¿Qué es un ASN? Números de sistema autónomo explicados

Escribes una dirección en una web de consulta de IP para ver de dónde vino una conexión y, junto a la ciudad y el nombre del proveedor, hay una línea en la que quizá no te habías fijado: AS64496. Es un ASN, y dice algo que una dirección IP por sí sola no puede decir: a qué red pertenece la dirección.

En este artículo explicamos qué es un sistema autónomo, qué significa su número y quién reparte los números; después mostramos cómo usa BGP ese número, cómo consultar el ASN que hay detrás de cualquier dirección IP, por qué lo leen las webs y qué significa la segmentación por ASN en un proxy. Cierran el artículo una nota para dueños de sitios, una tabla de decisión y seis respuestas breves.

¿Qué es un sistema autónomo?#

Un sistema autónomo (AS) es un grupo de bloques de direcciones IP gestionado como una unidad bajo una sola política de enrutamiento. El RFC 1930, la guía de 1996 que todavía define el término, lo describe como un grupo conectado de uno o más prefijos IP gestionado por uno o más operadores de red con una política de enrutamiento única y claramente definida.

Un prefijo es un bloque de direcciones consecutivas escrito con una barra: 203.0.113.0/24 abarca las 256 direcciones de 203.0.113.0 a 203.0.113.255. Una política de enrutamiento es el conjunto de reglas que decide qué caminos acepta una red de sus vecinas y cuáles les ofrece. «Única y claramente definida» significa que, desde fuera, todo el grupo se comporta como una sola red.

En la práctica, un sistema autónomo suele ser la red de una organización: un proveedor de internet, un operador móvil, una empresa de hosting o de nube, una universidad o una gran empresa con espacio de direcciones propio. Tu red de casa no lo es; está dentro del AS de tu proveedor y sigue sus decisiones de enrutamiento. La página sobre números de AS de RIPE NCC también llama al AS «dominio de enrutamiento».

¿Qué es un ASN (número de sistema autónomo)?#

Un ASN es el número que identifica a un sistema autónomo cuando intercambia información de enrutamiento con otros sistemas. Se escribe como AS seguido del número, así que AS64496 se lee «sistema autónomo número 64496».

Los ASN fueron en origen números de 16 bits, lo que, como señala el RFC 1930, los limita a 65.535 valores únicos. Cuando ese espacio empezó a agotarse, el RFC 6793 (diciembre de 2012) amplió BGP a números de cuatro octetos, es decir, de 32 bits, y elevó el pool hasta 4.294.967.295. El mismo documento reserva AS23456, llamado AS_TRANS, como sustituto que el software BGP antiguo usa para un número de 32 bits que no puede representar.

No todos los números se pueden asignar. El registro de la IANA aparta algunos, y las cuatro fichas de nuestra portada, de AS64496 a AS64499, vienen del bloque de documentación, así que nunca pertenecerán a una red real.

Los números de uso privado son el equivalente en ASN de las direcciones 192.168.x.x; el RFC 6996 exige que se eliminen de la ruta de AS antes de anunciar una ruta a la internet global.

¿Quién asigna los ASN?#

Los ASN bajan por la misma cadena que las direcciones IP: un pool global, cinco registros regionales y, por último, las organizaciones que gestionan redes.

1. La IANA mantiene el pool global. El registro de números de AS de la IANA enumera cada bloque de números de 16 y 32 bits y el registro regional al que fue; los bloques nuevos se entregan a petición de un registro según una política global.
2. Los cinco registros regionales de Internet (RIR) asignan números en sus regiones: AFRINIC (África), APNIC (Asia-Pacífico), ARIN (América del Norte y parte del Caribe), LACNIC (América Latina y parte del Caribe) y RIPE NCC (Europa, Oriente Medio y Asia Central, lo que incluye a Türkiye).
3. Una organización solicita un número a su RIR. En la región de RIPE NCC cualquier organización puede obtener un ASN, pero necesita un acuerdo contractual: se convierte en miembro de RIPE NCC, un registro local de Internet (LIR), o pasa por un LIR patrocinador. La política exige que la red sea multi-homed, es decir, que esté conectada a más de una red, y que tenga una política de enrutamiento propia, que la solicitud debe describir.
4. El número se registra y se pone en marcha. El RIR escribe un objeto aut-num en su base de datos pública con el nombre del titular, y la organización empieza a anunciar sus prefijos bajo el nuevo número.

¿Cómo usa BGP el ASN?#

BGP (Border Gateway Protocol) es el protocolo con el que los sistemas autónomos se dicen unos a otros qué direcciones pueden alcanzar; el RFC 4271, la especificación vigente, lo llama protocolo de enrutamiento entre sistemas autónomos cuya tarea principal es intercambiar información de alcanzabilidad de red. El ASN es el nombre que cada sistema usa en esa conversación:

1. Una red anuncia sus prefijos. El AS dice a sus vecinos que puede alcanzar 203.0.113.0/24, con su propio ASN adjunto como origen.
2. Los vecinos pasan el anuncio. Cada red que reenvía la ruta añade su propio ASN al principio, así que la ruta lleva la lista de sistemas por los que pasó, la ruta de AS (AS path).
3. Cada red elige según su política. Un sistema que oye el mismo prefijo de varios vecinos escoge una ruta según su política de enrutamiento: el camino más corto, el contrato más barato o un socio preferente.
4. Los paquetes siguen la ruta elegida salto a salto. Ningún router conoce toda la internet; cada uno sabe solo a qué vecino entregar un paquete para un prefijo dado.

