O que é um ASN? Números de sistema autônomo explicados

Você digita um endereço em um site de consulta de IP para ver de onde veio uma conexão e, ao lado da cidade e do nome do provedor, há uma linha em que talvez você nunca tenha reparado: AS64496. É um ASN, e ele diz algo que um endereço IP sozinho não consegue dizer: a qual rede o endereço pertence.

Este artigo explica o que é um sistema autônomo, o que o número dele significa e quem distribui os números; depois mostra como o BGP usa o número, como consultar o ASN por trás de qualquer endereço IP, por que os sites o leem e o que a segmentação por ASN significa em um proxy. Uma nota para donos de sites, uma tabela de decisão e seis respostas curtas fecham o texto.

O que é um sistema autônomo?#

Um sistema autônomo (AS) é um grupo de blocos de endereços IP operado como uma unidade sob uma única política de roteamento. A RFC 1930, a diretriz de 1996 que ainda define o termo, o descreve como um grupo conectado de um ou mais prefixos IP operado por um ou mais operadores de rede com uma política de roteamento única e claramente definida.

Um prefixo é um bloco de endereços consecutivos escrito com uma barra: 203.0.113.0/24 cobre os 256 endereços de 203.0.113.0 a 203.0.113.255. Uma política de roteamento é o conjunto de regras que decide quais caminhos uma rede aceita dos vizinhos e quais oferece a eles. "Única e claramente definida" significa que, visto de fora, o grupo inteiro se comporta como uma única rede.

Na prática, um sistema autônomo costuma ser a rede de uma organização: um provedor de internet, uma operadora móvel, uma empresa de hospedagem ou de nuvem, uma universidade ou uma grande empresa com espaço de endereços próprio. A sua rede de casa não é um; ela fica dentro do AS do seu provedor e segue as decisões de roteamento dele. A página sobre números de AS do RIPE NCC também chama o AS de "domínio de roteamento".

O que é um ASN (número de sistema autônomo)?#

Um ASN é o número que identifica um sistema autônomo quando ele troca informações de roteamento com outros sistemas. Ele é escrito como AS seguido do número, então AS64496 se lê "sistema autônomo número 64496".

Os ASNs eram originalmente números de 16 bits, o que, como a RFC 1930 observa, os limita a 65.535 valores únicos. Quando esse espaço começou a acabar, a RFC 6793 (dezembro de 2012) estendeu o BGP a números de quatro octetos, ou seja, de 32 bits, e levou o pool até 4.294.967.295. O mesmo documento reserva AS23456, chamado AS_TRANS, como o substituto que softwares BGP antigos usam para um número de 32 bits que não conseguem representar.

Nem todo número pode ser atribuído. O registro da IANA separa alguns, e os quatro quadros da nossa capa, AS64496 a AS64499, vêm do bloco de documentação, então nunca pertencerão a uma rede real.

Os números de uso privado são o equivalente em ASN dos endereços 192.168.x.x; a RFC 6996 exige que eles sejam removidos do caminho de AS antes de uma rota ser anunciada à internet global.

Quem atribui os ASNs?#

Os ASNs descem pela mesma cadeia que os endereços IP: um pool global, cinco registros regionais e, por fim, as organizações que operam redes.

1. A IANA mantém o pool global. O registro de números de AS da IANA lista cada bloco de números de 16 e de 32 bits e o registro regional para onde ele foi; blocos novos são entregues a pedido de um registro, sob uma política global.
2. Os cinco registros regionais da Internet (RIRs) atribuem números em suas regiões: AFRINIC (África), APNIC (Ásia-Pacífico), ARIN (América do Norte e parte do Caribe), LACNIC (América Latina e parte do Caribe) e RIPE NCC (Europa, Oriente Médio e Ásia Central, o que inclui Türkiye).
3. Uma organização solicita um número ao seu RIR. Na região do RIPE NCC, qualquer organização pode obter um ASN, mas precisa de um acordo contratual: ela se torna membro do RIPE NCC, um registro local da Internet (LIR), ou passa por um LIR patrocinador. A política exige que a rede seja multi-homed, isto é, conectada a mais de uma rede, e que tenha uma política de roteamento própria, que o pedido precisa descrever.
4. O número é registrado e entra em uso. O RIR grava um objeto aut-num em seu banco de dados público com o nome do titular, e a organização começa a anunciar seus prefixos sob o novo número.

