AS / ASN / توجيه BGP — فهم العمود الفقري للإنترنت

أولًا. ما هو AS — النظام المستقل (Autonomous System)

AS (النظام المستقل) هو شبكة أو مجموعة شبكات تخضع لسياسة توجيه إدارية موحدة. وما يستخدمه AS داخليًا من بروتوكولات توجيه (OSPF / IS-IS) شأن خاص به، أما بين أنظمة AS فيستخدم BGP للإعلان علنًا عن بادئات IP.

• مزود خدمة الإنترنت الكبير هو نفسه AS (China Telecom AS4134، وChina Unicom AS4837، وChina Mobile AS9808)
• مزود الخدمات السحابية الكبير هو AS أيضًا (Google AS15169، وCloudflare AS13335، وAWS AS16509)
• يمكن للجامعات والجهات الحكومية والشركات الكبرى امتلاك AS خاص بها
• أما عنوان IP لمستخدم النطاق العريض المنزلي العادي فيقتطع من AS مزود خدمة الإنترنت الذي يتعامل معه — ولا يحتاج المستخدمون النهائيون إلى AS خاص بهم

1.1 من يخصص أرقام ASN

تدير أرقام ASN (أرقام AS) 5 سجلات إنترنت إقليمية (RIR):

كانت أرقام ASN في الأصل بطول 16 بت (0-65535، وبدأت تشح بعد عام 1996)؛ أما اليوم فهي 32 بت (0-4294967295، RFC 6793). ويستخدم منها فعليًا في العالم اليوم نحو 120,000 رقم.

1.2 كيف تقرأ رقم ASN — الصيغ المختلفة

في الاستخدام الحديث تكفي الصيغة الرقمية البحتة. ويمكن حذف البادئة «AS»، لكن كتابتها أوضح.

ثانيًا. BGP — «نظام الرموز البريدية» للإنترنت

BGP (Border Gateway Protocol)، أي بروتوكول البوابة الحدودية (RFC 4271)، هو بروتوكول التوجيه الوحيد المستخدم بين أنظمة AS. ويستخدم كل AS بروتوكول BGP لكي يعلن لأنظمة AS المجاورة: «يمكنني الوصول إلى بادئات IP هذه، وعبري يمكنك الوصول إلى أنظمة AS التالية».

2.1 جوهر إعلان BGP: البادئة + AS-PATH

Prefix                Next Hop          AS-PATH
104.16.0.0/13    203.0.113.1   AS3356 AS13335   ← عبر Lumen إلى Cloudflare
104.16.0.0/13    198.51.100.5   AS6939 AS13335   ← عبر HE.net إلى Cloudflare
8.8.8.0/24      203.0.113.1   AS3356 AS15169   ← إلى Google DNS
202.106.0.0/16  198.51.100.5   AS6939 AS4847 AS4134 ← إلى China Telecom في بكين

يسرد AS-PATH كل AS يمر به المسار من AS المنشئ (الجهة المالكة للبادئة) إلى الموجه الحالي. اقرأه من اليمين إلى اليسار — فأقصى AS على اليمين هو المنشئ، وأقصى AS على اليسار هو المجاور.

2.2 كيف يختار BGP أفضل مسار

عند وجود عدة مسارات للبادئة نفسها، يختار BGP أحدها وفق ترتيب الأولوية التالي (باختصار):

1. LOCAL_PREF: الأعلى أفضل — تفضيل داخلي ضمن AS (أي المسارات يستخدم أولًا)
2. AS-PATH الأقصر أفضل — يفوز المسار الذي يعبر عددًا أقل من أنظمة AS
3. Origin: IGP (داخلي) >؛ EGP >؛ Incomplete
4. MED (Multi-Exit Discriminator): الأدنى أفضل — تلميح يمرر بين أنظمة AS
5. eBGP > iBGP
6. تكلفة IGP: الأدنى أفضل
7. Router ID: الأدنى أفضل (الفيصل الأخير عند التعادل)

ملاحظة: لا يختار BGP بالضرورة أسرع مسار. فقصر AS-PATH لا يعني انخفاض زمن الاستجابة الفعلي. وقد يكون مسار عابر للقارات يمر عبر AS واحد أبطأ من مسار داخل المدينة نفسها يمر عبر 3 أنظمة AS.

