AS / ASN / BGP yönlendirme — internetin omurgasını anlamak

I. AS nedir — otonom sistem (Autonomous System)

AS (otonom sistem), tek bir yönetimsel yönlendirme politikası altındaki bir ağ ya da ağ grubudur. Bir AS'nin kendi içinde hangi yönlendirme protokolünü (OSPF / IS-IS) kullandığı kendi işidir; ancak AS'ler arasında IP öneklerini herkese açık olarak duyurmak için BGP kullanılır.

• Büyük bir İSS kendisi bir AS'dir (China Telecom AS4134, China Unicom AS4837, China Mobile AS9808)
• Büyük bir bulut sağlayıcısı bir AS'dir (Google AS15169, Cloudflare AS13335, AWS AS16509)
• Üniversiteler, kamu kurumları ve büyük şirketler kendi AS'lerine sahip olabilir
• Sıradan bir ev interneti kullanıcısının IP'si, İSS'sinin AS'sinden ayrılır — son kullanıcıların kendi AS'lerine ihtiyacı yoktur

1.1 ASN'leri kim dağıtır

ASN'ler (AS numaraları) 5 bölgesel internet kayıt kuruluşu (RIR) tarafından yönetilir:

ASN'ler başlangıçta 16 bitti (0-65535; 1996'dan sonra daralmaya başladı); bugün ise 32 bit (0-4294967295, RFC 6793). Şu anda dünya genelinde fiilen kullanılan yaklaşık 120.000 ASN var.

1.2 ASN nasıl okunur — biçimler

Günümüzde düz sayısal biçimi kullanmak yeterlidir. “AS” öneki atlanabilir, ama yazmak daha anlaşılırdır.

II. BGP — internetin “posta kodu sistemi”

BGP (Border Gateway Protocol), RFC 4271, AS'ler arasında kullanılan tek yönlendirme protokolüdür. Her AS, BGP ile komşu AS'lere şunu duyurur: “Şu IP öneklerine ulaşabiliyorum ve benim üzerimden ötedeki şu AS'lere ulaşabilirsiniz.”

2.1 BGP duyurusunun özü: önek + AS-PATH

Prefix                Next Hop          AS-PATH
104.16.0.0/13    203.0.113.1   AS3356 AS13335   ← Lumen üzerinden Cloudflare'e
104.16.0.0/13    198.51.100.5   AS6939 AS13335   ← HE.net üzerinden Cloudflare'e
8.8.8.0/24      203.0.113.1   AS3356 AS15169   ← Google DNS'e
202.106.0.0/16  198.51.100.5   AS6939 AS4847 AS4134 ← China Telecom Pekin'e

AS-PATH, kaynak AS'den (önek sahibi) geçerli yönlendiriciye kadar geçilen tüm AS'leri listeler. Sağdan sola okuyun — en sağdaki AS kaynak, en soldaki komşudur.

2.2 BGP en iyi yolu nasıl seçer

Aynı önek için birden fazla yol olduğunda BGP şu öncelik sırasına göre birini seçer (özet):

1. LOCAL_PREF: yüksek olan daha iyidir — AS içindeki dahili tercih (hangisi önce kullanılır)
2. Daha kısa AS-PATH daha iyidir — daha az AS'den geçen kazanır
3. Origin: IGP (dahili) > EGP > Incomplete
4. MED (Multi-Exit Discriminator): düşük olan daha iyidir — AS'ler arasında iletilen bir ipucu
5. eBGP > iBGP
6. IGP maliyeti: düşük olan daha iyidir
7. Router ID: düşük olan daha iyidir (son eşitlik bozucu)

Not: BGP her zaman en hızlı yolu seçmez. Daha kısa bir AS-PATH daha düşük fiziksel gecikme anlamına gelmez. Tek bir AS'den geçen kıtalar arası bir rota, 3 AS'den geçen aynı şehir içindeki bir rotadan daha yavaş olabilir.

III. Tier 1 / Tier 2 / Tier 3 — İSS hiyerarşisi

Tüm AS'ler, üst sağlayıcıdan transit satın almak zorunda olup olmadıklarına göre üç katmana ayrılır:

Tipik bir ev interneti paket yolu: eviniz → yerel küçük İSS (Tier 3) → il / metro ağı (Tier 2) → China Telecom omurgası (Tier 1) → yurt dışındaki Tier 1 → hedef ağ.

IV. Kendiniz test edin — evinizle Google arasında hangi AS'ler var

Her atlamanın AS numarasını görmek için mtr -bz (BSD'de: traceroute -A) kullanın:

HOST: xxx                Loss%   Snt   Last  Avg   ASN
1.  192.168.1.1                0.0%   10   0.5  0.6   (özel ağ, ASN yok)
2.  61.183.x.x                 0.0%   10   3.2  3.5   AS4134  China Telecom
3.  202.97.x.x                 0.0%   10   5.1  5.4   AS4134  China Telecom omurgası
4.  202.97.x.x                 0.0%   10  15.2  16.1  AS4134
5.  202.97.x.x                 0.0%   10  45.3  46.0  AS4134  çıkış öncesi düğüm
6.  211.95.x.x                 0.0%   10 156.4 158.2  AS4134  uluslararası ağ geçidi
7.  72.14.215.x                0.0%   10 158.1 159.8  AS15169 Google ağı
8.  142.250.x.x                0.0%   10 159.8 161.2  AS15169 Google
9.  142.250.x.x (www.google.com)  0.0%   10 160.2 162.0  AS15169

Bu mtr izinden şunları görebiliriz:

• Ev → China Telecom yerel ağı (AS4134, atlama 2-3): < 10ms
• China Telecom omurgası (AS4134, atlama 4-6): 5-150ms
• Uluslararası ağ geçidinden Google'a atlama (AS15169, atlama 7): ani sıçrama 150+ms ← uluslararası çıkış gecikmesi
• Google içi (AS15169, atlama 8-9): < 5ms

Çin'deki ev internetinden Google'a yalnızca 2 AS geçilir — son derece kısa bir AS-PATH — ama fiziksel gecikme yüksektir. “BGP uzunluğu fiziksel gecikme değildir” derken tam olarak bunu kastediyoruz.

