASN 值。
誰配發 ASN
ASN 以階層方式配發。IANA 將編號區塊交給五個區域網際網路登記機構,再由這些登記機構指派給其區域內的組織:
- AFRINIC 涵蓋非洲。
- APNIC 涵蓋亞洲與太平洋地區。
- ARIN 涵蓋美國、加拿大與部分加勒比海地區。
- LACNIC 涵蓋拉丁美洲與部分加勒比海地區。
- RIPE NCC 涵蓋歐洲、中東與部分中亞地區。
組織向其登記機構申請,通常以會員身分或透過贊助供應商,並且通常需要說明申請的理由,例如正在營運或計畫營運多重連線(multi-homed)的網路。各登記機構的要求與費用不同,因此請查看你要申請的登記機構的現行政策。有些範圍保留作為私有用途與文件用途,永遠不會出現在公開網際網路上。
開發者為何應該關心
單獨的 IP 位址只是一個數字。ASN 賦予它一個擁有者,並由此開啟數種實際用途。你可以區分主機代管與雲端網路和消費性 ISP,這對機器人偵測與解讀流量很重要。你可以依網路而非單一位址來調整允許與封鎖清單,也可以依來源將濫用行為分組,而不必一次追一個位址。在事件處理期間,發現數十個來源共用同一個 ASN,能將零散的日誌轉變為一種模式。
ipto 上的 ASN 查詢接受像 AS15169 這樣的 AS 編號,並回傳登記的擁有者、組織名稱、國家,以及歸屬於它的 IP 範圍數量,每個 ASN 還有專屬頁面,列出其所宣告的範圍。它由 ipto 自己的路由與登記資料集回答,每日更新。在主要的 IP 查詢中,asn 與 org 欄位會針對特定位址提供相同的資訊,並附上 is_vpn、is_datacenter 和 is_abuser 等旗標。
ASN、安全性及其限制
ASN 是信譽的有用輸入,因為各網路管理其客戶的程度各不相同。這就是為何 VPN 偵測會結合封鎖清單與 ASN 資料,也是為何濫用網路排名與 IP 濫用檢查工具會顯示位址所在的網路。當你能看到不良主機周圍的整個範圍時,處置會更有可行性,而 IP 範圍目錄讓你可依 /8 與 /16 區塊瀏覽。
了解 ASN 無法告訴你什麼,同樣有幫助:
- 它描述的是誰營運一個網路,而不是誰在使用其中的某個位址。一個雲端 ASN 涵蓋成千上萬互不相關的客戶。
- 國家指的是登記國家,不一定是基礎設施實際所在的位置。
- 登記紀錄可能落後於併購與組織重整。
- BGP 本身建立在信任之上。網路可以宣告它並不擁有的前綴,這稱為路由劫持,而 RPKI 路由來源驗證的存在,即是為了協助偵測這種情況。RPKI 查詢會檢查目前為某個 IP 所宣告的路由是否被有效的 ROA 涵蓋,並回報 valid、invalid 或未涵蓋。
若要追蹤擁有權,透過 RDAP 的 IP whois 會回傳區塊的結構化登記紀錄。免費方案每天允許 1,000 次請求,無需註冊,端點列於 API 文件。至於相關概念,請見什麼是 CIDR 區塊,因為每個 ASN 都是以 CIDR 前綴的形式宣告其位址空間。