Cómo IPinfo convierte los datos de registro en inteligencia real

Cientos de miles de redes informáticas, cada una con sus propias peculiaridades y políticas, están interconectadas para formar una red global más grande. Hay poca o ninguna coordinación entre estas redes.Cada red está preocupada principalmente por sus vecinos, pero no necesita preocuparse por las redes más lejanas.Un operador de red en Japón no necesita nunca coordinarse con un operador de red en Europa para poder intercambiar paquetes con ellos.No necesitan utilizar el mismo equipo, proveedores, software o configuraciones en sus redes. Puede parecer imposible que un sistema de este tipo funcione a escala global y durante un largo período de tiempo, y sin embargo, en su mayor parte lo hace. , que dicta las normas técnicas que deben utilizarse para interconectar las redes, pero también a través de la (RIRs), which coordinate the allocation of IP addresses and other shared Internet resources. IETF Registro Regional de Internet IETF Registro Regional de Internet En este blog voy a explicar qué son las direcciones IP y los números de sistema autónomos, cómo se asignan con éxito en Internet (junto con sus limitaciones), y cómo los conjuntos de datos medidos activamente de IPinfo convierten los datos de registro estático en una capa de inteligencia verificable en tiempo real. IP Network Challenges Los retos de la red IP El punto común a todas las redes en Internet es el uso del llamado Protocolo de Internet, o protocolo IP. En una red IP, a cada pieza de equipo se le asigna una dirección IP que puede usarse para enviar mensajes a otros. There are two key challenges in IP networks: Buscar caminos, o rutas, entre dos ordenadores Asegurarse de que cada pieza de equipo se asigna una dirección única entre un conjunto finito de posibles direcciones To better understand the routing challenge, let’s have a closer look at an IP network. A typical IP network is made up of multiple computers interconnected together through a device called a switch. Each interface of the switch is either connected to a computer, or to another switch. Dos redes IP. Dentro de cada red los anfitriones están conectados a través de un interruptor y pueden enviar mensajes de transmisión a todos los otros ordenadores en la misma red. No se permiten mensajes de transmisión más allá de la frontera de la red. En cambio se utiliza un dispositivo llamado un router. Un router sabe de antemano cómo llegar a todas las otras redes. Un interruptor tiene dos modos de funcionamiento cuando recibe un mensaje de un ordenador a otro.O bien sabe, desde la observación del tráfico, a qué interfaz específica el mensaje debe ser reenviado, o no lo hace y envía el mensaje a todas las interfaces excepto a la interfaz donde llegó el mensaje en un proceso llamado En esta configuración, no hay necesidad de conocer la interfaz de salida para todos los destinos de antemano ya que un mensaje siempre puede ser to everyone when the interface is not known. Inundaciones Transmisión Imagínese que si cada vez que un ordenador quería enviar un mensaje a un nuevo destino en Internet, el mensaje sería enviado a todos los demás ordenadores en Internet con la esperanza de que finalmente llegara a su destino previsto. From Local Networks to Autonomous Systems Desde redes locales a sistemas autónomos Para resolver este problema de escalabilidad, no se permiten mensajes de transmisión entre redes. En cambio, otro tipo de dispositivo, llamado router, se utiliza para interconectar redes. A diferencia de un interruptor, un router debe conocer la interfaz de salida para cada destino de antemano: One way to populate this is for the network to manually input each route into all routers. However, this process doesn’t scale to large networks and doesn’t allow dynamic reconfiguration when new routers are added or removed, or when links between them become unavailable (e.g. due to a broken cable). routing table Existen varios tipos de protocolos de enrutamiento, pero la idea principal es que cada router comparta la lista de la red a la que está conectado con sus vecinos y también las redes que aprendió de sus vecinos. In practice different organizations will use different routing protocols and policies depending on their needs, for example to optimize for throughput or latency. They might also want to filter which routes they accept from other networks to control where their traffic will go. A collection of networks that share a common routing policy is called an autonomous system, or AS. Typically ISPs and large organizations will operate one or more ASes. Within each AS they are free to use the routing protocol of their choice. Internet es una colección de sistemas autónomos, cada uno con sus propios protocolos y políticas de enrutamiento interno, que utilizan el Border Gateway Protocol (BGP) para intercambiar rutas entre ellos. A proto-Internet with two autonomous systems. Inside an AS the