AS / ASN / enrutamiento BGP: entender la columna vertebral de internet

I. Qué es un AS: Autonomous System (sistema autónomo)

Un AS (Autonomous System, sistema autónomo) es una red o un grupo de redes con una única política de enrutamiento bajo una misma administración. El protocolo de enrutamiento que use un AS internamente (OSPF / IS-IS) es asunto suyo, pero entre AS se usa BGP para anunciar públicamente los prefijos IP.

• Un ISP grande es en sí mismo un AS (China Telecom AS4134, China Unicom AS4837, China Mobile AS9808)
• Un gran proveedor de nube es un AS (Google AS15169, Cloudflare AS13335, AWS AS16509)
• Las universidades, los gobiernos y las grandes empresas pueden tener su propio AS
• La IP de un usuario normal de banda ancha doméstica se toma del AS de su ISP: los usuarios finales no necesitan su propio AS

1.1 Quién asigna los ASN

Los ASN (números de AS) los gestionan los 5 registros regionales de internet (RIR):

Al principio los ASN eran de 16 bits (0-65535, que empezaron a escasear después de 1996); hoy son de 32 bits (0-4294967295, RFC 6793). Actualmente hay unos 120 000 en uso real en todo el mundo.

1.2 Cómo leer un ASN: formatos

Hoy en día basta con el formato numérico simple. El prefijo "AS" puede omitirse, pero escribirlo es más claro.

II. BGP: el "sistema de códigos postales" de internet

BGP (Border Gateway Protocol), el protocolo de puerta de enlace de frontera (RFC 4271), es el único protocolo de enrutamiento que se usa entre AS. Cada AS usa BGP para anunciar a sus AS vecinos: "Puedo llegar a estos prefijos IP y, a través de mí, se llega a estos otros AS que hay más allá".

2.1 El núcleo de un anuncio BGP: prefijo + AS-PATH

Prefix                Next Hop          AS-PATH
104.16.0.0/13    203.0.113.1   AS3356 AS13335   ← a Cloudflare vía Lumen
104.16.0.0/13    198.51.100.5   AS6939 AS13335   ← a Cloudflare vía HE.net
8.8.8.0/24      203.0.113.1   AS3356 AS15169   ← a Google DNS
202.106.0.0/16  198.51.100.5   AS6939 AS4847 AS4134 ← a China Telecom en Pekín

El AS-PATH enumera todos los AS que se atraviesan desde el AS de origen (el titular del prefijo) hasta el router actual. Se lee de derecha a izquierda: el AS de más a la derecha es el origen y el de más a la izquierda, el vecino.

2.2 Cómo elige BGP la mejor ruta

Cuando hay varias rutas para el mismo prefijo, BGP elige una según este orden de prioridad (resumido):

1. LOCAL_PREF: cuanto más alto, mejor; es la preferencia interna dentro del AS (cuál se usa primero)
2. Cuanto más corto el AS-PATH, mejor: gana la ruta que atraviesa menos AS
3. Origin: IGP (interno) > EGP > Incomplete
4. MED (Multi-Exit Discriminator): cuanto más bajo, mejor; es una indicación que se pasan los AS entre sí
5. eBGP > iBGP
6. IGP cost: cuanto más bajo, mejor
7. Router ID: cuanto más bajo, mejor (último criterio de desempate)

Atención: BGP no elige necesariamente la ruta más rápida. Un AS-PATH más corto no implica menor latencia física. Una ruta intercontinental que pasa por 1 AS puede ser más lenta que una ruta dentro de la misma ciudad que pasa por 3.

III. Tier 1 / Tier 2 / Tier 3: la jerarquía de los ISP

Todos los AS se dividen en tres niveles según tengan que pagar o no por el tránsito de un upstream:

Recorrido típico de un paquete de banda ancha doméstica: tu casa → pequeño ISP local (Tier 3) → red provincial / metropolitana (Tier 2) → red troncal de China Telecom (Tier 1) → Tier 1 extranjero → red de destino.

IV. Pruébalo tú mismo: qué AS hay entre tu casa y Google

Usa mtr -bz (BSD: traceroute -A) para ver el número de AS de cada salto:

HOST: xxx                Loss%   Snt   Last  Avg   ASN
1.  192.168.1.1                0.0%   10   0.5  0.6   (red privada, sin ASN)
2.  61.183.x.x                 0.0%   10   3.2  3.5   AS4134  China Telecom
3.  202.97.x.x                 0.0%   10   5.1  5.4   AS4134  red troncal de China Telecom
4.  202.97.x.x                 0.0%   10  15.2  16.1  AS4134
5.  202.97.x.x                 0.0%   10  45.3  46.0  AS4134  nodo previo a la salida
6.  211.95.x.x                 0.0%   10 156.4 158.2  AS4134  salida internacional
7.  72.14.215.x                0.0%   10 158.1 159.8  AS15169 red de Google
8.  142.250.x.x                0.0%   10 159.8 161.2  AS15169 Google
9.  142.250.x.x (www.google.com)  0.0%   10 160.2 162.0  AS15169

En esta traza de mtr se ve que:

• Casa → red local de China Telecom (AS4134, saltos 2-3): < 10ms
• Red troncal de China Telecom (AS4134, saltos 4-6): 5-150ms
• Paso de la salida internacional a Google (AS15169, salto 7): sube de golpe a más de 150ms ← latencia de la salida internacional
• Dentro de Google (AS15169, saltos 8-9): < 5ms

De la banda ancha doméstica china a Google solo se cruzan 2 AS (un AS-PATH muy corto) y, aun así, la latencia física es alta. A esto nos referimos con "la longitud en BGP no es latencia física".