V. BGP'nin iki güvenlik kâbusu — rota sızıntıları ve rota ele geçirme

5.1 Rota sızıntısı (route leak)

Bir AS, üst sağlayıcıya gitmemesi gereken rotaları yanlışlıkla bir üst sağlayıcıya veya komşuya iletir ve küresel trafiği yanlış yola sokar. Klasik örnek: bir İSS müşterisinin rotalarını kendi rotaları sanıp herkese duyurur.

Bilinen olay: Kasım 2017'de Level3 (AS3356) kaynaklı bir rota sızıntısı, Comcast ve Verizon'un çok sayıda alt müşterisini etkiledi.

5.2 BGP ele geçirme (BGP hijack)

Kötü niyetli bir AS kendisine ait olmayan IP öneklerini duyurur. Diğer AS'ler bu duyuruyu kabul ettiğinde trafik ele geçirene yönlendirilir; bu da MITM, hizmet engelleme veya DNS zehirlenmesine olanak tanır.

Bilinen olaylar:

• 2008: Pakistanlı PTCL, YouTube'un önekini duyurdu ve küresel YouTube trafiği 2 saat boyunca Pakistan'a yönlendirildi
• 2018: eNet (AS10297), Amazon Route 53'ün DNS öneklerini duyurarak MyEtherWallet kullanıcılarının trafiğini yaklaşık 2 saat boyunca ele geçirdi
• 2022: Rusya'daki RTCOMM kısa süreliğine bir Twitter önekini ele geçirdi

5.3 Savunma — RPKI rotaları imzalar

RPKI (Resource Public Key Infrastructure), RFC 6480 serisi, bir IP önekinin meşru sahibinin “bu önek yalnızca bu AS'den çıkabilir” bilgisini kriptografik olarak imzalamasını sağlar. RPKI destekli BGP yönlendiricileri imzasız veya hatalı imzalı rotaları düşürür.

Dünyadaki IPv4 öneklerinin yaklaşık yarısı artık RPKI ile imzalı ve bu oran artmaya devam ediyor. cleanip.io'da bir IP sorguladığınızda “AS bilgisi” kartı RPKI durumunu gösterir: valid / invalid / not-found.

VI. Bir IP veya alan adının hangi ASN'ye ait olduğu nasıl bulunur

6.1 Doğrudan cleanip.io'da sorgulayın

https://cleanip.io/8.8.8.8 veya https://cleanip.io/AS15169 adresini ziyaret etmeniz yeterli — tam ASN bilgisini, kayıt tarihini, IP aralıklarını, üst sağlayıcıları/alt müşterileri ve coğrafi dağılımı gösteririz.

6.2 cleanip.io'da BGP görselleştirme

/asn-graph herhangi bir ASN için BGP topolojisini çizer — Origin'den Tier 2 üzerinden Tier 1'e kadar; kimin kimle peering yaptığını bir bakışta görürsünüz.

/asn-history bir IP adresinin veya CIDR bloğunun geçmiş sahipliğini gösterir — bir CIDR bloğunun zaman içinde hangi AS'lere ait olduğunu ve ne zaman değiştiğini.

6.3 Komut satırı araçları

$ whois -h whois.cymru.com " -v 8.8.8.8"
AS      | IP        | BGP Prefix    | CC | Registry | Allocated  | AS Name
15169   | 8.8.8.8   | 8.8.8.0/24    | US | arin     | 1992-12-01 | GOOGLE, US

$ curl https://api.bgpview.io/ip/8.8.8.8 | jq
{
  "data": {
    "ip": "8.8.8.8",
    "prefixes": [{
      "asn": { "asn": 15169, "name": "Google LLC" },
      "prefix": "8.8.8.0/24"
    }]
  }
}

VII. Yaygın ASN'ler için hızlı başvuru

VIII. Bu neden sıradan kullanıcılar için de önemli

• Risk kontrol sistemleri IP itibarını puanlarken ASN'ye bakar — veri merkezi ASN'leri (bulut/VPN sağlayıcıları) genellikle daha düşük puan alır; ev interneti ASN'leri (China Telecom / Unicom) daha yüksek puan alır
• Sınır ötesi trafik için CDN seçerken hedef kullanıcılarınızın ASN'si ile CDN düğümleri arasındaki AS mesafesine bakın — cleanip.io, bir IP'nin hangi AS'ye ait olduğunu tek sorguda söyler
• DDoS saldırısı sırasında ASN, kaynağı izlemek için ilk ipucudur — örn. “saldırı trafiğinin çoğu AS46562 Performive veri merkezinden geldi”
• VPN seçerken hangi veri merkezinin ASN'sinde barındırıldığına bakın — ayrıntılar VPN izi sürme yazısında