ASN Nedir? Otonom Sistem Numarası Ne İşe Yarar?

Bir bağlantının nereden geldiğini görmek için IP sorgulama sitesine adresi yazıyorsunuz; şehrin ve sağlayıcının adının yanında daha önce belki dikkat etmediğiniz bir satır var: AS64496. Bu bir ASN'dir ve IP adresinin tek başına söyleyemediği bir şeyi söyler: adresin hangi ağa ait olduğunu.

Bu yazıda otonom sistemin ne olduğunu, numarasının ne anlama geldiğini ve numaraları kimin dağıttığını anlatıyor; ardından BGP'nin bu numarayı nasıl kullandığını, bir IP adresinin ASN'sinin nasıl sorgulandığını, sitelerin onu neden okuduğunu ve proxy'de ASN hedeflemenin ne anlama geldiğini gösteriyoruz. Site sahipleri için bir not, bir karar tablosu ve altı kısa cevapla bitiriyoruz.

Otonom sistem nedir?#

Otonom sistem (Autonomous System, AS), tek bir birim olarak, tek bir yönlendirme politikasıyla işletilen IP adres blokları grubudur. Terimi bugün hâlâ tanımlayan 1996 tarihli kılavuz RFC 1930, otonom sistemi bir ya da birkaç ağ işletmecisinin yönettiği, tek ve açıkça tanımlanmış bir yönlendirme politikası olan bağlantılı IP ön ekleri grubu diye tanımlar.

Ön ek (prefix), bölü işaretiyle yazılan ardışık adresler bloğudur: 203.0.113.0/24, 203.0.113.0 ile 203.0.113.255 arasındaki 256 adresi kapsar. Yönlendirme politikası ise bir ağın komşularından hangi yolları kabul edeceğine ve onlara hangilerini sunacağına karar veren kurallar kümesidir. "Tek ve açıkça tanımlanmış" olması, grubun dışarıdan tek bir ağ gibi davranması demektir.

Uygulamada otonom sistem genellikle tek bir kuruluşun ağıdır: bir internet sağlayıcısı, bir mobil operatör, bir barındırma (hosting) ya da bulut şirketi, bir üniversite ya da kendi adres alanı olan büyük bir şirket. Ev ağınız otonom sistem değildir; sağlayıcınızın otonom sisteminin içinde durur ve onun yönlendirme kararlarına uyar. RIPE NCC'nin AS numaraları sayfası otonom sisteme "yönlendirme alanı" (routing domain) da der.

ASN (otonom sistem numarası) nedir?#

ASN, bir otonom sistemi, başka sistemlerle yönlendirme bilgisi alışverişi yaparken tanımlayan numaradır. AS ve ardından numara biçiminde yazılır; AS64496, "64496 numaralı otonom sistem" diye okunur.

ASN'ler başlangıçta 16 bitlik sayılardı; RFC 1930 bunun numaraları 65.535 benzersiz değerle sınırladığını belirtir. Bu alan azalınca RFC 6793 (Aralık 2012) BGP'yi dört sekizlik, yani 32 bitlik numaralara genişletti ve havuzu 4.294.967.295'e çıkardı. Aynı belge, eski BGP yazılımlarının gösteremedikleri bir 32 bitlik numaranın yerine kullandıkları AS23456 numarasını AS_TRANS adıyla ayırır.

Her numara atanamaz. IANA'nın kayıt defteri bazılarını kenara ayırır; kapağımızdaki dört karo, AS64496 ile AS64499, belgeleme bloğundan gelir ve bu yüzden hiçbir zaman gerçek bir ağa ait olmayacaklar.

Özel kullanım numaraları, ASN dünyasının 192.168.x.x adresleridir; RFC 6996, bir rota küresel internete duyurulmadan önce bu numaraların AS yolundan çıkarılmasını zorunlu tutar.

ASN'leri kim dağıtır?#

ASN'ler IP adresleriyle aynı zincirden iner: küresel bir havuz, beş bölgesel kayıt kuruluşu, sonra ağları işleten kuruluşlar.