V. Las dos pesadillas de seguridad de BGP: fugas de rutas y secuestro de rutas

5.1 Fuga de rutas (Route Leak)

Un AS pasa por error a un upstream o a un vecino rutas que no debería enviar a un upstream, y el tráfico de todo el mundo acaba yendo por un camino equivocado. Un ejemplo clásico: un ISP confunde las rutas de un cliente con sus propias rutas y las anuncia a todo el mundo.

Incidente conocido: en noviembre de 2017, una fuga de rutas de Level3 (AS3356) afectó a gran cantidad de clientes downstream de Comcast y Verizon.

5.2 Secuestro de BGP (BGP Hijack)

Un AS malicioso anuncia prefijos IP que no le pertenecen. Cuando otros AS aceptan el anuncio, el tráfico se redirige al secuestrador, lo que permite ataques MITM, denegación de servicio o envenenamiento de DNS.

Incidentes conocidos:

• 2008: PTCL, de Pakistán, anunció el prefijo de YouTube y desvió el tráfico mundial de YouTube a Pakistán durante 2 horas
• 2018: eNet (AS10297) anunció los prefijos DNS de Amazon Route 53 y secuestró el tráfico de usuarios de MyEtherWallet durante unas 2 horas
• 2022: RTCOMM, de Rusia, secuestró brevemente un prefijo de Twitter

5.3 Defensa: RPKI firma las rutas

RPKI (Resource Public Key Infrastructure), la serie RFC 6480, permite al titular legítimo de un prefijo IP firmar criptográficamente que "este prefijo solo puede originarse en este AS". Los routers BGP compatibles con RPKI descartan las rutas sin firmar o con una firma incorrecta.

Hoy en día aproximadamente la mitad de los prefijos IPv4 del mundo están firmados con RPKI, y la proporción sigue creciendo. Cuando consultas una IP en cleanip.io, la tarjeta "Información del AS" muestra su estado RPKI: valid / invalid / not-found.

VI. Cómo saber a qué ASN pertenece una IP o un dominio

6.1 Consúltalo directamente en cleanip.io

Basta con visitar https://cleanip.io/8.8.8.8 o https://cleanip.io/AS15169: mostramos la información completa del ASN, la fecha de registro, los rangos de IP, upstream/downstream y la distribución geográfica.

6.2 Visualización BGP en cleanip.io

/asn-graph dibuja la topología BGP de cualquier ASN, desde el origen (Origin) pasando por Tier 2 hasta Tier 1, para que veas de un vistazo quién hace peering con quién.

/asn-history muestra el historial de titularidad de una IP / CIDR: a qué AS ha pertenecido un CIDR a lo largo del tiempo y cuándo cambió.

6.3 Herramientas de línea de comandos

$ whois -h whois.cymru.com " -v 8.8.8.8"
AS      | IP        | BGP Prefix    | CC | Registry | Allocated  | AS Name
15169   | 8.8.8.8   | 8.8.8.0/24    | US | arin     | 1992-12-01 | GOOGLE, US

$ curl https://api.bgpview.io/ip/8.8.8.8 | jq
{
  "data": {
    "ip": "8.8.8.8",
    "prefixes": [{
      "asn": { "asn": 15169, "name": "Google LLC" },
      "prefix": "8.8.8.0/24"
    }]
  }
}

VII. Referencia rápida de ASN habituales

VIII. Por qué esto también importa a los usuarios normales

• Los sistemas de control de riesgos tienen en cuenta el ASN al puntuar la reputación de una IP: los ASN de centros de datos (proveedores de nube / VPN) suelen recibir puntuaciones más bajas; los ASN de banda ancha residencial (China Telecom / Unicom) puntúan más alto
• Al elegir una CDN para tráfico transfronterizo, fíjate en la distancia en AS entre el ASN de tus usuarios objetivo y los nodos de la CDN; cleanip.io te dice en una sola consulta a qué AS pertenece una IP
• Ante un ataque DDoS, el ASN es la primera pista para rastrear el origen; p. ej., "la mayor parte del tráfico de ataque procedía del centro de datos AS46562 Performive"
• Al elegir una VPN, comprueba en el ASN de qué IDC está alojada; consulta rastreo de VPN para más detalles