Como o BGP usa o ASN?#

BGP (Border Gateway Protocol) é o protocolo que os sistemas autônomos usam para dizer uns aos outros quais endereços conseguem alcançar; a RFC 4271, a especificação atual, o chama de protocolo de roteamento entre sistemas autônomos cuja tarefa principal é trocar informações de alcançabilidade de rede. O ASN é o nome que cada sistema usa nessa conversa:

1. Uma rede anuncia seus prefixos. O AS diz aos vizinhos que consegue alcançar 203.0.113.0/24, com o próprio ASN anexado como origem.
2. Os vizinhos repassam o anúncio. Cada rede que encaminha a rota acrescenta o próprio ASN na frente, então a rota carrega a lista de sistemas pelos quais passou, o caminho de AS (AS path).
3. Cada rede escolhe conforme a sua política. Um sistema que ouve o mesmo prefixo de vários vizinhos escolhe uma rota pela sua política de roteamento: o caminho mais curto, o contrato mais barato ou um parceiro preferido.
4. Os pacotes seguem a rota escolhida salto a salto. Nenhum roteador conhece a internet inteira; cada um sabe apenas a qual vizinho entregar um pacote para um determinado prefixo.

O número no fim de um caminho de AS é o ASN de origem (origin ASN), a rede que colocou o prefixo na internet. É esse o número que as ferramentas de consulta mostram para um endereço IP.

Endereço IP, prefixo, ASN e RIR: o que identifica o quê?#

Lida de baixo para cima, a cadeia é curta: o endereço está dentro de um prefixo, o prefixo é anunciado por um ASN, e o ASN e seus prefixos estão registrados em nome de uma organização no banco de dados de um registro.

Como descobrir o ASN de um endereço IP?#

A consulta leva um minuto e não exige conta. Os endereços abaixo vêm das faixas de documentação, que nunca são roteadas, então troque-os pelo endereço que você está verificando.

1. Abra uma ferramenta de consulta BGP. O bgp.tools aceita um ASN, um prefixo ou um nome de domínio e mostra na página inicial o prefixo e o ASN da sua própria conexão. O RIPE Database, em whois.ripe.net, entrega o registro da região do RIPE NCC; os outros RIRs mantêm equivalentes.
2. Digite o endereço. A ferramenta encontra o prefixo mais específico que o contém.
3. Leia o ASN de origem e o titular. O resultado mostra o prefixo, o ASN que o anuncia, o nome registrado para esse ASN e o RIR que o atribuiu.
4. Confira quando as duas fontes divergirem. O registro diz quem detém um bloco; a tabela de roteamento diz quem o anuncia neste momento. Um bloco alugado pode estar registrado em nome de uma organização e ser anunciado por outra.

A mesma consulta responde "qual é o meu ASN": em casa o número é o AS do seu provedor, nos dados móveis o da operadora, e com um proxy ligado a rede do endereço de saída.

Nível avançado: ler um registro whois#

Se você tem um terminal com o comando whois (o macOS já vem com ele, o Linux o oferece como pacote, o Windows não tem versão embutida), pode consultar o registro diretamente:

whois -h whois.ripe.net 203.0.113.25

Troque o endereço pelo que você está verificando. A resposta é um conjunto de objetos feitos de linhas campo: valor: inetnum descreve o bloco registrado com netname, org, country e status; route liga um prefixo ao número que o anuncia no campo origin; e uma consulta do próprio ASN devolve aut-num com as-name, org e descr, seguido de linhas import e export que detalham a política de roteamento. Conferimos esses nomes de campo no registro do próprio RIPE NCC, o AS3333, cujo as-name é RIPE-NCC-AS.