network operator is free to implement any routing policy and use any routing protocol. Between ASes the BGP routing protocol must be used. Un requisito clave del protocolo BGP es que cada AS tiene un número único, llamado número de sistema autónomo (ASN) asignado a él. The Need for Unique Resources La necesidad de recursos únicos Para que Internet funcione necesitamos dos cosas: direcciones IP únicas y números de sistema autónomos únicos.Si dejamos que los operadores de red elijan estos valores aleatoriamente, existe un riesgo muy alto de colisión, lo que resultaría en partes de la red que no sean accesibles, o recibir tráfico no destinado a ellos. La asignación de estos recursos está coordinada por los Registros Regionales de Internet (RIR). Hay cinco RIR que cubren diferentes partes del mundo: AFRINIC para África, ARIN para América del Norte, APNIC para Asia y Oceanía, LACNIC para América del Sur, y el RIPE NCC para Europa y Oriente Medio. Los tipos exactos de registros y metadatos registrados en cada base de datos dependen del RIR, pero los dos más importantes son los rangos de direcciones IP y los números de sistema autónomos. La Internet Assigned Numbers Authority (IANA) distribuye estos recursos a los RIR, que a su vez los distribuye a las organizaciones que los necesitan, que a su vez pueden distribuirlos a sus clientes. IPv4 addresses are by far the scarcest resources, with only 4.2 billion 32-bit addresses to split for every device on the planet. RIRs now have a waiting list in place, as they’ve run out of available IPv4 addresses and have strict quotas (for example the RIPE NCC limits the maximum number of IPv4 addresses allocated to an ISP to 256 addresses). Las direcciones IPv6 no sufren de este problema gracias al uso de direcciones de 128 bits, lo que proporciona un espacio de direcciones mucho más grande. ASNs used to be defined using 16 bit numbers, meaning a maximum of 65,536 ASNs could be allocated, but were later extended to 32 bits to account for the growing number of ASNs (more than 120k as of 2025). La distribución actual de estos recursos a los RIRs se puede ver en la , el , y el . Registro de direcciones IANA IPv4 IANA IPv6 Global Unicast Asignaciones de direcciones Número del Sistema Autónomo IANA Registro de direcciones IANA IPv4 IANA IPv6 Global Unicast Asignaciones de direcciones Número del Sistema Autónomo IANA The exact resource allocation policy depends on each RIR, but they will typically distinguish two types of allocations: ISPs and end users. Las asignaciones de ISP pueden ser subalocadas por el ISP a sus propios clientes. También podemos decir que el ISP actúa como un Registro Local de Internet (LIR). On the other hand, end-user allocations are usually exempt of membership requirements, but have the restriction that they cannot be sub-allocated. Veamos un ejemplo concreto, con el rango 2a01:c910:1:20e::/64 IPv6. La jerarquía de asignación es la siguiente: Vemos claramente la jerarquía IANA → RIR → LIR(s) → asignación de usuarios finales. Who Needs to Own Resources? ¿Quién necesita recursos propios? Se puede preguntar: ¿por qué preocuparse por obtener direcciones IP de un RIR o LIR cuando una organización sólo podía usar las direcciones IP emitidas por su ISP? Las principales razones para poseer direcciones IP son: Portabilidad: La capacidad de una organización para mover direcciones IP a través de los ISPs sin renombrar todos sus dispositivos, es decir, tener un espacio de direcciones independiente del proveedor. Multihoming: Anuncio de direcciones IP de múltiples ISPs para su despido. Espacio de direcciones independiente del proveedor Los beneficios adicionales pueden ser: Reputación: Controlando la forma en que se utilizan las direcciones IP, el propietario puede asegurarse de que no se utilicen para fines desfavorables (por ejemplo, el envío de spam) y implementar su propia política de manejo de abusos mediante la configuración de campos de contacto en la base de datos de WHOIS. Delegación de DNS inversa: La IANA mantiene la zona raíz para los registros de DNS inversos (in-addr.arpa y ip6.arpa) y delega las zonas infantiles a los RIRs, que a su vez pueden delegar las zonas que corresponden a los recursos propietarios a los propios servidores DNS de la organización (véase la documentación de RIPE NCC por ejemplo). Puntos de contacto en la base de datos WHOIS Documentación de RIPE NCC La razón para obtener un número AS es más simple: se requiere establecer sesiones públicas de BGP! Por lo tanto, cualquier red que desee anunciar IPs en Internet debe tener su propio ASN. Tenga en cuenta que las direcciones IP y las asignaciones de ASN son independientes.Una organización puede tener un ASN, pero solo los IP de ruta aportados por su cliente, y de la misma manera una organización puede poseer IPs, pero no tener la infraestructura para redirigirlos y depender de un ISP con un ASN para ello. En la práctica, la mayoría de las organizaciones