Quando ti connetti a Internet, il tuo traffico non segue un unico percorso dal tuo dispositivo alla sua destinazione. Salta tra reti indipendenti: la rete del tuo ISP, un provider di backbone, forse un CDN, quindi la rete di destinazione. Ognuna di queste reti è un Sistema Autonomo, e ogni Sistema Autonomo ha un numero: un ASN.

Gli ASN sono gli elementi costitutivi del routing Internet. Senza di essi, non ci sarebbe modo di gestire le relazioni di instradamento tra migliaia di reti indipendenti che collettivamente costituiscono Internet.

Cos'è un sistema autonomo?

Un Sistema Autonomo (AS) è una rete o un insieme di reti sotto un unico controllo amministrativo che presenta una politica di routing unificata al mondo esterno. Pensatelo come un paese nella mappa geopolitica di Internet: ognuno gestisce il proprio percorso interno come vuole e negozia i collegamenti con i paesi vicini ai confini.

Esempi di sistemi autonomi:

  • Un grande ISP (Comcast, Deutsche Telekom, Jio)
  • Un fornitore di servizi cloud (AWS, Google Cloud, Azure: ciascuno ha più AS)
  • Una rete universitaria o di ricerca
  • Una grande impresa con una propria presenza su Internet
  • Una rete di distribuzione di contenuti (Cloudflare, Akamai, Fastly)

Cloudflare, ad esempio, utilizza AS13335. Google ha diversi AS tra cui AS15169. Anche il tuo ISP di casa ha un ASN: è il modo in cui il tuo ISP annuncia al resto di Internet che è responsabile della distribuzione del traffico al tuo intervallo di indirizzi IP.

A cosa serve un ASN?

Gli ASN esistono principalmente per BGP : il protocollo Border Gateway. BGP è il protocollo di routing che unisce tutti i sistemi autonomi del mondo in un'Internet funzionale. Viene spesso descritto come il sistema postale di Internet: non sposta direttamente i pacchetti, ma determina quali percorsi sono disponibili e quali percorsi deve prendere il traffico.

Quando i tuoi dati lasciano la rete del tuo ISP, BGP determina l'hop successivo: a quale altro sistema autonomo trasferirli. Quel sistema poi lo passa al successivo e così via finché il pacchetto non raggiunge la rete di destinazione.

Ogni AS pubblicizza i prefissi IP di cui è responsabile utilizzando gli annunci di percorso BGP. Se AS13335 di Cloudflare annuncia che gestisce il traffico per 104.16.0.0/12, quindi ogni altro AS nel mondo saprà inviare quel traffico verso AS13335.

Formato ASN

Gli ASN erano originariamente numeri a 16 bit (1–65535), che fornivano un massimo di 65.535 ASN possibili. Con la crescita di Internet, ciò si è rivelato insufficiente: gli ASN a 32 bit sono stati standardizzati (ne supportano oltre 4 miliardi) e la transizione è in corso dalla metà degli anni 2000.

Gli ASN sono spesso scritti con il prefisso "AS": AS15169, AS13335, AS7922.

Gamme speciali:

  • 64512–65534: ASN privati (come RFC 1918 per gli indirizzi IP): utilizzati internamente, mai pubblicizzati su Internet pubblico
  • 23456: una "transizione del numero AS" riservata utilizzata durante la migrazione da 16 a 32 bit

Come cercare un ASN

Esistono due ricerche comuni:

Trova l'ASN per un dominio o indirizzo IP: Inserisci qualsiasi IP o dominio nel file Strumento di ricerca ASN. Restituisce l'ASN, l'organizzazione che lo possiede e il prefisso IP utilizzato.

Trova gli intervalli IP annunciati da un ASN: Utile quando è necessario conoscere tutti gli indirizzi IP appartenenti ad una determinata azienda o provider. I team di sicurezza lo utilizzano per le regole del firewall, l'intelligence sulle minacce e per bloccare intere gamme di provider cloud.

Dalla riga di comando:

Comando 
# Whois an IP to find its ASN
whois 1.1.1.1 | grep -i "aut-num\|origin"

# Using dig to find ASN via Team Cymru's service
dig +short 1.1.1.1.origin.asn.cymru.com TXT

Il dig sopra restituisce l'ASN, il prefisso, il codice paese, il registro e la data di assegnazione per qualsiasi indirizzo IP. Il comando

BGP e cosa succede quando va storto

BGP è un protocollo affidabile in base alla progettazione: i sistemi autonomi possono annunciare percorsi per prefissi IP che in realtà non possiedono e altri AS spesso accetteranno tali annunci. Ciò ha portato ad alcuni spettacolari incidenti su Internet.

