I numeri di sistema autonomo, spiegati

Che cos’è un numero AS

Un numero di sistema autonomo identifica una rete nella tabella di instradamento globale. Un sistema autonomo è un gruppo di prefissi IP gestito secondo un’unica politica di instradamento, e il numero è l’intero che designa quel gruppo quando le reti si scambiano le rotte. La nostra ricerca IP mostra il numero e i dati del registro.

Il paese di registrazione di un numero non è il paese in cui transita il traffico. Deriva dal record del registro, gestito dal registro Internet regionale che ha assegnato il numero; può non essere aggiornato dopo un trasferimento, indicare una holding o rimandare a una sede centrale mentre la rete annuncia prefissi utilizzati in più continenti. Va letto come metadato di registro, non come mappa del servizio. Per la definizione sintetica, si veda Numero AS; BGP tratta il protocollo che trasporta gli annunci.

Come compare un numero in una rotta

Un annuncio di rotta contiene un prefisso, un numero AS di origine e un percorso di numeri AS. Gli speaker BGP si scambiano questi annunci e l’AS path registra la sequenza attraversata da una rotta, per cui lo stesso prefisso può arrivare con percorsi diversi in punti di osservazione diversi.

In un AS path ricevuto, il numero più a destra è normalmente l’origine, cioè la rete che ha generato l’annuncio. Quello più a sinistra è il vicino che lo ha inviato all’osservatore. Il prepending consiste nel ripetere un numero per far sembrare un percorso più lungo; è uno strumento di traffic engineering, non una prova di distanza fisica.

Looking glass e route collector mostrano una sola vista in un solo momento. L’aggregazione delle rotte può nascondere le reti intermedie, e un collector che non si trova sul percorso non può mostrare ogni hop. Una singola vista va trattata come prova di raggiungibilità, non come la rotta completa.

Numeri a due byte, a quattro byte e privati

I primi numeri AS erano a 16 bit. La RFC 6793 ha esteso il campo a 32 bit per evitare che i numeri disponibili si esaurissero. Un numero a 32 bit si scrive come semplice intero decimale oppure in notazione asdot come due parti a 16 bit, per cui 65536 diventa 1.0. Il BGP moderno tratta entrambe le ampiezze come un unico spazio; la vecchia distinzione a due byte è storica.

Alcuni numeri non sono destinati all’instradamento pubblico. Gli intervalli da 64512 a 65534 e da 4200000000 a 4294967294 sono riservati all’uso privato (RFC 6996). Gli intervalli da 64496 a 64511 e da 65536 a 65551 sono riservati alla documentazione (RFC 5398). I valori 0, 65535 e 4294967295 sono riservati (RFC 7607, RFC 7300). Il 23456 è AS_TRANS, un segnaposto utilizzato quando un numero a quattro byte deve attraversare una vecchia sessione a due byte.

Un numero privato in un percorso pubblico indica di solito un leak, un errore di configurazione o una vista che include la topologia interna di un provider. Non è una rete pubblica nascosta. Un 23456 in un percorso è un marcatore di traduzione, non un’origine reale.

Leggere una ricerca senza sovrainterpretarla

Una ricerca ASN restituisce dati di registro: il registro che ha assegnato il numero, l’allocazione o l’assegnazione, un contatto registrato, un paese e delle date. I cinque registri Internet regionali sono AFRINIC, APNIC, ARIN, LACNIC e RIPE NCC. IANA alloca loro dei blocchi, e questi assegnano i numeri agli operatori secondo le politiche regionali.

Il nome dell’organizzazione associato a un numero cambia quando una rete viene venduta o rinominata, mentre il numero resta. Il nome va letto come un’istantanea del registro, non come un’indicazione di proprietà, qualità del servizio o rapporto commerciale. Un numero può annunciare molti prefissi, e un prefisso può essere annunciato da più di un numero. Nessuno dei due casi è di per sé un guasto; entrambi sono motivi per verificare la politica di instradamento oltre al registro.

Che cosa un numero AS non dice

Non misura latenza, perdita, jitter o banda disponibile. La lunghezza dell’AS path è uno degli input della selezione del percorso migliore in BGP, non una distanza né un indice di qualità; un percorso di due AS può essere più lento di uno di cinque AS.

Non dimostra che un annuncio sia autorizzato. Il BGP non prevede di per sé un’autenticazione dell’origine (RFC 4271), per cui gli operatori utilizzano filtri di rotta, oggetti dell’Internet Routing Registry e RPKI per stabilire quale origine possa annunciare un prefisso. Una rotta può essere visibile e al tempo stesso non valida.

Non identifica i nostri prefissi, i nostri fornitori né un cliente. Questa pagina spiega l’identificativo; i dettagli commerciali si discutono in fase di preventivo.

La sicurezza dell’instradamento, in due meccanismi

Un oggetto route dell’Internet Routing Registry è una dichiarazione di registro secondo cui un dato AS origina un prefisso, scritta nel Routing Policy Specification Language (RFC 2622). Il suo valore dipende dall’oggetto e dai filtri che lo utilizzano. Un’autorizzazione di origine della rotta (route origin authorisation) RPKI è una dichiarazione firmata secondo cui un prefisso può essere originato da un numero, fino a una lunghezza massima (RFC 6480, RFC 6482). I router che effettuano la validazione possono scartare gli annunci non validi, ma con un’adozione parziale l’assenza di un’autorizzazione non prova un illecito.

Conviene chiedere a qualsiasi provider quali filtri applichi e come gestisca le rotte non valide, chiedendo il metodo anziché un bollino. Teniamo le viste di instradamento fuori dalle pagine pubbliche e discutiamo la progettazione dei percorsi nei preventivi.

Perché il numero conta per le rotte verso la Cina

Per un servizio IP verso la Cina, il percorso attraversa diverse reti, e un numero AS visto in un traceroute è un hop di inoltro, non l’intero percorso commerciale. La stessa destinazione può essere raggiunta tramite rotte internazionali diverse, con latenza e perdita diverse. I prodotti a linea dedicata come IEPL e IPLC inoltrano capacità Ethernet o a divisione di tempo, per cui un traceroute IP potrebbe non rivelare affatto il percorso sottostante. Un traceroute pulito non prova l’esistenza di una linea dedicata; un contratto e uno schema del punto di consegna sì.

Le nostre pagine sulla Cina descrivono i tipi di rotta e le domande da definire. Non pubblicano una mappa di rete né un elenco di prefissi. L’instradamento verso la Cina spiegato tratta la prospettiva del servizio; IEPL e IPLC a confronto tratta il lessico del Layer 2.

Errori comuni nella lettura di un risultato IP

Considerare il paese di registrazione come la posizione del traffico. Considerare lento un AS path lungo, o veloce uno corto. Considerare un nome nel Whois come l’operatore attuale. Considerare pubblico un numero privato visto in un looking glass. Considerare un attacco un prefisso con più origini. Considerare autorizzata una rotta visibile.

Utilizzare due punti di osservazione, controllare il timestamp, confrontare prefisso e origine e leggere il record di registro tramite RDAP anziché da una copia di un output Whois. Per un indirizzo sotto il proprio controllo, la ricerca IP e ASN mostra il numero e il calcolatore CIDR aiuta a confermare i confini del prefisso. Conservare una breve nota di che cosa si è verificato e quando. L’instradamento cambia rapidamente, e una nota con timestamp vale più di uno screenshot che ne è privo.