AS / ASN / маршрутизация BGP — как устроен каркас интернета

I. Что такое AS — автономная система

AS (Autonomous System, автономная система) — это сеть или группа сетей с единой административной политикой маршрутизации. Какой протокол маршрутизации AS использует внутри (OSPF / IS-IS) — её личное дело, но между AS для публичного анонса IP-префиксов используется BGP.

• Крупный интернет-провайдер сам является AS (China Telecom AS4134, China Unicom AS4837, China Mobile AS9808)
• Крупный облачный провайдер — это AS (Google AS15169, Cloudflare AS13335, AWS AS16509)
• Собственную AS могут иметь университеты, государственные органы и крупные компании
• IP обычного абонента домашнего интернета выделяется из AS его провайдера — конечным пользователям собственная AS не нужна

1.1 Кто выдаёт ASN

ASN (номерами AS) управляют 5 региональных интернет-регистраторов (RIR):

Изначально ASN были 16-битными (0-65535, после 1996 года их стало не хватать); сейчас они 32-битные (0-4294967295, RFC 6793). Реально во всём мире сегодня используется около 120 000.

1.2 Как читать ASN — форматы записи

Сегодня достаточно обычного числового формата. Префикс «AS» можно опускать, но с ним запись понятнее.

II. BGP — «система почтовых индексов» интернета

BGP (Border Gateway Protocol), RFC 4271, — единственный протокол маршрутизации, который используется между AS. Каждая AS через BGP анонсирует соседним AS: «я могу довести до этих IP-префиксов, а через меня можно попасть в такие-то AS дальше».

2.1 Суть анонса BGP: префикс + AS-PATH

Prefix                Next Hop          AS-PATH
104.16.0.0/13    203.0.113.1   AS3356 AS13335   ← через Lumen к Cloudflare
104.16.0.0/13    198.51.100.5   AS6939 AS13335   ← через HE.net к Cloudflare
8.8.8.0/24      203.0.113.1   AS3356 AS15169   ← к Google DNS
202.106.0.0/16  198.51.100.5   AS6939 AS4847 AS4134 ← к China Telecom Пекин

AS-PATH перечисляет все AS на пути от исходной AS (владельца префикса) до текущего маршрутизатора. Читайте его справа налево: крайняя правая AS — исходная, крайняя левая — соседняя.

2.2 Как BGP выбирает лучший путь

Если до одного и того же префикса есть несколько путей, BGP выбирает один в таком порядке приоритетов (кратко):

1. LOCAL_PREF: чем больше, тем лучше — внутреннее предпочтение в пределах AS (какой путь использовать первым)
2. Чем короче AS-PATH, тем лучше — выигрывает путь через меньшее число AS
3. Origin: IGP (внутренний) > EGP > Incomplete
4. MED (Multi-Exit Discriminator): чем меньше, тем лучше — подсказка, передаваемая между AS
5. eBGP > iBGP
6. Стоимость IGP: чем меньше, тем лучше
7. Router ID: чем меньше, тем лучше (последний критерий при равенстве)

Обратите внимание: BGP не обязательно выбирает самый быстрый путь. Более короткий AS-PATH не означает меньшую физическую задержку. Межконтинентальный маршрут через 1 AS может оказаться медленнее маршрута в пределах одного города через 3 AS.

III. Tier 1 / Tier 2 / Tier 3 — иерархия интернет-провайдеров

Все AS делятся на три уровня в зависимости от того, платят ли они за транзит вышестоящим провайдерам:

Типичный путь пакета из домашнего интернета: ваш дом → местный небольшой провайдер (Tier 3) → провинциальная / городская сеть (Tier 2) → магистраль China Telecom (Tier 1) → зарубежный Tier 1 → сеть назначения.

IV. Проверьте сами — какие AS лежат между вашим домом и Google

С помощью mtr -bz (в BSD: traceroute -A) можно увидеть номер AS для каждого хопа:

HOST: xxx                Loss%   Snt   Last  Avg   ASN
1.  192.168.1.1                0.0%   10   0.5  0.6   (частная сеть, без ASN)
2.  61.183.x.x                 0.0%   10   3.2  3.5   AS4134  China Telecom
3.  202.97.x.x                 0.0%   10   5.1  5.4   AS4134  магистраль China Telecom
4.  202.97.x.x                 0.0%   10  15.2  16.1  AS4134
5.  202.97.x.x                 0.0%   10  45.3  46.0  AS4134  узел перед выходом за рубеж
6.  211.95.x.x                 0.0%   10 156.4 158.2  AS4134  международный шлюз
7.  72.14.215.x                0.0%   10 158.1 159.8  AS15169 сеть Google
8.  142.250.x.x                0.0%   10 159.8 161.2  AS15169 Google
9.  142.250.x.x (www.google.com)  0.0%   10 160.2 162.0  AS15169

