ASN-Abfrage
Welches Netz eine Adresse ankündigt und in welchem Präfix sie liegt.
Wie das Internet entscheidet, wohin ein Paket geht
Es gibt keine Karte. Keine zentrale Instanz kennt den Weg von einer Adresse zur anderen. Was es gibt, sind rund 75.000 autonome Systeme — Provider, Hoster, Universitäten, Banken —, von denen jedes seinen Nachbarn ankündigt, für welche Adressbereiche es Verkehr übernimmt, und jedes selbst entscheidet, welchen gehörten Ankündigungen es glaubt.
Dieses Protokoll heißt BGP, und die Konstruktion ist erheblich improvisierter, als die Wendung „Internet-Infrastruktur“ nahelegt. Sie funktioniert, weil Netze wirtschaftliche Gründe haben, sich zu benehmen, und weil die meisten die Ankündigungen ihrer Nachbarn vernünftig filtern.
Deshalb wird auf Präfixe geroutet und nicht auf Adressen. Niemand kündigt 8.8.8.8 an; Google kündigt 8.8.8.0/24 an, und jeder Router der Welt speichert einen Eintrag statt 256. Die Abfrage oben zeigt, in welchem Präfix Ihre Adresse tatsächlich liegt — oft in einem größeren, als man vermuten würde.
Warum ein /24 die Untergrenze ist
Die globale Routing-Tabelle umfasst etwa eine Million Einträge, und jeder Router im Internet hält sie vollständig im schnellen Speicher. Damit das endlich bleibt, filtern die meisten Betreiber Ankündigungen, die in IPv4 länger als ein /24 sind.
Praktisch heißt das: Eine Handvoll Adressen lässt sich nicht ankündigen. Ein /24 ist das Minimum, das sich verbreitet, und deshalb ist eigener Adressraum ein ernsthaftes Unterfangen — den Registraturen ist IPv4 vor Jahren ausgegangen, ein /24 kommt heute also vom Transfermarkt zu einem Preis, der sich nur in eine Richtung bewegt hat.
Was das AS Ihnen sagt und was nicht
Zwei Dinge, die ständig vermengt werden, gehören auseinandergehalten.
| ASN-Abfrage | Geolokalisierung | |
|---|---|---|
| Beantwortet | Welches Netz diese Adresse ankündigt | Wo die Adresse vermutlich genutzt wird |
| Beruht auf | Laufenden BGP-Ankündigungen | Registrierungsdaten und Laufzeitschlüssen |
| Verlässlichkeit | Präzise — es ist eine Routing-Tatsache | Land meist richtig, Stadt oft falsch |
„Wer betreibt diese Adresse“ lässt sich also mit Zuversicht beantworten. „Wo ist diese Person“ nicht — und beide werden regelmäßig präsentiert, als wären sie dieselbe Abfrage.
So funktioniert VPN-Erkennung
Das gehört klar gesagt, denn es ist banaler, als die meisten Erklärungen vermuten lassen. Eine Seite, die wissen will, ob Sie über ein VPN kommen, analysiert nicht Ihren Verkehr. Sie schlägt die ASN Ihrer Adresse nach und gleicht sie mit einer Liste von Hostern und bekannten VPN-Betreibern ab.
Einen Privatanschluss kündigt ein Endkundenprovider an. Einen VPN-Austrittsknoten kündigt ein Rechenzentrum an. Auf dieser Ebene sehen die beiden nicht im Entferntesten gleich aus, und die Prüfung kostet eine Datenbankabfrage.
Beweiskräftig ist das nicht — reichlich legitimer Geschäftsverkehr entspringt Rechenzentren, und manche Betreiber nutzen gezielt Adressraum aus dem Privatkundenbereich, um genau dem zu entgehen. Aber es erklärt, warum VPN-Erkennung verbreitet und billig ist und warum sie mit der Stärke der Verschlüsselung nichts zu tun hat.
Wenn Routing schiefgeht
BGP hat keine eingebaute Authentifizierung. Einem Netz, das ein fremdes Präfix ankündigt, glaubt jeder, der nicht filtert, und der Verkehr für dieses Präfix landet am falschen Ort. Das ist mehr als einmal in großem Maßstab passiert — eine Fehlkonfiguration bei einem Betreiber hat große Teile des Webs offline genommen, und absichtliche Entführungen wurden genutzt, um Verkehr abzugreifen.
