AS / ASN / BGP-Routing – das Rückgrat des Internets verstehen

I. Was ist ein AS – das Autonome System

Ein AS (Autonomes System) ist ein Netz oder eine Gruppe von Netzen mit einer einheitlich verwalteten Routing-Richtlinie. Welches Routing-Protokoll ein AS intern nutzt (OSPF / IS-IS), ist seine eigene Sache – zwischen verschiedenen AS dagegen wird BGP verwendet, um IP-Präfixe öffentlich anzukündigen.

• Ein großer ISP ist selbst ein AS (China Telecom AS4134, China Unicom AS4837, China Mobile AS9808)
• Ein großer Cloud-Anbieter ist ein AS (Google AS15169, Cloudflare AS13335, AWS AS16509)
• Universitäten, Behörden und große Unternehmen können ein eigenes AS besitzen
• Die IP eines gewöhnlichen Breitbandkunden stammt aus dem AS seines ISP – Endnutzer benötigen kein eigenes AS

1.1 Wer vergibt ASNs?

ASNs (AS-Nummern) werden von 5 regionalen Internet-Registrierungsstellen (RIR) verwaltet:

ASNs waren ursprünglich 16 Bit lang (0-65535; ab 1996 wurden sie knapp), heute sind sie 32 Bit lang (0-4294967295, RFC 6793). Weltweit sind derzeit rund 120.000 tatsächlich in Gebrauch.

1.2 ASN-Schreibweisen im Überblick

Heute verwendet man einfach das rein numerische Format. Das Präfix „AS“ kann entfallen, ausgeschrieben ist es aber eindeutiger.

II. BGP – das „Postleitzahlensystem“ des Internets

BGP (Border Gateway Protocol), RFC 4271, ist das einzige Routing-Protokoll, das zwischen AS eingesetzt wird. Jedes AS nutzt BGP, um seinen Nachbar-AS anzukündigen: „Diese IP-Präfixe kann ich erreichen, und über mich sind die folgenden AS dahinter erreichbar.“

2.1 Kern einer BGP-Ankündigung: Präfix + AS-PATH

Prefix                Next Hop          AS-PATH
104.16.0.0/13    203.0.113.1   AS3356 AS13335   ← über Lumen zu Cloudflare
104.16.0.0/13    198.51.100.5   AS6939 AS13335   ← über HE.net zu Cloudflare
8.8.8.0/24      203.0.113.1   AS3356 AS15169   ← zu Google DNS
202.106.0.0/16  198.51.100.5   AS6939 AS4847 AS4134 ← zu China Telecom Peking

Der AS-PATH listet jedes AS auf, das vom Ursprungs-AS (dem Inhaber des Präfixes) bis zum aktuellen Router durchlaufen wird. Er wird von rechts nach links gelesen – ganz rechts steht der Ursprung, ganz links der Nachbar.

2.2 Wie BGP den besten Pfad wählt

Gibt es für dasselbe Präfix mehrere Pfade, wählt BGP einen nach dieser Rangfolge aus (vereinfacht):

1. LOCAL_PREF: höher ist besser – interne Präferenz innerhalb des AS (welcher Pfad zuerst genutzt wird)
2. Kürzerer AS-PATH ist besser – wer weniger AS durchläuft, gewinnt
3. Origin: IGP (intern) > EGP > Incomplete
4. MED (Multi-Exit Discriminator): niedriger ist besser – ein Hinweis, der zwischen AS weitergegeben wird
5. eBGP > iBGP
6. IGP-Kosten: niedriger ist besser
7. Router-ID: niedriger ist besser (letztes Entscheidungskriterium)

Hinweis: BGP wählt nicht unbedingt den schnellsten Pfad. Ein kürzerer AS-PATH bedeutet keine geringere physische Latenz. Eine interkontinentale Route über 1 AS kann langsamer sein als eine Route innerhalb derselben Stadt über 3 AS.

III. Tier 1 / Tier 2 / Tier 3 – die ISP-Hierarchie

Alle AS lassen sich in drei Ebenen einteilen, je nachdem, ob sie für Upstream-Transit bezahlen müssen:

Typischer Paketweg bei einem privaten Breitbandanschluss: Ihr Zuhause → kleiner lokaler ISP (Tier 3) → Provinz- bzw. Stadtnetz (Tier 2) → Backbone von China Telecom (Tier 1) → Tier 1 im Ausland → Zielnetz.

IV. Selbst testen – welche AS zwischen Ihrem Zuhause und Google liegen

Mit mtr -bz (BSD: traceroute -A) sehen Sie die AS-Nummer jedes Hops:

HOST: xxx                Loss%   Snt   Last  Avg   ASN
1.  192.168.1.1                0.0%   10   0.5  0.6   (privates Netz, keine ASN)
2.  61.183.x.x                 0.0%   10   3.2  3.5   AS4134  China Telecom
3.  202.97.x.x                 0.0%   10   5.1  5.4   AS4134  China-Telecom-Backbone
4.  202.97.x.x                 0.0%   10  15.2  16.1  AS4134
5.  202.97.x.x                 0.0%   10  45.3  46.0  AS4134  Knoten vor dem Ausgang
6.  211.95.x.x                 0.0%   10 156.4 158.2  AS4134  internationales Gateway
7.  72.14.215.x                0.0%   10 158.1 159.8  AS15169 Google-Netz
8.  142.250.x.x                0.0%   10 159.8 161.2  AS15169 Google
9.  142.250.x.x (www.google.com)  0.0%   10 160.2 162.0  AS15169

An diesem mtr-Trace lässt sich ablesen:

• Zuhause → lokales Netz von China Telecom (AS4134, Hops 2-3): < 10ms
• Backbone von China Telecom (AS4134, Hops 4-6): 5-150ms
• Sprung vom internationalen Gateway zu Google (AS15169, Hop 7): plötzlicher Anstieg auf 150+ms ← Latenz am internationalen Ausgang
• Innerhalb von Google (AS15169, Hops 8-9): < 5ms

Vom chinesischen Breitbandanschluss bis zu Google sind es nur 2 AS – ein extrem kurzer AS-PATH –, und trotzdem ist die physische Latenz hoch. Genau das meinen wir mit „BGP-Pfadlänge ist nicht gleich physische Latenz“.