El número al final de una ruta de AS es el ASN de origen (origin ASN), la red que puso el prefijo en internet. Ese es el número que las herramientas de consulta muestran para una dirección IP.

Dirección IP, prefijo, ASN y RIR: ¿qué identifica cada uno?#

Leída hacia arriba, la cadena es corta: la dirección está dentro de un prefijo, el prefijo lo anuncia un ASN, y el ASN y sus prefijos están registrados a nombre de una organización en la base de datos de un registro.

¿Cómo encontrar el ASN de una dirección IP?#

La consulta lleva un minuto y no necesita cuenta. Las direcciones de abajo vienen de los rangos de documentación, que nunca se enrutan, así que sustitúyelas por la dirección que estás comprobando.

1. Abre una herramienta de consulta BGP. bgp.tools acepta un ASN, un prefijo o un nombre de dominio y muestra en su portada el prefijo y el ASN de tu propia conexión. La RIPE Database en whois.ripe.net sirve el registro para la región de RIPE NCC; los demás RIR tienen equivalentes.
2. Introduce la dirección. La herramienta encuentra el prefijo más específico que la contiene.
3. Lee el ASN de origen y el titular. El resultado muestra el prefijo, el ASN que lo anuncia, el nombre registrado para ese ASN y el RIR que lo asignó.
4. Contrasta cuando las dos fuentes no coincidan. El registro dice quién tiene un bloque; la tabla de enrutamiento dice quién lo anuncia ahora mismo. Un bloque alquilado puede estar registrado a nombre de una organización y ser anunciado por otra.

La misma consulta responde a «cuál es mi ASN»: en casa el número es el AS de tu proveedor, con datos móviles el del operador, y con un proxy activado la red de la dirección de salida.

Nivel avanzado: leer un registro whois#

Si tienes un terminal con el comando whois (macOS lo trae, Linux lo ofrece como paquete, Windows no tiene una versión integrada), puedes consultar el registro directamente:

whois -h whois.ripe.net 203.0.113.25

Sustituye la dirección por la que estás comprobando. La respuesta es un conjunto de objetos formados por líneas campo: valor: inetnum describe el bloque registrado con netname, org, country y status; route vincula un prefijo con el número que lo anuncia en su campo origin; y una consulta del propio ASN devuelve aut-num con as-name, org y descr, seguido de líneas import y export que detallan la política de enrutamiento. Comprobamos estos nombres de campo con el registro propio de RIPE NCC, AS3333, cuyo as-name es RIPE-NCC-AS.

¿Por qué las webs y los sistemas antifraude leen el ASN?#

Porque el ASN es lo más fiable que una dirección IP dice sobre la red que hay detrás. La mayor parte del tráfico de consumo llega desde los AS de proveedores de internet y operadores móviles, mientras que casi nadie compra desde un servidor, así que una petición desde el AS de una empresa de hosting empieza con un interrogante encima. El registro no tiene ningún campo que diga «red doméstica»; esa etiqueta viene de las bases de datos de inteligencia de IP, que interpretan el nombre del titular y el tráfico que observan, como explicamos en proxy ISP o residencial.

Los sistemas de reputación también llevan la cuenta por AS: los evaluadores agrupan direcciones por prefijo y ASN, de modo que una red con historial de spam o credential stuffing arrastra hacia abajo cada dirección que anuncia, y un AS limpio sube las suyas; las listas que hay detrás de esas puntuaciones están en qué es la reputación de IP.

¿Qué significa la segmentación por ASN en un proxy?#

La segmentación por ASN significa elegir la red a la que pertenece la dirección de salida de tu proxy. Un pool residencial tiene direcciones de los sistemas autónomos de muchos proveedores en cada país; con la segmentación añades la red al país y la ciudad que elegiste y recibes una dirección anunciada solo por esa red. En los Proxies residenciales de Proxynet, la segmentación por país, ciudad y ASN son opciones gratuitas del Endpoint Generator, que codifica la elección en el nombre de usuario del proxy.

Hay tres límites. Es un filtro de red, no un menú de operadores: eliges un sistema autónomo por su número, y Proxynet no ofrece selección de operador en ningún producto. Los sistemas autónomos tienen tamaños desiguales, así que un ASN estrecho tiene menos salidas y sesiones más cortas que el de un proveedor nacional. Y el ASN de una dirección lo fija la red, así que una rotación a otra salida puede mostrar otro número.

Los motivos típicos para segmentar por ASN son ver qué muestra una web a los abonados de un proveedor, verificar que una campaña publicitaria llega a la red para la que se compró y probar tus propias reglas contra una red concreta. Para trabajos que necesitan la misma dirección cada día, registrada bajo el AS de un proveedor pero alojada en un servidor, los Proxies ISP son la alternativa: el ASN nunca cambia porque la dirección nunca cambia.