ثالثًا. Tier 1 / Tier 2 / Tier 3 — التسلسل الهرمي لمزودي خدمة الإنترنت

تنقسم جميع أنظمة AS إلى ثلاث فئات بحسب ما إذا كان عليها الدفع مقابل خدمة العبور (transit) من المزود الأعلى:

مسار نموذجي لحزمة بيانات في النطاق العريض المنزلي: منزلك → مزود خدمة إنترنت محلي صغير (Tier 3) → شبكة المقاطعة / الشبكة الحضرية (Tier 2) → العمود الفقري لشبكة China Telecom (Tier 1) → Tier 1 في الخارج → الشبكة الوجهة.

رابعًا. اختبر بنفسك — ما أنظمة AS الواقعة بين منزلك وGoogle

استخدم mtr -bz (في BSD: traceroute -A) لرؤية رقم AS لكل قفزة:

HOST: xxx                Loss%   Snt   Last  Avg   ASN
1.  192.168.1.1                0.0%   10   0.5  0.6   (شبكة خاصة، بلا ASN)
2.  61.183.x.x                 0.0%   10   3.2  3.5   AS4134  China Telecom
3.  202.97.x.x                 0.0%   10   5.1  5.4   AS4134  العمود الفقري لشبكة China Telecom
4.  202.97.x.x                 0.0%   10  15.2  16.1  AS4134
5.  202.97.x.x                 0.0%   10  45.3  46.0  AS4134  عقدة ما قبل الخروج
6.  211.95.x.x                 0.0%   10 156.4 158.2  AS4134  البوابة الدولية
7.  72.14.215.x                0.0%   10 158.1 159.8  AS15169 شبكة Google
8.  142.250.x.x                0.0%   10 159.8 161.2  AS15169 Google
9.  142.250.x.x (www.google.com)  0.0%   10 160.2 162.0  AS15169

من تتبع mtr هذا، يمكننا ملاحظة ما يلي:

• المنزل → شبكة China Telecom المحلية (AS4134، القفزتان 2-3): &lt؛ 10ms
• العمود الفقري لشبكة China Telecom (AS4134، القفزات 4-6): 5-150ms
• قفزة البوابة الدولية إلى Google (AS15169، القفزة 7): ارتفاع مفاجئ إلى 150+ms ← زمن الاستجابة عند نقطة الخروج الدولية
• داخل Google (AS15169، القفزتان 8-9): &lt؛ 5ms

لا يعبر المسار من النطاق العريض المنزلي في الصين إلى Google سوى نظامي AS اثنين — أي AS-PATH قصير للغاية — ومع ذلك فزمن الاستجابة الفعلي مرتفع. وهذا بالضبط ما نعنيه بقولنا «طول مسار BGP ليس زمن الاستجابة الفعلي».

خامسًا. كابوسا BGP الأمنيان — تسريب المسارات واختطافها

5.1 تسريب المسارات

يمرر AS عن طريق الخطأ مسارات لا ينبغي أن تصل إلى المزود الأعلى إلى المزود الأعلى أو إلى نظام مجاور، فتتجه حركة المرور العالمية في مسار خاطئ. ومثال نموذجي على ذلك: أن يخلط مزود خدمة الإنترنت بين مسارات أحد عملائه ومساراته الخاصة فيعلنها للجميع.

حادثة بارزة: في نوفمبر 2017، أدى تسريب مسارات من Level3 (AS3356) إلى تعطيل الخدمة لدى أعداد كبيرة من عملاء Comcast وVerizon في المستوى الأدنى.

5.2 اختطاف BGP

يعلن AS خبيث عن بادئات IP لا يملكها. وبمجرد أن تقبل أنظمة AS الأخرى هذا الإعلان، يعاد توجيه حركة المرور إلى الجهة المختطفة، ما يتيح هجمات الوسيط (MITM) أو حجب الخدمة أو تسميم DNS.