Por que sites e sistemas antifraude leem o ASN?#

Porque o ASN é a informação mais confiável que um endereço IP dá sobre a rede por trás dele. A maior parte do tráfego de consumo chega dos ASes de provedores de internet e operadoras móveis, enquanto quase ninguém faz compras a partir de um servidor, então uma requisição vinda do AS de uma empresa de hospedagem já começa com um ponto de interrogação. O registro não tem nenhum campo que diga "rede doméstica"; esse rótulo vem dos bancos de dados de inteligência de IP, que interpretam o nome do titular e o tráfego que observam, como explicamos em proxy ISP ou residencial.

Os sistemas de reputação também mantêm a pontuação por AS: os avaliadores agrupam endereços por prefixo e ASN, de modo que uma rede com histórico de spam ou credential stuffing puxa para baixo cada endereço que anuncia, e um AS limpo eleva os seus; as listas por trás dessas pontuações estão em o que é reputação de IP.

O que significa segmentação por ASN em um proxy?#

Segmentação por ASN significa escolher a rede a que o endereço de saída do seu proxy pertence. Um pool residencial tem endereços dos sistemas autônomos de muitos provedores em cada país; com a segmentação, você acrescenta a rede ao país e à cidade que escolheu e recebe um endereço anunciado apenas por essa rede. Nos Proxies residenciais da Proxynet, a segmentação por país, cidade e ASN são opções gratuitas do Endpoint Generator, que grava a escolha no nome de usuário do proxy.

Há três limites. É um filtro de rede, não um menu de operadoras: você escolhe um sistema autônomo pelo número, e a Proxynet não oferece seleção de operadora em nenhum produto. Os sistemas autônomos têm tamanhos desiguais, então um ASN estreito tem menos saídas e sessões mais curtas que o de um provedor nacional. E o ASN de um endereço é fixado pela rede, então uma rotação para outra saída pode mostrar outro número.

Os motivos típicos para segmentar por ASN são ver o que um site mostra aos assinantes de um provedor, verificar se uma campanha de anúncios chega à rede para a qual foi comprada e testar as suas próprias regras contra uma rede específica. Para trabalhos que precisam do mesmo endereço todos os dias, registrado sob o AS de um provedor mas hospedado em um servidor, os Proxies ISP são a alternativa: o ASN nunca muda porque o endereço nunca muda.

Para donos de sites: permitir ou bloquear por ASN#

Regras por ASN são grosseiras, e isso é ao mesmo tempo a força e o perigo delas. Elas servem para casos em que uma categoria inteira de redes deve ser tratada da mesma forma, como colocar os ASes de hospedagem atrás de uma verificação extra em um formulário de cadastro.

1. Reúna os prefixos. Uma ferramenta BGP lista cada prefixo que um AS anuncia; exporte-os como blocos CIDR.
2. Carregue-os na camada que aplica a regra. Firewalls, WAFs e CDNs aceitam listas de endereços, e a maioria das CDNs expõe diretamente o ASN de uma requisição.
3. Atualize em intervalos fixos. Os prefixos migram entre redes, então uma lista exportada uma única vez fica desatualizada em meses.
4. Prefira uma verificação a um bloqueio. Uma etapa de verificação custa segundos a um usuário real; um bloqueio custa o cliente a você.

O perigo é bloquear demais. Atrás de um endereço em um AS móvel ou de consumo pode haver centenas de assinantes que o compartilham por NAT de operadora, como descrevemos em o que é CGNAT, e um grande AS de nuvem hospeda tanto bots quanto serviços dos quais os seus clientes dependem. Uma regra por ASN funciona melhor como uma entrada ao lado do ritmo de requisições e do comportamento, nunca como o único portão.

