Was ist eine ASN? Autonome Systemnummern erklärt

Wenn Sie eine Verbindung zum Internet herstellen, nimmt Ihr Datenverkehr keinen einzigen Pfad von Ihrem Gerät zum Ziel. Es springt zwischen unabhängigen Netzwerken hin und her – dem Netzwerk Ihres ISP, einem Backbone-Anbieter, vielleicht einem CDN und dann dem Netzwerk des Ziels. Jedes dieser Netzwerke ist ein Autonomes System, und jedes autonome System hat eine Nummer: eine ASN.

ASNs sind die Bausteine des Internet-Routings. Ohne sie gäbe es keine Möglichkeit, die Routing-Beziehungen zwischen Tausenden unabhängigen Netzwerken zu verwalten, die zusammen das Internet bilden.

Was ist ein autonomes System?

Ein autonomes System (AS) ist ein Netzwerk oder eine Sammlung von Netzwerken unter einer einzigen administrativen Kontrolle, die der Außenwelt eine einheitliche Routing-Richtlinie präsentiert. Betrachten Sie es als ein Land auf der geopolitischen Karte des Internets – jedes verwaltet sein eigenes internes Routing nach Belieben und handelt Verbindungen mit Nachbarländern an den Grenzen aus.

Beispiele für autonome Systeme:

Ein großer ISP (Comcast, Deutsche Telekom, Jio)
Ein Cloud-Anbieter (AWS, Google Cloud, Azure – jeder hat mehrere ASes)
Eine Universität oder ein Forschungsnetzwerk
Ein großes Unternehmen mit eigener Internetpräsenz
Ein Content-Delivery-Netzwerk (Cloudflare, Akamai, Fastly)

Cloudflare beispielsweise betreibt AS13335. Google verfügt über mehrere ASes, darunter AS15169. Auch Ihr Heim-ISP verfügt über eine ASN. Auf diese Weise teilt Ihr ISP dem Rest des Internets mit, dass er für die Weiterleitung des Datenverkehrs an Ihren IP-Adressbereich verantwortlich ist.

Wofür wird eine ASN verwendet?

ASNs existieren hauptsächlich für BGP – das Border Gateway Protocol. BGP ist das Routing-Protokoll, das alle autonomen Systeme der Welt zu einem funktionierenden Internet zusammenfügt. Es wird oft als das Postsystem des Internets bezeichnet: Es bewegt Pakete nicht direkt, sondern bestimmt, welche Pfade verfügbar sind und welche Routen der Datenverkehr nehmen soll.

Wenn Ihre Daten das Netzwerk Ihres ISP verlassen, bestimmt BGP den nächsten Hop – an welches andere autonome System sie übergeben werden sollen. Dieses System übergibt es dann an das nächste und so weiter, bis das Paket das Zielnetzwerk erreicht.

Jeder AS gibt die IP-Präfixe bekannt, für die er verantwortlich ist, indem er BGP-Routenankündigungen verwendet. Wenn der AS13335 von Cloudflare ankündigt, dass er den Datenverkehr für verarbeitet 104.16.0.0/12, dann weiß jeder andere AS auf der Welt, dass er diesen Datenverkehr an AS13335 senden muss.

ASN-Format

ASNs waren ursprünglich 16-Bit-Zahlen (1–65535), was maximal 65.535 mögliche ASNs ergab. Als das Internet wuchs, erwies sich dies als unzureichend – 32-Bit-ASNs wurden standardisiert (unterstützt über 4 Milliarden), und der Übergang ist seit Mitte der 2000er Jahre im Gange.

ASNs werden oft mit dem Präfix „AS“ geschrieben: AS15169, AS13335, AS7922.

Sonderbereiche:

64512–65534: Private ASNs (wie RFC 1918 für IP-Adressen) – werden intern verwendet und niemals im öffentlichen Internet beworben
23456: Ein reservierter „AS-Nummernübergang“, der während der 16-zu-32-Bit-Migration verwendet wird

So suchen Sie nach einer ASN

Es gibt zwei gängige Suchvorgänge:

Finden Sie die ASN für eine Domain oder IP-Adresse: Geben Sie eine beliebige IP oder Domäne in das ein ASN-Suchtool. Es gibt die ASN, die Organisation, der sie gehört, und das verwendete IP-Präfix zurück.

Finden Sie die von einer ASN angekündigten IP-Bereiche: Nützlich, wenn Sie alle IP-Adressen eines bestimmten Unternehmens oder Anbieters kennen müssen. Sicherheitsteams nutzen dies für Firewall-Regeln, Bedrohungsinformationen und die Blockierung ganzer Cloud-Anbieterbereiche.

Über die Befehlszeile:

Befehl

# Whois an IP to find its ASN
whois 1.1.1.1 | grep -i "aut-num\|origin"

# Using dig to find ASN via Team Cymru's service
dig +short 1.1.1.1.origin.asn.cymru.com TXT

Die dig gibt die ASN, das Präfix, den Ländercode, die Registrierung und das Zuweisungsdatum für jede IP-Adresse zurück. Der Befehl

BGP und was passiert, wenn es schief geht

BGP ist von Natur aus ein vertrauenswürdiges Protokoll – Autonome Systeme können Routen für IP-Präfixe ankündigen, die sie eigentlich nicht besitzen, und andere ASes akzeptieren diese Ankündigungen oft. Dies hat zu einigen spektakulären Vorfällen im Internet geführt.