Dirottamento BGP si verifica quando un AS annuncia intenzionalmente o accidentalmente prefissi che non possiede, deviando il traffico attraverso la sua rete. Nel 2010, China Telecom (AS4134) annunciò brevemente i percorsi per migliaia di prefissi IP appartenenti ad agenzie governative statunitensi, appaltatori militari e grandi aziende, deviando il loro traffico attraverso la Cina per circa 18 minuti.

Perdite di percorso BGP sono meno dannosi ma ugualmente distruttivi. Nel 2019, una piccola rete europea (AS37282) ha accidentalmente fatto trapelare milioni di percorsi appresi da Cloudflare al proprio fornitore di servizi di transito, causando il passaggio di grandi porzioni di traffico Internet e creando rallentamenti diffusi.

RPKI (Infrastruttura di risorse a chiave pubblica) è la soluzione moderna: un sistema crittografico che consente ai titolari di indirizzi IP di firmare i propri annunci di percorso, consentendo ad altri AS di rifiutare percorsi non validi. L'adozione è cresciuta in modo significativo negli ultimi anni ma non è universale.

Lettura del risultato di una ricerca ASN

Quando cerchi l'ASN di un indirizzo IP, in genere ottieni:

  • ASN: il numero del sistema autonomo (ad esempio, AS13335)
  • Organizzazione: chi possiede/gestisce questo AS (ad esempio, CLOUDFLARENET)
  • Prefisso: il blocco IP annunciato (ad esempio, 104.16.0.0/12)
  • Registro: Quale Registro Internet Regionale ha assegnato questo (ARIN, RIPE, APNIC, ecc.)
  • Paese: il paese in cui è registrato l'AS

Queste informazioni sono utili per:

Indagini di sicurezza: Se vedi traffico proveniente da un ASN inaspettato, sapere chi lo gestisce può dirti se si tratta di un provider cloud legittimo, una VPN, un ISP residenziale o qualcosa di più preoccupante.

Geolocalizzazione e routing: i dati ASN sono più affidabili della geolocalizzazione IP per determinare da quale rete proviene una connessione. Un utente VPN potrebbe sembrare in un altro Paese tramite geolocalizzazione, ma il suo ASN rivela la rete del provider VPN.

Ricerca sulle infrastrutture: Capire quali ASN utilizza un'azienda rivela la sua impronta di hosting. Un sito potrebbe essere eseguito su AS16509 (Amazon AWS) anche se il dominio non punta ovviamente a lì.

Informazioni sulle minacce: molti feed di minacce e sistemi firewall operano su blocchi a livello di ASN, bloccando tutto il traffico proveniente da un AS associato a hosting a prova di proiettile o infrastruttura notoriamente dannosa.

Peering e transito: come si connettono gli AS

I sistemi autonomi si collegano tra loro in due modi:

Transito: Un AS ne paga un altro per l'accesso a Internet. Il tuo ISP di casa è cliente di un fornitore di servizi di trasporto pubblico più grande. Il denaro scorre dal cliente al fornitore.

Scrutare: Due AS si scambiano traffico direttamente, solitamente con reciproco vantaggio, senza pagamento. Reti di grandi dimensioni su scala simile spesso si collegano agli Internet Exchange Point (IXP), strutture fisiche a cui si connettono molte reti.

I punti di scambio Internet (come DE-CIX a Francoforte, AMS-IX ad Amsterdam ed Equinix in varie città) ospitano migliaia di connessioni peering. Facendo peering a un IXP, una rete può raggiungere direttamente molte altre reti senza pagare costi di transito per quel traffico.

Il risultato finale

Gli ASN rappresentano il modo in cui Internet rimane organizzata come un insieme di reti indipendenti. Ogni ISP, fornitore di servizi cloud e operatore di rete ne ha uno. BGP utilizza gli ASN per creare una mappa di routing globale e dirigere il traffico oltre i confini di Internet.

Per uso pratico, le ricerche ASN indicano a quale rete appartiene un indirizzo IP: utili nell'analisi della sicurezza, nella ricerca sull'infrastruttura e nella comprensione delle anomalie di routing. Cerca qualsiasi IP o dominio con Strumento di ricerca ASN.