1. Küresel havuzu IANA tutar. IANA AS numaraları kayıt defteri, 16 ve 32 bitlik her numara bloğunu ve bloğun gittiği bölgesel kayıt kuruluşunu listeler; yeni bloklar, kayıt kuruluşunun talebiyle ve küresel bir politikaya göre verilir.
2. Beş bölgesel internet kayıt kuruluşu (RIR) numaraları kendi bölgelerinde atar: AFRINIC (Afrika), APNIC (Asya-Pasifik), ARIN (Kuzey Amerika ve Karayipler'in bir bölümü), LACNIC (Latin Amerika ve Karayipler'in bir bölümü) ve Türkiye'nin de içinde bulunduğu Avrupa, Orta Doğu ve Orta Asya'dan sorumlu RIPE NCC.
3. Kuruluş numarayı kendi RIR'inden ister. RIPE NCC bölgesinde herhangi bir kuruluş ASN alabilir, ama bunun için sözleşmeye dayalı bir ilişki gerekir: ya RIPE NCC üyesi, yani bir yerel internet kayıt kuruluşu (LIR) olur, ya da bir sponsor LIR'in aracılığıyla başvurur. Politika, ağın birden fazla ağa bağlı (multi-homed) olmasını ve kendine ait bir yönlendirme politikası bulunmasını şart koşar; başvuru bu politikayı anlatmak zorundadır.
4. Numara kaydedilir ve kullanıma girer. RIR, herkese açık veritabanına sahibin adıyla bir aut-num nesnesi yazar; kuruluş da ön eklerini yeni numarayla duyurmaya başlar.

BGP, ASN'yi nasıl kullanır?#

BGP (Border Gateway Protocol), otonom sistemlerin hangi adreslere ulaşabildiklerini birbirlerine söylemek için kullandıkları protokoldür; güncel standart RFC 4271, onu otonom sistemler arası bir yönlendirme protokolü diye adlandırır ve asıl işinin ağ erişilebilirlik bilgisi alışverişi olduğunu söyler. ASN, her sistemin bu konuşmada kullandığı addır:

1. Ağ, ön eklerini duyurur. Otonom sistem, komşularına 203.0.113.0/24 bloğuna ulaşabildiğini söyler; kaynak olarak kendi ASN'si duyuruya eklidir.
2. Komşular duyuruyu iletir. Rotayı ileten her ağ kendi ASN'sini en öne ekler; rota böylece geçtiği sistemlerin listesini, yani AS yolunu (AS path) taşır.
3. Her ağ politikasına göre seçer. Aynı ön eki birkaç komşusundan duyan sistem, yönlendirme politikasına göre tek bir rota seçer: en kısa yol, en ucuz sözleşme ya da tercih edilen ortak.
4. Paketler seçilen rotayı durak durak izler. Hiçbir yönlendirici internetin tamamını bilmez; her biri yalnız belirli bir ön ek için paketi hangi komşuya vereceğini bilir.

AS yolunun sonundaki numara kaynak ASN'dir (origin ASN): ön eki internete koyan ağ. Sorgulama araçlarının bir IP adresi için gösterdiği numara budur.

IP adresi, ön ek, ASN ve RIR: hangisi neyi tanımlar?#

Yukarı doğru okununca zincir kısadır: adres bir ön ekin içindedir, ön eki bir ASN duyurur, ASN ve ön ekleri de bir kayıt kuruluşunun veritabanında bir kuruluşun adına kayıtlıdır.

Bir IP adresinin ASN'si nasıl sorgulanır?#

Sorgulama bir dakika sürer ve hesap gerektirmez. Aşağıdaki adresler hiçbir zaman yönlendirilmeyen belgeleme aralıklarından geliyor; yerlerine kontrol ettiğiniz adresi yazın.

1. Bir BGP sorgulama aracı açın. bgp.tools, ASN, ön ek ya da alan adı kabul eder ve ana sayfasında kendi bağlantınızın ön ekiyle ASN'sini gösterir. whois.ripe.net adresindeki RIPE Veritabanı, RIPE NCC bölgesi için kayıt defteri kaydını sunar; diğer RIR'ler de benzerlerini işletir.
2. Adresi girin. Araç, o adresi kapsayan en dar ön eki bulur.
3. Kaynak ASN'yi ve sahibi okuyun. Sonuçta ön ek, onu duyuran ASN, o ASN için kayıtlı ad ve numarayı atayan RIR görünür.
4. İki kaynak çelişirse karşılaştırın. Kayıt defteri bloğun kimde olduğunu, yönlendirme tablosu ise onu şu anda kimin duyurduğunu söyler. Kiralanmış bir blok bir kuruluşun adına kayıtlıyken başka bir kuruluş tarafından duyurulabilir.

"ASN'm ne?" sorusunu da aynı sorgulama cevaplar: evde numara sağlayıcınızın otonom sistemidir, mobil veride operatörünüzün, proxy açıkken ise çıkış adresinin ağıdır.

İleri seviye: whois kaydını okumak#

whois komutu olan bir terminaliniz varsa (macOS'ta hazır gelir, Linux'ta paket olarak kurulur, Windows'ta yerleşik sürümü yoktur) kayıt defterini doğrudan sorgulayabilirsiniz:

whois -h whois.ripe.net 203.0.113.25

Adresin yerine kontrol ettiğiniz adresi yazın. Cevap, alan: değer satırlarından oluşan bir nesne kümesidir: inetnum kayıtlı bloğu netname, org, country ve status alanlarıyla anlatır; route bir ön eki origin alanındaki duyuran numaraya bağlar; ASN'nin kendisini sorgularsanız aut-num nesnesi as-name, org ve descr alanlarıyla, ardından yönlendirme politikasını açıkça yazan import ve export satırlarıyla döner. Bu alan adlarını RIPE NCC'nin kendi kaydı olan AS3333 üzerinde doğruladık; as-name alanında RIPE-NCC-AS yazıyor.