Para dueños de sitios: permitir o bloquear por ASN#

Las reglas por ASN son gruesas, y eso es a la vez su fuerza y su peligro. Encajan en los casos en que toda una categoría de redes debe tratarse igual, como poner a los AS de hosting detrás de una comprobación extra en un formulario de registro.

1. Reúne los prefijos. Una herramienta BGP enumera cada prefijo que anuncia un AS; expórtalos como bloques CIDR.
2. Cárgalos en la capa que aplica la regla. Los firewalls, los WAF y las CDN aceptan listas de direcciones, y la mayoría de las CDN exponen directamente el ASN de una petición.
3. Actualízalos con una periodicidad fija. Los prefijos se mueven entre redes, así que una lista exportada una sola vez queda desfasada en meses.
4. Prefiere una verificación a un bloqueo. Un paso de verificación le cuesta segundos a un usuario real; un bloqueo te cuesta el cliente.

El peligro es bloquear de más. Detrás de una dirección en un AS móvil o de consumo puede haber cientos de abonados que la comparten mediante NAT de operador, como describimos en qué es CGNAT, y un gran AS de nube aloja tanto bots como servicios de los que dependen tus clientes. Una regla por ASN funciona mejor como una entrada más junto al ritmo de peticiones y el comportamiento, nunca como única puerta.

Dónde importa el ASN en el trabajo diario#

• Verificación de anuncios. Confirmar que una campaña comprada para los abonados de un proveedor se muestra desde una dirección dentro de esa red.
• Comprobación de precios y contenidos. Ver si una web sirve precios u opciones de pago distintos a redes distintas de la misma ciudad.
• Probar tu propio sitio. Ver el inicio de sesión y el pago desde un AS de consumo, uno móvil y uno de hosting para saber qué hacen tus reglas con cada uno.
• Operación de red. Vigilar que tus prefijos los anuncia tu propio ASN y nadie más.

Errores frecuentes#

• Tratar el ASN como un tipo de red. El registro guarda el nombre de una organización; «hosting» e «ISP» son etiquetas de terceros que pueden variar entre servicios.
• Esperar cambiar tu ASN. El número pertenece a la red; solo otra red, o una salida de proxy en otra red, muestra un número distinto.
• Equiparar un ASN con un proveedor. Un proveedor grande puede gestionar varios ASN, y un solo ASN puede llevar varias marcas de consumo.
• Usar números privados o de documentación en configuraciones reales. De AS64512 a AS65534 son solo para uso interno; de AS64496 a AS64511 existen para ejemplos como este artículo.

Guía de decisión#

Preguntas frecuentes#

¿Qué significa el ASN junto a una dirección IP?#

Es el número de sistema autónomo de la red que anuncia esa dirección al resto de internet. Una herramienta de consulta encuentra el prefijo que contiene la dirección y después muestra el ASN que lo origina y el titular registrado. El ASN nombra la red, no a la persona ni al dispositivo.

¿Un ASN es lo mismo que un ISP?#

No, aunque a menudo coinciden. Un ISP es una empresa; un ASN es un número asignado a una red con política de enrutamiento propia. Un ISP grande puede gestionar varios ASN, y las empresas de hosting, las universidades y las corporaciones tienen ASN sin ser ISP.

¿Puedo cambiar mi ASN?#

En tu propia conexión, no: el ASN pertenece a la red que anuncia tu dirección. Pasar del wifi a los datos móviles lo cambia porque te mueves a otra red, y un proxy o una VPN muestran a la web el ASN de la salida en lugar del tuyo.

¿Cuál es mi ASN y cómo lo encuentro?#

Abre una web de consulta BGP en la conexión que quieres comprobar; la mayoría muestra en su portada el ASN de tu dirección actual. En casa es el número de tu proveedor; con datos móviles, el de tu operador.

¿Todas las redes tienen un ASN?#

No. Solo las redes que se conectan a más de una red y gestionan su propia política de enrutamiento necesitan uno, y por eso RIPE NCC pide exactamente eso. Las redes domésticas y la mayoría de las redes de empresa viven dentro del AS de su proveedor.

¿Por qué algunos ASN tienen diez dígitos?#

Porque el espacio de números se amplió. Los números originales de 16 bits llegan hasta 65.535, así que el RFC 6793 introdujo números de 32 bits hasta 4.294.967.295; una red a la que se asignó un número en los últimos años probablemente tiene uno grande.

En resumen#

Un sistema autónomo es un grupo de prefijos IP gestionado bajo una sola política de enrutamiento, y su ASN es el número que lo identifica ante otras redes. La IANA entrega los números a los registros regionales, los registros los asignan a redes multi-homed y BGP lleva el número en cada ruta, así que cualquier dirección IP pública puede rastrearse hasta el AS que la anuncia. Las webs leen el ASN para distinguir redes de consumo, móviles y de hosting, y por eso la red que hay detrás de una dirección de proxy importa tanto como su país. Cuando el trabajo necesita una salida en una red concreta, o una dirección que se mantenga bajo el AS de un proveedor, compara las opciones en nuestra página de productos proxy.