Das in Betrieb befindliche Gegenmittel heißt RPKI: Adressinhaber signieren kryptografisch, welches AS ihre Präfixe ankündigen darf, und Netze weisen Ankündigungen zurück, die die Prüfung nicht bestehen. Die Verbreitung unter großen Betreibern ist inzwischen beträchtlich, was Entführungen spürbar schwerer gemacht hat als noch vor zehn Jahren.
Meldet die Abfrage oben mehrere AS-Nummern für ein Präfix, ist Anycast bei Weitem die wahrscheinlichste Erklärung. Bedenklich wird es erst, wenn zwischen den beteiligten Netzen keine plausible Beziehung besteht.
Verwandt
Die geografische Seite einer Adresse — samt der ihr zustehenden Vorbehalte zur Genauigkeit — deckt die IP-Abfrage ab. Um selbst zu bestimmen, in welches Präfix eine Adresse fällt, erledigt der Subnetzrechner die Arithmetik.
Fragen zum Routing
Was ist ein autonomes System?
Ein Netz unter einer einzigen Verwaltungshoheit, das seine Routing-Politik selbst festlegt — ein Provider, ein großer Hoster, eine Universität, eine Bank. Jedes hat eine Nummer, und über BGP teilen sie einander mit, für welche Adressbereiche sie Verkehr übernehmen. Das Internet besteht im Groben aus rund 75.000 solcher Systeme, die einander zu routen versprechen — eine improvisiertere Konstruktion, als die meisten annehmen.
Ist das dasselbe wie eine IP-Geolokalisierung?
Nein, und der Unterschied gehört klar benannt. Die ASN sagt Ihnen, welches Netz die Adresse ankündigt; das ist eine Routing-Tatsache und sie ist präzise. Geolokalisierung rät, wo die Adresse physisch genutzt wird — eine Schlussfolgerung aus Registrierungsdaten und gemessenen Laufzeiten, auf Stadtebene häufig falsch. Wollen Sie wissen, wer eine Adresse betreibt, ist die ASN die verlässliche Antwort; wollen Sie wissen, wo jemand ist, ist keines von beidem so verlässlich, wie oft angenommen wird.
Warum zeigt eine Adresse mehrere AS-Nummern?
Meist Anycast — dasselbe Präfix wird von vielen Standorten gleichzeitig angekündigt, so arbeiten Cloudflare, Google DNS und die meisten CDNs. Es kann auch ein mehrfach angebundenes Netz bedeuten, das über mehr als einen Upstream ankündigt. Gelegentlich ist es ein Route Leak oder eine Entführung, bei der jemand ein Präfix ankündigt, auf das er kein Recht hat; das ist seltener, und genau dagegen gibt es RPKI.
Was ist das kleinste Präfix, das noch geroutet wird?
In der Praxis ein /24 unter IPv4. Die meisten Betreiber filtern alles Längere heraus, damit die globale Routing-Tabelle handhabbar bleibt; ein angekündigtes /25 verbreitet sich also nicht, obwohl es technisch zulässig wäre. Deshalb können Sie eine Handvoll gekaufter IP-Adressen nicht selbst ankündigen — Sie brauchen mindestens ein /24, und das müssen Sie zunehmend auf dem Transfermarkt erwerben, seit den Registraturen die Adressen ausgegangen sind.
Kann ich erkennen, ob eine IP zu einem VPN oder Rechenzentrum gehört?
Das AS ist ein starker Hinweis. Eine Adresse, die von einem Hoster oder einem bekannten VPN-Betreiber angekündigt wird, ist ziemlich sicher kein Privatanschluss — und genau so erkennen Websites VPN-Nutzung: Sie gleichen die ASN mit einer Liste ab. Beweisend ist es nicht: Unternehmen kaufen Transit bei Hostern, und manche VPN-Anbieter nutzen Adressraum aus dem Privatkundenbereich. Es zeigt aber, dass sich „welches Netz ist das?“ viel leichter beantworten lässt, als die meisten erwarten.
The AS behind an address is how sites tell a datacenter connection from a residential one — it is the usual basis for VPN detection, and it is a lookup anyone can do. See what your own address says
Zuletzt geprüft . Etwas veraltet gefunden? Sagen Sie uns Bescheid.