Siteler ve dolandırıcılık önleme sistemleri ASN'yi neden okur?#

Çünkü ASN, bir IP adresinin arkasındaki ağ hakkında söylediği en güvenilir şeydir. Tüketici trafiğinin çoğu internet sağlayıcılarının ve mobil operatörlerin otonom sistemlerinden gelir, sunucudan alışveriş yapan neredeyse yoktur; bu yüzden bir barındırma şirketinin otonom sisteminden gelen istek baştan soru işaretiyle karşılanır. Kayıt defterinde "ev ağı" diyen bir alan yoktur; o etiketi, sahibin adını ve gözlemledikleri trafiği yorumlayan IP istihbarat veritabanları üretir. Bunu ISP proxy ve residential proxy karşılaştırmamızda anlattık.

İtibar sistemleri de puanı otonom sistem başına tutar: puanlayıcılar adresleri ön eke ve ASN'ye göre gruplar; spam ya da kimlik doldurma geçmişi olan bir ağ, duyurduğu her adresi aşağı çeker, temiz bir otonom sistem ise adreslerini yukarı taşır. Bu puanların arkasındaki listeleri IP İtibarı Nedir? yazısında açıkladık.

Proxy'de ASN hedefleme ne demektir?#

ASN hedefleme, proxy çıkış adresinizin ait olacağı ağı seçmek demektir. Residential havuzda her ülkede birçok sağlayıcının otonom sisteminden adresler bulunur; hedeflemeyle seçtiğiniz ülke ve şehre bir de ağı eklersiniz ve yalnız o ağın duyurduğu bir adres alırsınız. Proxynet Residential Proxy ürününde ülke, şehir ve ASN hedefleme, seçimi proxy kullanıcı adına işleyen uç nokta oluşturucudaki ücretsiz seçeneklerdir.

Üç sınır vardır. Bu bir ağ filtresidir, operatör menüsü değil: otonom sistemi numarasıyla seçersiniz ve Proxynet hiçbir üründe operatör seçimi sunmaz. Otonom sistemlerin büyüklükleri farklıdır; dar bir ASN'de ulusal bir sağlayıcınınkine göre daha az çıkış ve daha kısa oturum bulunur. Adresin ASN'sini de siz değil ağ belirler; başka bir çıkışa dönen rotasyon başka bir numara gösterebilir.

ASN hedeflemenin tipik nedenleri, bir sitenin bir sağlayıcının abonelerine ne gösterdiğini görmek, bir reklam kampanyasının satın alındığı ağa ulaştığını doğrulamak ve kendi kurallarınızı belirli bir ağa karşı test etmektir. Her gün aynı adrese ihtiyaç duyan, adresi bir sağlayıcının otonom sistemine kayıtlı ama sunucuda barınan işler için seçenek ISP Proxy ürünüdür: adres değişmediği için ASN de değişmez.

Site sahipleri için: ASN'ye göre izin vermek ya da engellemek#

ASN kuralları kabadır; bu hem güçlü yanları hem tehlikeleridir. Bir ağ kategorisinin tamamına aynı muamelenin yapılacağı durumlara uyarlar; kayıt formunda barındırma otonom sistemlerine ek doğrulama koymak gibi.

1. Ön ekleri toplayın. Bir BGP aracı, otonom sistemin duyurduğu her ön eki listeler; bunları CIDR blokları olarak dışa aktarın.
2. Kuralı uygulayan katmana yükleyin. Güvenlik duvarları, WAF'lar ve CDN'ler adres listesi kabul eder; CDN'lerin çoğu isteğin ASN'sini doğrudan da sunar.
3. Düzenli aralıklarla yenileyin. Ön ekler ağlar arasında taşınır; bir kez dışa aktarılmış liste birkaç ay içinde bayatlar.
4. Engel yerine doğrulamayı tercih edin. Doğrulama adımı gerçek kullanıcıya birkaç saniyeye, engel ise size müşteriye mal olur.

Tehlike aşırı engellemedir. Mobil ya da tüketici otonom sistemindeki tek bir adresin arkasında, CGNAT Nedir? yazısında anlattığımız gibi, o adresi operatör düzeyinde NAT ile paylaşan yüzlerce abone olabilir; büyük bir bulut otonom sistemi de hem botları hem müşterilerinizin bağımlı olduğu hizmetleri barındırır. ASN kuralı en iyi, istek hızı ve davranışın yanında tek bir girdi olarak çalışır; asla tek kapı olarak değil.