más pequeñas están bien utilizando el espacio IP asignado por su ISP y no necesitan su propio ASN. La propiedad se vuelve importante para las empresas que ejecutan infraestructuras a gran escala, proporcionan servicios de Internet o necesitan independencia y resiliencia, como los ISP, los proveedores de alojamiento, las CDN y las empresas con redes complejas. What WHOIS and RIR Data Reveal What WHOIS and RIR Data Reveal La dirección IP y los registros ASN en las bases de datos RIR contienen información sobre el propietario de estos recursos, pero también pueden contener metadatos adicionales como el uso previsto de estos recursos o las direcciones de contacto. Vamos a ver algunos recursos.Para ello vamos a utilizar el protocolo con la utilidad de línea de comandos whois, pero tenga en cuenta que también hay un protocolo basado en HTTP más reciente llamado . quiénes RDAP quiénes RDAP Podemos consultar la base de datos RIPE para el rango 2a01:c910:1:20e::/64 con el siguiente comando: Quienes H – 2a01:c910:1:20e::/64 Encuentro.ripe.net Encuentro.ripe.net Si el servidor WHOIS no está especificado ( in this case) then the whois command will use the IANA server ( ), which will redirect to the appropriate RIR server in most cases. However, it’s good practice to specify the proper WHOIS server to make sure you get the expected record. Encuentro.ripe.net queja.es.org Encuentro.ripe.net queja.es.org inet6num: 2a01:c910:1:20e::/64 netname: FR-LA-POSTE-DISIT country: FR descr: SERVICES admin-c: DL7113-RIPE tech-c: DL7113-RIPE tech-c: AA2914-RIPE status: ASSIGNED mnt-by: PC80199-MNT created: 2015-05-27T11:38:38Z last-modified: 2015-05-27T11:38:38Z source: RIPE Alocación de IPv6 en la base de datos RIPE. The record tells us multiple things: El nombre del rango de IP nos da una pista sobre su propósito.En este caso parece asignado al correo francés. El país nos dice que este rango es probablemente utilizado en Francia, aunque este atributo es completamente libre para el usuario para establecer y puede no estar relacionado con la geolocalización IP. El atributo admin-c y tech-c nos dan los contactos administrativos y técnicos para este rango de IP. En este caso, AA2914-RIPE enlaza a un registro que contiene las direcciones del centro de soporte de Orange Business Services (el LIR), mientras que DL7113-RIPE nos dice la dirección del servicio postal francés de servicios de TI. El atributo mnt-by nos dice que la entidad permitió realizar cambios en el propio registro de inetnum. Naturalmente, en este caso es el LIR, Orange Business Services. Los registros de rol vinculados en los atributos admin-c, tech-c y mnt-by contienen direcciones postales, números de teléfono y direcciones de correo electrónico. Por ejemplo, si buscamos AA2914-RIPE: role: Administration Adresses remarks: Internet Support Center address: Orange Business Services address: 6 avenue Albert Durand address: 31700 Blagnac France phone: +33969397520 abuse-mailbox: abuse.orange-business@orange.com nic-hdl: AA2914-RIPE remarks: http://www.orange-business.com mnt-by: RAIN-TRANSPAC created: 2004-03-12T12:24:14Z last-modified: 2024-11-26T14:37:29Z source: RIPE Point of contact in the RIPE database. WHOIS and RIR Limitations Limitaciones WHOIS y RIR WHOIS ≠ Geolocalización Los registros WHOIS a menudo se utilizan como proxy para la geolocalización de IP. Sin embargo, este uso es precario ya que no hay garantía de que las direcciones en los registros sean correctas o vinculadas a la ubicación real donde se usan las direcciones IP. Esto es lo que hay que decir sobre el atributo del país: Documentación Documentación Esto identifica a un país utilizando los códigos de país ISO 3166-2 de letras. Nunca se ha especificado lo que este país representa. Podría ser la ubicación de la sede de una empresa multinacional o donde se encuentra el centro de servidores o la casa del usuario final. Por lo tanto, no puede utilizarse de ninguna manera fiable para mapear las direcciones IP a los países. Nunca se ha especificado lo que este país representa. Por lo tanto, no puede utilizarse de ninguna manera fiable para mapear las direcciones IP a los países. Además, la granularidad de la asignación de direcciones IP a menudo es demasiado gruesa para representar cualquier cosa por debajo del nivel del país. . Geofísicos Geofísicos Los objetos de ruta son sólo informativos Another common source of confusion regarding WHOIS records come from route records. These records tell us which ASNs are expected to announce an IP range. For example, the following record tells us that 90.38.0.0/16 should be announced by AS3215: route: 90.38.0.0/16 descr: France Telecom IP2000-ADSL-BAS origin: AS3215 mnt-by: FT-BRX created: 2012-12-11T10:07:49Z last-modified: 2012-12-11T10:07:49Z source: RIPE Route record in the RIPE database. However, these records are purely informational. Some network operators might use them to reject routes where the origin ASN doesn’t