Consulta de ASN
Qual rede anuncia um endereço e em que prefixo ele está.
Como é que a internet decide para onde vai um pacote
Não há mapa. Nenhuma autoridade central conhece a rota de um endereço para outro. O que existe são cerca de 75 000 sistemas autónomos — operadores, empresas de alojamento, universidades, bancos — cada um a anunciar aos vizinhos que gamas de endereços aceita transportar, e cada um a decidir por si em quais dos anúncios que ouve acredita.
Esse protocolo é o BGP, e o arranjo é bastante mais improvisado do que a expressão «infra-estrutura da internet» sugere. Funciona porque as redes têm razões comerciais para se portarem bem e porque a maioria filtra com bom senso os anúncios dos vizinhos.
É por isso que o encaminhamento é feito sobre prefixos e não sobre endereços. Ninguém anuncia 8.8.8.8; a Google anuncia 8.8.8.0/24, e todos os encaminhadores do mundo guardam uma entrada em vez de 256. A consulta acima mostra dentro de que prefixo o seu endereço cai de facto — muitas vezes maior do que suporia.
Porque é que um /24 é o mínimo
A tabela de encaminhamento global anda perto de um milhão de entradas e todos os encaminhadores da internet as guardam por inteiro em memória rápida. Para que isso se mantenha finito, a maioria dos operadores filtra anúncios mais longos do que um /24 em IPv4.
O efeito prático é que não se pode anunciar meia dúzia de endereços. Um /24 é o mínimo que se propaga, e é por isso que obter espaço de endereços próprio é um empreendimento a sério — os registos ficaram sem IPv4 há anos, portanto um /24 vem agora do mercado de transferências a um preço que só andou numa direcção.
O que o AS lhe diz, e o que não diz
Vale a pena separar duas coisas que se confundem constantemente.
| Consulta de ASN | Geolocalização | |
|---|---|---|
| Responde a | Que rede anuncia este endereço | Onde o endereço é provavelmente usado |
| Baseia-se em | Anúncios BGP em tempo real | Dados de registo e inferência a partir da latência |
| Fiabilidade | Preciso — é um facto de encaminhamento | País normalmente certo, cidade muitas vezes errada |
Portanto «quem opera este endereço» tem resposta com confiança. «Onde está esta pessoa» não tem, e as duas são rotineiramente apresentadas como se fossem a mesma consulta.
É assim que funciona a detecção de VPN
Vale a pena dizê-lo sem rodeios, porque é bem mais prosaico do que a maioria das explicações sugere. Um sítio que queira saber se está a usar uma VPN não analisa o seu tráfego. Consulta o ASN do seu endereço e compara-o com uma lista de fornecedores de alojamento e de operadores de VPN conhecidos.
Uma ligação doméstica é anunciada por um operador de retalho. Um nó de saída de VPN é anunciado por um centro de dados. A esta camada não se parecem nada, e a verificação custa uma consulta a uma base de dados.
Não é conclusivo — muito tráfego empresarial legítimo tem origem em centros de dados, e alguns operadores usam espaço de endereços residencial precisamente para evitar isto. Mas explica porque é que a detecção de VPN é comum e barata, e porque é que não tem nada a ver com a força da cifra.
Quando o encaminhamento corre mal
O BGP não tem autenticação incorporada. Uma rede que anuncie um prefixo que não é seu será acreditada por todos os que não a filtrem, e o tráfego desse prefixo vai parar ao sítio errado. Isto já aconteceu em grande escala mais de uma vez — uma má configuração num operador deitou abaixo grandes partes da web, e sequestros deliberados foram usados para interceptar tráfego.
A correcção já implantada é o RPKI: os detentores dos endereços assinam criptograficamente que AS pode anunciar os seus prefixos, e as redes rejeitam anúncios que não passem na validação. A adopção é hoje substancial entre os grandes operadores, o que tornou os sequestros bastante mais difíceis do que eram há uma década.
Se a consulta acima reportar vários números de AS para um prefixo, o anycast é de longe a explicação mais provável. Só é motivo de preocupação quando as redes envolvidas não têm entre si qualquer relação plausível.
Relacionado
Para o lado geográfico de um endereço — com as ressalvas de exactidão que lhe pertencem — a consulta de IP trata disso. Para descobrir você mesmo em que prefixo um endereço cai, a calculadora de sub-redes faz a aritmética.
Perguntas sobre encaminhamento
O que é um sistema autónomo?
Uma rede sob uma única autoridade administrativa que decide a sua própria política de encaminhamento — um operador, um grande alojador, uma universidade, um banco. Cada um tem um número, e o BGP é a forma como dizem uns aos outros por que gamas de endereços aceitam transportar tráfego. A internet é, grosso modo, cerca de 75 000 destes a concordar em encaminhar uns pelos outros, um arranjo bem mais improvisado do que se imagina.
É o mesmo que uma consulta de geolocalização por IP?
Não, e vale a pena ser claro sobre a diferença. Isto diz-lhe que rede anuncia o endereço, o que é um facto de encaminhamento e é preciso. A geolocalização adivinha onde o endereço é usado fisicamente, o que é uma inferência a partir de dados de registo e de latências observadas, e erra muitas vezes ao nível da cidade. Se quer saber quem opera um endereço, o ASN é a resposta fiável; se quer saber onde alguém está, nenhum dos dois é tão fiável quanto se supõe.
Porque é que um endereço mostra vários números de AS?
Normalmente anycast — o mesmo prefixo anunciado a partir de vários locais em simultâneo, que é como funcionam a Cloudflare, o DNS da Google e a maioria das CDN. Também pode significar uma rede com várias ligações a anunciar por mais do que um fornecedor. Ocasionalmente é uma fuga de rota ou um sequestro, em que alguém anuncia um prefixo a que não tem direito; isso é mais raro, e é exactamente o que o RPKI existe para evitar.
Qual é o prefixo mais pequeno que chega a ser encaminhado?
Na prática, um /24 em IPv4. A maioria dos operadores filtra tudo o que seja mais longo para manter a tabela de encaminhamento global tratável, por isso anunciar um /25 não se propaga, ainda que seja tecnicamente válido. É por isso que comprar meia dúzia de endereços IP não lhe permite anunciá-los: precisa de pelo menos um /24 e, cada vez mais, de o adquirir no mercado de transferências, já que os registos esgotaram os endereços.
Consigo perceber se um IP pertence a uma VPN ou a um centro de dados?
O AS é um forte indício. Um endereço anunciado por um alojador ou por um operador de VPN conhecido quase de certeza não é uma ligação doméstica, e é assim mesmo que os sites detectam o uso de VPN — comparam o ASN com uma lista. Não é conclusivo: as empresas compram trânsito a alojadores, e alguns operadores de VPN usam espaço de endereços residencial. O que mostra é que «de que rede é isto?» é uma pergunta muito mais fácil de responder do que a maioria espera.
The AS behind an address is how sites tell a datacenter connection from a residential one — it is the usual basis for VPN detection, and it is a lookup anyone can do. See what your own address says
Última revisão . Encontrou algo desactualizado? Diga-nos.