ASN'nin günlük işte önemli olduğu yerler#

• Reklam doğrulama. Bir sağlayıcının aboneleri için satın alınan kampanyanın o ağın içindeki bir adresten bakınca gösterildiğini doğrulamak.
• Fiyat ve içerik kontrolü. Bir sitenin aynı şehirdeki farklı ağlara farklı fiyat ya da ödeme seçeneği sunup sunmadığını görmek.
• Kendi sitenizi test etmek. Giriş ve ödeme akışınıza bir tüketici, bir mobil ve bir barındırma otonom sisteminden bakıp kurallarınızın her birine ne yaptığını görmek.
• Ağ işletimi. Ön eklerinizin yalnız kendi ASN'niz tarafından duyurulduğunu izlemek.

Sık yapılan hatalar#

• ASN'yi ağ türü sanmak. Kayıt defterinde kuruluş adı yazar; "barındırma" ve "ISS" üçüncü tarafların etiketleridir ve servisten servise değişebilir.
• ASN'nin değiştirilebileceğini beklemek. Numara ağa aittir; farklı bir numara ancak başka bir ağdan ya da o ağdaki bir proxy çıkışından bağlanınca görünür.
• Bir ASN'yi bir sağlayıcıyla eşitlemek. Büyük bir sağlayıcı birkaç ASN işletebilir; tek bir ASN de birkaç tüketici markasını taşıyabilir.
• Özel ya da belgeleme numaralarını gerçek yapılandırmada kullanmak. AS64512 ile AS65534 arası yalnız iç kullanım içindir; AS64496 ile AS64511 arası bu yazıdaki gibi örnekler için vardır.

Karar rehberi#

Sıkça sorulan sorular#

IP adresinin yanındaki ASN ne anlama gelir?#

Adresi internetin geri kalanına duyuran ağın otonom sistem numarasıdır. Sorgulama aracı önce adresi kapsayan ön eki bulur, sonra onu başlatan ASN'yi ve kayıtlı sahibi gösterir. ASN ağı adlandırır; kişiyi ya da cihazı değil.

ASN ile ISS aynı şey mi?#

Hayır; ama çoğu zaman örtüşürler. ISS bir işletmedir, ASN ise kendi yönlendirme politikası olan bir ağa atanmış numaradır. Büyük bir ISS birkaç ASN işletebilir; barındırma şirketleri, üniversiteler ve şirketler de ISS olmadan ASN sahibidir.

ASN'mi değiştirebilir miyim?#

Kendi bağlantınızda hayır: ASN, adresinizi duyuran ağa aittir. Wi-Fi'den mobil veriye geçmek numarayı değiştirir, çünkü başka bir ağa geçersiniz; proxy ya da VPN ise siteye sizinki yerine çıkışın ASN'sini gösterir.

ASN'm ne, nasıl öğrenirim?#

Kontrol etmek istediğiniz bağlantıda bir BGP sorgulama sitesi açın; çoğu, o anki adresinizin ASN'sini ana sayfasında gösterir. Evde bu sağlayıcınızın numarasıdır, mobil veride operatörünüzün.

Her ağın ASN'si var mı?#

Hayır. Yalnız birden fazla ağa bağlanan ve kendi yönlendirme politikasını yürüten ağlar numaraya ihtiyaç duyar; RIPE NCC'nin tam olarak bunu istemesinin nedeni budur. Ev ağları ve çoğu şirket ağı sağlayıcısının otonom sisteminin içinde yaşar.

Bazı ASN'ler neden on haneli?#

Çünkü numara alanı genişletildi. Özgün 16 bitlik numaralar 65.535'e kadar gider; RFC 6793 bu yüzden 4.294.967.295'e kadar çıkan 32 bitlik numaraları getirdi. Son yıllarda numara alan bir ağın numarası büyük ihtimalle büyüktür.

Özet#

Otonom sistem, tek bir yönlendirme politikasıyla işletilen IP ön ekleri grubudur; ASN de onu diğer ağlara tanıtan numaradır. IANA numaraları bölgesel kayıt kuruluşlarına verir, kuruluşlar bunları birden fazla ağa bağlı ağlara atar, BGP de numarayı her rotada taşır; bu sayede her genel IP adresi onu duyuran otonom sisteme kadar izlenebilir. Siteler ASN'yi tüketici, mobil ve barındırma ağlarını ayırmak için okur; bir proxy adresinin arkasındaki ağın ülkesi kadar önemli olmasının nedeni budur. İş belirli bir ağdaki bir çıkışı ya da bir sağlayıcının otonom sisteminde kalan tek bir adresi gerektiriyorsa seçenekleri proxy ürünleri sayfamızda karşılaştırabilirsiniz.