Búsqueda de ASN
Qué red anuncia una dirección y en qué prefijo se encuentra.
Cómo decide internet adónde va un paquete
No hay ningún mapa. Ninguna autoridad central conoce la ruta de una dirección a otra. Lo que existe son unos 75 000 sistemas autónomos —operadores, empresas de alojamiento, universidades, bancos— que anuncian a sus vecinos qué rangos de direcciones están dispuestos a transportar, y cada uno decide por su cuenta cuáles de los anuncios que oye se cree.
Ese protocolo es BGP, y el arreglo es bastante más improvisado de lo que sugiere la expresión «infraestructura de internet». Funciona porque las redes tienen motivos comerciales para portarse bien y porque casi todas filtran con sensatez los anuncios de sus vecinos.
Por eso el enrutamiento se hace con prefijos y no con direcciones. Nadie anuncia 8.8.8.8; Google anuncia 8.8.8.0/24, y cada router del mundo guarda una entrada en vez de 256. La consulta de arriba muestra en qué prefijo cae realmente tu dirección, a menudo más grande de lo que supondrías.
Por qué un /24 es el suelo
La tabla de enrutamiento global ronda el millón de entradas y cada router de internet la guarda entera en memoria rápida. Para que eso siga siendo finito, la mayoría de los operadores filtran los anuncios más largos que un /24 en IPv4.
El efecto práctico es que no puedes anunciar un puñado de direcciones. Un /24 es el mínimo que se propagará, y por eso conseguir espacio de direcciones propio es una empresa seria: los registros se quedaron sin IPv4 hace años, así que hoy un /24 sale del mercado de transferencias a un precio que solo ha ido en una dirección.
Qué te dice el AS y qué no
Vale la pena separar dos cosas que se confunden constantemente.
| Consulta de ASN | Geolocalización | |
|---|---|---|
| Responde a | Qué red anuncia esta dirección | Dónde se usa probablemente la dirección |
| Se basa en | Anuncios BGP en vivo | Datos de registro e inferencia por latencia |
| Fiabilidad | Precisa: es un hecho de enrutamiento | El país suele acertar, la ciudad falla a menudo |
Así que «quién opera esta dirección» se puede responder con confianza. «Dónde está esta persona», no, y las dos se presentan rutinariamente como si fueran la misma consulta.
Así funciona la detección de VPN
Merece la pena decirlo claramente, porque es más prosaico de lo que sugieren casi todas las explicaciones. Un sitio que quiere saber si estás con una VPN no analiza tu tráfico. Busca el ASN de tu dirección y lo compara con una lista de proveedores de alojamiento y operadores de VPN conocidos.
Una conexión residencial la anuncia un operador de consumo. Un nodo de salida de VPN lo anuncia un centro de datos. En esta capa los dos no se parecen en nada, y la comprobación cuesta una consulta a una base de datos.
No es concluyente: hay mucho tráfico empresarial legítimo que sale de centros de datos, y algunos operadores usan espacio de direcciones residencial precisamente para evitar esto. Pero explica por qué la detección de VPN es común y barata, y por qué no tiene nada que ver con la fortaleza del cifrado.
Cuando el enrutamiento sale mal
BGP no lleva autenticación incorporada. A una red que anuncia un prefijo que no le pertenece se la creerá cualquiera que no la filtre, y el tráfico de ese prefijo acaba en el sitio equivocado. Esto ha pasado a gran escala más de una vez: un error de configuración en un operador ha dejado fuera de línea buena parte de la web, y se han usado secuestros deliberados para interceptar tráfico.
La solución en despliegue es RPKI: los titulares de las direcciones firman criptográficamente qué AS puede anunciar sus prefijos, y las redes rechazan los anuncios que no validan. La adopción ya es notable entre los grandes operadores, lo que ha hecho los secuestros bastante más difíciles que hace una década.
Si la consulta de arriba informa de varios números de AS para un mismo prefijo, la explicación más probable con diferencia es anycast. Solo es preocupante cuando las redes implicadas no tienen ninguna relación plausible.
Relacionado
Para la parte geográfica de una dirección —con las salvedades de exactitud que le corresponden— lo cubre la consulta de IP. Para averiguar tú mismo en qué prefijo cae una dirección, la calculadora de subredes hace las cuentas.
Preguntas sobre enrutamiento
¿Qué es un sistema autónomo?
Una red bajo una autoridad administrativa que decide su propia política de enrutamiento: un ISP, un gran proveedor de hosting, una universidad, un banco. Cada uno tiene un número, y BGP es la forma en que se dicen entre sí para qué rangos de direcciones transportarán tráfico. En Internet, aproximadamente 75.000 de ellos acuerdan establecer rutas entre sí, lo cual es un acuerdo más improvisado de lo que la mayoría de la gente supone.
¿Es lo mismo que una búsqueda de geolocalización de IP?
No, y vale la pena dejar clara la diferencia. Esto le indica qué red anuncia la dirección, cuál es un hecho de enrutamiento y es preciso. La geolocalización adivina dónde se usa físicamente la dirección, lo cual es una inferencia de los datos de registro y la latencia observada, y con frecuencia es incorrecto a nivel de ciudad. Si desea saber quién opera una dirección, ASN es la respuesta confiable; si quieres saber dónde está alguien, ninguno de los dos es tan confiable como la gente supone.
¿Por qué una dirección muestra varios números AS?
Por lo general, anycast: el mismo prefijo anunciado desde muchas ubicaciones a la vez, así es como funcionan Cloudflare, Google DNS y la mayoría de las CDN. También puede significar una red de múltiples servidores que se anuncia a través de más de un canal ascendente. Ocasionalmente se trata de una fuga de ruta o un secuestro, en el que alguien anuncia un prefijo al que no tiene derecho; eso es más raro, y es exactamente lo que RPKI pretende prevenir.
¿Cuál es el prefijo más pequeño que se enruta?
Un /24 en IPv4, en la práctica. La mayoría de los operadores filtran cualquier cosa más larga para mantener manejable la tabla de enrutamiento global, por lo que anunciar un /25 no se propagará aunque sea técnicamente válido. Esta es la razón por la que comprar un puñado de direcciones IP no le permite anunciarlas usted mismo: necesita al menos un /24, y cada vez más necesita adquirirlo en el mercado de transferencias, ya que los registros se agotaron.
¿Puedo saber si una IP pertenece a una VPN o a un centro de datos?
El AS es un fuerte indicio. Es casi seguro que una dirección anunciada por un proveedor de hosting o un operador de VPN conocido no es una conexión residencial, y así es exactamente como los sitios detectan el uso de VPN: comparan el ASN con una lista. No es concluyente: las empresas compran tránsito a proveedores de alojamiento y algunos operadores de VPN utilizan espacio de direcciones residenciales. Lo que sí muestra es que "qué red es esta" es una pregunta mucho más fácil de responder de lo que la mayoría de la gente espera.
The AS behind an address is how sites tell a datacenter connection from a residential one — it is the usual basis for VPN detection, and it is a lookup anyone can do. See what your own address says
Última revisión . ¿Has visto algo desactualizado? Dínoslo.