حوادث بارزة:

• 2008: أعلنت PTCL الباكستانية عن بادئة YouTube، فأعيد توجيه حركة YouTube العالمية إلى باكستان لمدة ساعتين
• 2018: أعلنت eNet (AS10297) عن بادئات DNS الخاصة بخدمة Amazon Route 53، واختطفت حركة مستخدمي MyEtherWallet لنحو ساعتين
• 2022: اختطفت RTCOMM الروسية لفترة وجيزة بادئة تخص Twitter

5.3 الحماية — RPKI يوقع المسارات

تتيح RPKI (Resource Public Key Infrastructure)، المعرفة في سلسلة RFC 6480، للحائز الشرعي لبادئة IP أن يوقع تشفيريًا على أن «هذه البادئة لا يجوز أن تنشأ إلا من هذا AS». وتسقط موجهات BGP التي تدعم RPKI المسارات غير الموقعة أو الموقعة توقيعًا خاطئًا.

أصبح نحو نصف بادئات IPv4 في العالم موقعًا عبر RPKI، ولا تزال النسبة في ارتفاع. وعندما تستعلم عن IP على cleanip.io، تعرض بطاقة «معلومات AS» حالة RPKI الخاصة به: valid / invalid / not-found.

سادسًا. كيف تستعلم عن رقم ASN الذي ينتمي إليه عنوان IP أو اسم نطاق

6.1 الاستعلام مباشرة على cleanip.io

ما عليك إلا زيارة https://cleanip.io/8.8.8.8 أو https://cleanip.io/AS15169 — إذ نعرض معلومات ASN الكاملة، وتاريخ التسجيل، ونطاقات IP، والمزود الأعلى وعملاء المستوى الأدنى، والتوزيع الجغرافي.

6.2 مخططات BGP المرئية على cleanip.io

/asn-graph ترسم طوبولوجيا BGP لأي ASN — من Origin مرورًا بشبكات Tier 2 وصولًا إلى Tier 1، لترى بنظرة واحدة من يرتبط نظيريًا بمن.

/asn-history تعرض تاريخ ملكية IP / CIDR — أي أنظمة AS التي انتمى إليها CIDR عبر الزمن، ومتى تغير ذلك.

6.3 أدوات سطر الأوامر

$ whois -h whois.cymru.com " -v 8.8.8.8"
AS      | IP        | BGP Prefix    | CC | Registry | Allocated  | AS Name
15169   | 8.8.8.8   | 8.8.8.0/24    | US | arin     | 1992-12-01 | GOOGLE, US

$ curl https://api.bgpview.io/ip/8.8.8.8 | jq
{
  "data": {
    "ip": "8.8.8.8",
    "prefixes": [{
      "asn": { "asn": 15169, "name": "Google LLC" },
      "prefix": "8.8.8.0/24"
    }]
  }
}

سابعًا. مرجع سريع لأرقام ASN الشائعة

ثامنًا. لماذا يهم هذا المستخدمين العاديين أيضًا

• تنظر أنظمة إدارة المخاطر إلى ASN عند تقييم سمعة IP — فأرقام ASN التابعة لمراكز البيانات (مزودو الخدمات السحابية / VPN) تحصل عادة على درجات أدنى؛ بينما تحصل أرقام ASN الخاصة بالنطاق العريض السكني (China Telecom / Unicom) على درجات أعلى
• عند اختيار CDN لحركة المرور العابرة للحدود، تحقق من مسافة AS بين ASN المستخدمين المستهدفين وعقد CDN — ويخبرك cleanip.io باستعلام واحد إلى أي AS ينتمي عنوان IP
• أثناء هجوم DDoS، يكون ASN أول خيط لتتبع المصدر — مثل «معظم حركة الهجوم صدرت من مركز البيانات AS46562 Performive»
• عند اختيار VPN، تحقق من ASN مركز البيانات (IDC) الذي يستضيفه — راجع تتبع VPN لمزيد من التفاصيل