Из этой трассировки mtr видно:

• Дом → местная сеть China Telecom (AS4134, хопы 2-3): < 10ms
• Магистраль China Telecom (AS4134, хопы 4-6): 5-150ms
• Переход через международный шлюз в Google (AS15169, хоп 7): резкий скачок до 150+ms ← задержка на выходе за рубеж
• Внутри Google (AS15169, хопы 8-9): < 5ms

От китайского домашнего интернета до Google всего 2 AS — очень короткий AS-PATH, — но физическая задержка высокая. Именно это мы и имеем в виду, когда говорим: «длина пути BGP — это не физическая задержка».

V. Два кошмара безопасности BGP — утечки и перехваты маршрутов

5.1 Утечка маршрутов

AS по ошибке передаёт вышестоящему провайдеру или соседу маршруты, которые не должны уходить наверх, и мировой трафик идёт по неправильному пути. Классический пример: провайдер принимает маршруты клиента за свои собственные и анонсирует их всем.

Известный инцидент: в ноябре 2017 года утечка маршрутов у Level3 (AS3356) нарушила работу множества нижестоящих клиентов Comcast и Verizon.

5.2 Перехват BGP

Злонамеренная AS анонсирует IP-префиксы, которые ей не принадлежат. Как только другие AS принимают анонс, трафик уходит к перехватчику, что позволяет проводить MITM-атаки, отказ в обслуживании или подмену DNS.

Известные инциденты:

• 2008: пакистанский PTCL анонсировал префикс YouTube, и мировой трафик YouTube 2 часа уходил в Пакистан
• 2018: eNet (AS10297) анонсировал DNS-префиксы Amazon Route 53 и около 2 часов перехватывал трафик пользователей MyEtherWallet
• 2022: российский RTCOMM ненадолго перехватил префикс Twitter

5.3 Защита — RPKI подписывает маршруты

RPKI (Resource Public Key Infrastructure), серия RFC 6480, позволяет законному владельцу IP-префикса криптографически подписать утверждение «этот префикс может исходить только из этой AS». Маршрутизаторы BGP с поддержкой RPKI отбрасывают маршруты без подписи или с неверной подписью.

Сейчас подписаны RPKI примерно половина всех префиксов IPv4 в мире, и их доля продолжает расти. Когда вы проверяете IP на cleanip.io, карточка «Информация об AS» показывает его статус RPKI: valid / invalid / not-found.

VI. Как узнать, к какому ASN относится IP или домен

6.1 Проверьте прямо на cleanip.io

Просто откройте https://cleanip.io/8.8.8.8 или https://cleanip.io/AS15169 — мы показываем полную информацию об ASN, дату регистрации, диапазоны IP, вышестоящие и нижестоящие сети, а также географическое распределение.

6.2 Визуализация BGP на cleanip.io

/asn-graph строит BGP-топологию для любого ASN — от Origin через Tier 2 до Tier 1, так что сразу видно, кто с кем пирингует.

/asn-history показывает историю принадлежности IP / CIDR — каким AS принадлежал CIDR в разное время и когда это менялось.

6.3 Инструменты командной строки

$ whois -h whois.cymru.com " -v 8.8.8.8"
AS      | IP        | BGP Prefix    | CC | Registry | Allocated  | AS Name
15169   | 8.8.8.8   | 8.8.8.0/24    | US | arin     | 1992-12-01 | GOOGLE, US

$ curl https://api.bgpview.io/ip/8.8.8.8 | jq
{
  "data": {
    "ip": "8.8.8.8",
    "prefixes": [{
      "asn": { "asn": 15169, "name": "Google LLC" },
      "prefix": "8.8.8.0/24"
    }]
  }
}

VII. Справочник распространённых ASN

VIII. Почему это важно и для обычных пользователей

• Антифрод-системы при оценке репутации IP смотрят на ASN — ASN дата-центров (облачных и VPN-провайдеров) обычно получают низкую оценку; ASN резидентного домашнего интернета (China Telecom / Unicom) — более высокую
• При выборе CDN для трансграничного трафика проверяйте расстояние в AS между ASN ваших целевых пользователей и узлами CDN — cleanip.io за одну проверку покажет, к какой AS относится IP
• Во время DDoS-атаки ASN — первая зацепка для поиска источника, например: «большая часть атакующего трафика шла из дата-центра AS46562 Performive»
• При выборе VPN проверьте, на ASN какого IDC он размещён, — подробности в статье Отслеживание VPN и в связанных разделах