match, but some might not use those records at all. Furthermore these records can exist even if an IP range is not actually announced. As such, these records cannot be used to determine which ASN announces an IP range. This information can, however, be obtained from the BGP routing protocol. The Messiness of Public Registry Data La confusión de los datos del Registro Público Las bases de datos de RIRs están disponibles públicamente, lo que las convierte en grandes fuentes de información sobre las entidades que operan en Internet. No todos los RIRs soportan los mismos tipos de registros, e incluso para los registros comunes, los atributos soportados pueden ser diferentes. Además, algunos campos, como la dirección, son de forma libre y su validez no es aplicada por los RIR. No es raro encontrar direcciones inválidas o confundidas en los registros de WHOIS. How IPinfo Transforms Static Records into Dynamic Intelligence Cómo IPinfo transforma los registros estáticos en inteligencia dinámica The Internet’s addressing system was built on a cooperative trust model: registries publish allocations, operators document routing intentions, and the community assumes these records are correct. Sin embargo, este modelo también permitió que algunos actores disfrazaran el tráfico malicioso o no deseado. Por ejemplo, los rastreadores web pueden rotar direcciones IP y ASNs a menudo para evitar la detección (ver este Cloudflare Un ejemplo reciente). Blog Post Blog Post Los datos de IPinfo arrojan luz sobre estos problemas con nuestros ricos datos: El IP de Whois Nuestros mapas de datos de IP WHOIS abarcan a sus propietarios en un formato estandarizado y enriquecido en todos los registros de Internet regionales. Estos datos son útiles para comprender la jerarquía de asignación y la historia de una dirección IP y, por ejemplo, para distinguir las IP estables asignadas por el ISP de las IP de los corredores de IP que pueden cambiar de manos con frecuencia. Estos datos también se pueden utilizar para descubrir activos propiedad de una organización en particular, y estimar su superficie de ataque para la gestión proactiva. IP a la empresa y rangos de IP Nuestro conjunto de datos IP a empresa y IP Ranges son versiones destiladas de nuestro conjunto de datos WHOIS que siempre devuelven la información más específica para una dirección IP. Son útiles cuando uno se preocupa sólo por el propietario final de una dirección IP y no la jerarquía de asignación completa. Permiten a los usuarios obtener fácilmente todos los rangos de IP pertenecientes a una organización al buscar su nombre o nombre de dominio. IP para ASN Nuestro mapa de datos de IP a ASN mide las direcciones IP a su origen ASN - la organización que enlaza la dirección IP en Internet. Estos datos se pueden utilizar para conocer el ISP de un usuario, pero también para filtrar el tráfico humano del tráfico de bot que a menudo proviene de los proveedores de alojamiento y de la nube ASN. Geolocalización IP Nuestros datos de geolocalización IP, informados por ProbeNet, nuestra plataforma de medición de Internet, proporcionan una asignación exacta de ubicación hasta el nivel de la ciudad, detectando discrepancias entre los códigos de país de WHOIS y la geografía observada del IP. IP Privacy Detection Our IP privacy detection data flags IPs using VPNs, proxies, Tor nodes, residential proxies and other anonymizing services, enabling users to filter bot traffic, prioritize investigations, and handle anonymized connections with the appropriate caution. From Assumptions to Evidence De la suposición a la evidencia Los datos de registro tradicionales son valiosos pero incompletos. Sin validación, es fácil atribuir incorrectamente la propiedad, la geografía o el enrutamiento, lo que conduce a puntos ciegos costosos. IPinfo uses publicly available signals, like WHOIS data and geofeeds, standardizes and organizes that information into a consistent format, and builds off that foundation with partner/vendor data as well as our own proprietary intelligence. This approach turns registry data from a static directory into a dynamic, verifiable intelligence layer. Permite a los defensores de la red, a los investigadores y a los operadores pasar del análisis basado en suposiciones al mapeo basado en evidencias de los recursos de Internet, reduciendo los falsos positivos y descubriendo infraestructuras que permanecerían ocultas en los flujos de trabajo WHOIS tradicionales. Ready to see beyond registry records? Los conjuntos de datos de IPinfo combinan información de registro con mediciones en tiempo real, detección avanzada de privacidad y inteligencia curada para darle una visión completa de la infraestructura de Internet. Sobre el autor: Maxime Mouchet Max actualmente trabaja como ingeniero de datos sobre geolocalización IP en IPinfo. Anteriormente, fue investigador postdoctoral en la Universidad de la Sorbona, donde trabajó en mediciones de traceroute multipath.