BGP-Hijacking tritt auf, wenn ein AS in böswilliger Absicht oder versehentlich Präfixe ankündigt, die ihm nicht gehören, und so den Datenverkehr über sein Netzwerk umleitet. Im Jahr 2010 kündigte China Telecom (AS4134) kurzzeitig Routen für Tausende von IP-Präfixen an, die US-Regierungsbehörden, Militärauftragnehmern und großen Unternehmen gehören – und leitete deren Datenverkehr für etwa 18 Minuten durch China um.

BGP-Routenlecks sind weniger bösartig, aber ebenso störend. Im Jahr 2019 gab ein kleines europäisches Netzwerk (AS37282) versehentlich Millionen von von Cloudflare erlernten Routen an seinen Transitanbieter weiter, was dazu führte, dass große Teile des Internetverkehrs über sie geleitet wurden und es zu weit verbreiteten Verlangsamungen kam.

RPKI (Resource Public Key Infrastructure) ist die moderne Lösung – ein kryptografisches System, mit dem IP-Adressinhaber ihre Routenankündigungen signieren können, sodass andere AS ungültige Routen ablehnen können. Die Akzeptanz hat in den letzten Jahren deutlich zugenommen, ist aber nicht überall verbreitet.

Lesen eines ASN-Suchergebnisses

Wenn Sie die ASN einer IP-Adresse nachschlagen, erhalten Sie normalerweise Folgendes:

ASN: Die Nummer des autonomen Systems (z. B. AS13335)
Organisation: Wer besitzt/betreibt dieses AS (z. B. CLOUDFLARENET)?
Präfix: Der IP-Block, der angekündigt wird (z. B. 104.16.0.0/12)
Registrierung: Welches regionale Internetregister hat dies zugewiesen (ARIN, RIPE, APNIC usw.)
Land: Das Land, in dem die AS registriert ist

Diese Informationen sind nützlich für:

Sicherheitsuntersuchungen: If you see traffic from an unexpected ASN, knowing who operates it can tell you whether it's a legitimate cloud provider, a VPN, a residential ISP, or something more concerning.

Geolokalisierung und Routing: ASN-Daten sind zuverlässiger als IP-Geolokalisierung, um zu bestimmen, aus welchem Netzwerk eine Verbindung stammt. Ein VPN-Benutzer scheint sich aufgrund der Geolokalisierung möglicherweise in einem anderen Land zu befinden, seine ASN verrät jedoch das Netzwerk des VPN-Anbieters.

Infrastrukturforschung: Wenn Sie wissen, welche ASNs ein Unternehmen verwendet, lässt sich dessen Hosting-Fußabdruck erkennen. Eine Site kann unter AS16509 (Amazon AWS) ausgeführt werden, auch wenn die Domain nicht offensichtlich darauf verweist.

Bedrohungsinformationen: Viele Bedrohungs-Feeds und Firewall-Systeme arbeiten mit Blöcken auf ASN-Ebene – sie blockieren den gesamten Datenverkehr von einem AS, der mit Bulletproof-Hosting oder bekanntermaßen bösartiger Infrastruktur verbunden ist.

Peering und Transit: Wie ASes sich verbinden

Autonome Systeme verbinden sich auf zwei Arten miteinander:

Transit: Ein AS bezahlt einen anderen für den Internetzugang. Ihr Heimat-ISP ist Kunde eines größeren Transitanbieters. Geld fließt vom Kunden zum Anbieter.

Peering: Zwei AS tauschen Datenverkehr direkt aus, normalerweise zum gegenseitigen Vorteil, ohne Bezahlung. Große Netzwerke ähnlicher Größe nutzen häufig Internet Exchange Points (IXPs) – physische Einrichtungen, an denen viele Netzwerke miteinander verbunden sind.

Internet Exchange Points (wie DE-CIX in Frankfurt, AMS-IX in Amsterdam und Equinix in verschiedenen Städten) beherbergen Tausende von Peering-Verbindungen. Durch Peering an einem IXP kann ein Netzwerk viele andere Netzwerke direkt erreichen, ohne Transitkosten für diesen Datenverkehr zu zahlen.

Das Fazit

ASNs sind die Art und Weise, wie das Internet als Sammlung unabhängiger Netzwerke organisiert bleibt. Jeder ISP, Cloud-Anbieter und Netzwerkbetreiber hat einen. BGP verwendet ASNs, um eine globale Routing-Karte zu erstellen und den Datenverkehr über die Grenzen des Internets hinweg zu leiten.

Für den praktischen Gebrauch sagen Ihnen ASN-Suchen, zu welchem Netzwerk eine IP-Adresse gehört – nützlich bei Sicherheitsanalysen, Infrastrukturforschung und dem Verständnis von Routing-Anomalien. Suchen Sie mit dem nach einer beliebigen IP oder Domäne ASN-Suchtool.