V. Die zwei Sicherheitsalbträume von BGP – Route-Leaks und Route-Hijacking

5.1 Route-Leak

Ein AS gibt Routen, die nicht an einen Upstream gehören, fälschlich an einen Upstream oder Nachbarn weiter und lenkt so weltweiten Traffic auf den falschen Pfad. Ein klassisches Beispiel: Ein ISP hält die Routen eines Kunden für seine eigenen Routen und kündigt sie allen an.

Bekannter Vorfall: Im November 2017 störte ein Route-Leak von Level3 (AS3356) die Verbindungen zahlreicher Downstream-Kunden von Comcast und Verizon.

5.2 BGP-Hijacking

Ein bösartiges AS kündigt IP-Präfixe an, die ihm nicht gehören. Sobald andere AS die Ankündigung übernehmen, wird der Traffic zum Angreifer umgeleitet. Das ermöglicht MITM-Angriffe, Denial of Service oder DNS-Poisoning.

Bekannte Vorfälle:

• 2008: Die pakistanische PTCL kündigte das Präfix von YouTube an und leitete den weltweiten YouTube-Traffic 2 Stunden lang nach Pakistan um
• 2018: eNet (AS10297) kündigte die DNS-Präfixe von Amazon Route 53 an und kaperte so rund 2 Stunden lang den Traffic von MyEtherWallet-Nutzern
• 2022: Die russische RTCOMM kaperte kurzzeitig ein Präfix von Twitter

5.3 Abwehr – RPKI signiert Routen

RPKI (Resource Public Key Infrastructure), definiert in der RFC-6480-Reihe, ermöglicht es dem rechtmäßigen Inhaber eines IP-Präfixes, kryptografisch zu signieren: „Dieses Präfix darf nur von diesem AS ausgehen.“ BGP-Router mit RPKI-Unterstützung verwerfen Routen, die nicht oder falsch signiert sind.

Inzwischen ist rund die Hälfte aller IPv4-Präfixe weltweit per RPKI signiert, Tendenz steigend. Wenn Sie auf cleanip.io eine IP abfragen, zeigt die Karte „AS-Info“ den RPKI-Status: valid / invalid / not-found.

VI. So finden Sie heraus, zu welcher ASN eine IP oder Domain gehört

6.1 Direkt auf cleanip.io abfragen

Rufen Sie einfach https://cleanip.io/8.8.8.8 oder https://cleanip.io/AS15169 auf – wir zeigen die vollständigen ASN-Informationen, das Registrierungsdatum, die IP-Bereiche, Upstream und Downstream sowie die geografische Verteilung.

6.2 BGP-Visualisierung auf cleanip.io

/asn-graph zeichnet die BGP-Topologie jeder beliebigen ASN – vom Origin über Tier 2 bis Tier 1. So sehen Sie auf einen Blick, wer mit wem peert.

/asn-history zeigt die historische Zugehörigkeit einer IP oder eines CIDR – also zu welchen AS ein CIDR im Lauf der Zeit gehört hat und wann sich das geändert hat.

6.3 Kommandozeilen-Tools

$ whois -h whois.cymru.com " -v 8.8.8.8"
AS      | IP        | BGP Prefix    | CC | Registry | Allocated  | AS Name
15169   | 8.8.8.8   | 8.8.8.0/24    | US | arin     | 1992-12-01 | GOOGLE, US

$ curl https://api.bgpview.io/ip/8.8.8.8 | jq
{
  "data": {
    "ip": "8.8.8.8",
    "prefixes": [{
      "asn": { "asn": 15169, "name": "Google LLC" },
      "prefix": "8.8.8.0/24"
    }]
  }
}

VII. Gängige ASN auf einen Blick

VIII. Warum das auch für normale Nutzer wichtig ist

• Risikokontrollsysteme berücksichtigen bei der Bewertung der IP-Reputation die ASN – Rechenzentrums-ASNs (Cloud- und VPN-Anbieter) schneiden meist schlechter ab, ASNs privater Breitbandanschlüsse (China Telecom / Unicom) dagegen besser
• Wenn Sie ein CDN für grenzüberschreitenden Traffic auswählen, prüfen Sie die AS-Distanz zwischen der ASN Ihrer Zielnutzer und den CDN-Knoten – cleanip.io zeigt Ihnen mit einer einzigen Abfrage, zu welchem AS eine IP gehört
• Bei einem DDoS-Angriff ist die ASN der erste Anhaltspunkt, um die Quelle zurückzuverfolgen – etwa „der Großteil des Angriffstraffics stammte aus dem Rechenzentrum AS46562 Performive“
• Prüfen Sie bei der Wahl eines VPN-Dienstes, in welchem Rechenzentrum bzw. unter welcher ASN er gehostet ist – der Artikel VPN-Rückverfolgung erklärt das genauer