Onde o ASN importa no trabalho do dia a dia#

• Verificação de anúncios. Confirmar que uma campanha comprada para os assinantes de um provedor é exibida a partir de um endereço dentro dessa rede.
• Checagem de preços e conteúdo. Ver se um site entrega preços ou opções de pagamento diferentes a redes diferentes na mesma cidade.
• Testar o seu próprio site. Ver o login e o checkout a partir de um AS de consumo, um móvel e um de hospedagem para saber o que as suas regras fazem com cada um.
• Operação de rede. Acompanhar se os seus prefixos são anunciados pelo seu próprio ASN e por nenhum outro.

Erros comuns#

• Tratar o ASN como tipo de rede. O registro guarda o nome de uma organização; "hospedagem" e "ISP" são rótulos de terceiros que podem variar de um serviço para outro.
• Esperar mudar o seu ASN. O número pertence à rede; só outra rede, ou uma saída de proxy em outra rede, mostra um número diferente.
• Igualar um ASN a um provedor. Um provedor grande pode operar vários ASNs, e um único ASN pode carregar várias marcas de consumo.
• Usar números privados ou de documentação em configurações reais. De AS64512 a AS65534 são apenas para uso interno; de AS64496 a AS64511 existem para exemplos como este artigo.

Guia de decisão#

Perguntas frequentes#

O que significa o ASN ao lado de um endereço IP?#

É o número de sistema autônomo da rede que anuncia o endereço ao resto da internet. Uma ferramenta de consulta encontra o prefixo que contém o endereço e então mostra o ASN que o origina e o titular registrado. O ASN nomeia a rede, não a pessoa nem o dispositivo.

ASN é a mesma coisa que ISP?#

Não, embora muitas vezes coincidam. Um ISP é uma empresa; um ASN é um número atribuído a uma rede com política de roteamento própria. Um ISP grande pode operar vários ASNs, e empresas de hospedagem, universidades e corporações detêm ASNs sem serem ISPs.

Posso mudar o meu ASN?#

Na sua própria conexão, não: o ASN pertence à rede que anuncia o seu endereço. Trocar do Wi-Fi para os dados móveis muda o número porque você passa para outra rede, e um proxy ou uma VPN mostra ao site o ASN da saída em vez do seu.

Qual é o meu ASN e como descubro?#

Abra um site de consulta BGP na conexão que você quer verificar; a maioria mostra na página inicial o ASN do seu endereço atual. Em casa é o número do seu provedor; nos dados móveis, o da sua operadora.

Toda rede tem um ASN?#

Não. Só as redes que se conectam a mais de uma rede e mantêm a própria política de roteamento precisam de um, e é exatamente isso que o RIPE NCC pede. As redes domésticas e a maioria das redes de empresa vivem dentro do AS do seu provedor.

Por que alguns ASNs têm dez dígitos?#

Porque o espaço de números foi ampliado. Os números originais de 16 bits vão até 65.535, então a RFC 6793 introduziu números de 32 bits até 4.294.967.295; uma rede que recebeu um número nos últimos anos provavelmente tem um grande.

Em resumo#

Um sistema autônomo é um grupo de prefixos IP operado sob uma única política de roteamento, e o seu ASN é o número que o identifica para as outras redes. A IANA entrega os números aos registros regionais, os registros os atribuem a redes multi-homed, e o BGP carrega o número em cada rota, então qualquer endereço IP público pode ser rastreado até o AS que o anuncia. Os sites leem o ASN para distinguir redes de consumo, móveis e de hospedagem, e é por isso que a rede por trás de um endereço de proxy importa tanto quanto o país dele. Quando o trabalho precisa de uma saída em uma rede específica, ou de um endereço que fique sob o AS de um provedor, compare as opções na nossa página de produtos de proxy.