Ghid pentru Informații IP

Ce vă poate spune o căutare de IP

O adresă IP identifică o interfață de rețea, nu o persoană și nu o clădire. Registrele consemnează ce organizație deține fiecare bloc de adrese, rețelele anunță blocurile pe care le rutează printr-un număr de sistem autonom (ASN), iar bazele de date comerciale pun în corespondență intervale de adrese cu locații aproximative. O căutare de IP adună aceste surse într-o singură imagine. Niciuna dintre ele nu o confirmă pe cealaltă: fiecare este ținută de altă instituție și actualizată cu altă frecvență. De aceea rezultatul se citește ca un set de indicii care se completează, nu ca un singur adevăr.

Asta o face utilă pentru întrebări precum „ce furnizor trimite acest e-mail?”, „adresa aceasta este un centru de date sau o conexiune de acasă?” ori „din ce țară vine traficul acesta?”. Nu este utilă pentru a afla unde se află o anumită persoană, iar datele pot fi greșite sau învechite pentru orice adresă. Când citiți jurnale, scrieți reguli de firewall sau sortați rândurile dintr-un raport DMARC, întrebările sunt de obicei din prima categorie. Fiindcă adresa aparține unei rețele, și răspunsul pe care îl poate da rămâne la nivel de rețea.

Cum folosiți Informații IP

1. Deschideți Informații IP și introduceți o adresă IPv4 sau IPv6, precum 8.8.8.8 ori 2001:db8::1.
2. Sau apăsați „Arată IP-ul meu” ca să căutați adresa de la care se conectează browserul dumneavoastră. Cererea este trimisă doar când apăsați butonul.
3. Citiți rândul de rezumat cu locația și rețeaua, apoi tabelul cu detalii.
4. Apăsați „Arată harta” dacă vreți locația aproximativă pe o hartă; fișierele hărții se încarcă abia în acel moment.
5. Continuați cu Rulează următorul pentru verificări de DNS invers, ASN, reputație sau liste negre pentru aceeași adresă.

Căutări după nume de gazdă și după ASN

Informații IP acceptă și un nume de gazdă, precum github.com. Serverul XGM îl rezolvă, refuză numele care trimit către adrese private sau interne și descrie prima adresă publică; rezultatul arată către ce adrese s-a rezolvat numele. Aceasta înlocuiește instrumentul separat de căutare ASN: numărul de sistem autonom, organizația lui și furnizorul fac parte din fiecare rezultat. Când un nume se rezolvă către mai multe adrese, le vedeți pe celelalte în listă și le puteți căuta pe rând.

Un ASN identifică rețeaua care anunță pe internet un interval de adrese. Vă spune cine operează rețeaua, nu cine folosește o anumită adresă: ASN-ul unui furnizor de cloud acoperă mii de clienți fără legătură între ei. Numerele sunt distribuite de registrele regionale: RIPE NCC pentru Europa și Orientul Mijlociu, ARIN pentru America de Nord, APNIC pentru Asia-Pacific, LACNIC pentru America Latină și AFRINIC pentru Africa. De aceea regiunea în care este înregistrat un ASN nu coincide neapărat cu locul în care adresa este folosită efectiv.

Câmpurile din rezultat

Numele din DNS invers trădează adesea felul adresei. Un nume precum mail.example.com sugerează un server de mail configurat de proprietarul lui, în timp ce 192-0-2-80.dynamic.isp.example.net indică o conexiune de acasă sau una dinamică. Multe filtre de e-mail privesc cu suspiciune exact numele generice de acest tip. Pentru propriul server de mail, publicarea unui PTR cu sens este una dintre cele mai ieftine măsuri care îmbunătățesc livrarea.

Rețelele mobile, VPN-urile, proxy-urile din companii și furnizorii de cloud rup legătura dintre adresă și locația fizică. Un telefon dintr-o rețea mobilă poate apărea la sute de kilometri distanță, iar un utilizator de VPN apare acolo unde se află serverul VPN. Tratați rezultatele la nivel de oraș doar ca pe un indiciu. La furnizorii mari de cloud, același bloc de adrese poate fi mutat într-o regiune de pe alt continent, iar bazele de date află despre asta cu întârziere.

Adrese publice, private și speciale

Adresele private există simultan în milioane de rețele, așa că nu au un proprietar și nici o locație globală. Căutarea le arată doar tipul și sare peste cererea de geolocalizare. Dacă un jurnal arată o adresă privată drept client, clientul real se află în spatele unui proxy sau al unui echilibrator de sarcină, iar adresa originală se găsește de obicei într-un antet de redirecționare. Aveți încredere în acel antet numai dacă îl adaugă o componentă din propria infrastructură, fiindcă valorile X-Forwarded-For trimise de client se inventează ușor.

Utilizări practice

Identificarea expeditorilor din rapoartele DMARC

Rapoartele agregate listează adresele IP sursă. Căutarea lor arată dacă o adresă aparține furnizorului dumneavoastră de e-mail, unei platforme de marketing sau unei rețele de găzduire necunoscute, iar acesta este primul pas în sortarea rândurilor din raport. Ghidul rapoartelor agregate parcurge acest proces pas cu pas. Dacă aceeași adresă arată aceeași rețea zile la rând, este un semn bun că sursa este un serviciu permanent.

Investigarea autentificărilor sau a traficului suspect

O autentificare de la o adresă din intervalul unui furnizor de găzduire sau dintr-o țară neașteptată merită privită mai atent. Combinați căutarea cu Verificare liste negre, care arată și contextul de rețea al adresei. Aveți grijă cu concluziile: adresele partajate de VPN-uri și de proxy-uri sunt folosite de mulți oameni legitimi. O adresă IP singură nu este niciodată o dovadă suficientă ca să blocați un cont sau ca să acuzați un utilizator.

Verificarea propriei adrese publice

„Arată IP-ul meu” răspunde la întrebări precum dacă un VPN este activ, ce adresă trebuie permisă într-un firewall sau dacă legătura dumneavoastră folosește IPv6. În spatele NAT-ului la nivel de operator, mulți clienți împart aceeași adresă publică, ceea ce contează pentru serviciile care limitează sau blochează în funcție de adresă. Când lucrați de acasă, tot acest ecran vă dă adresa pe care o trimiteți pentru a fi trecută pe lista permisă. Pe o conexiune dinamică, țineți minte că adresa se poate schimba la fiecare repornire a routerului.

Limitele datelor despre IP

Blocurile de adrese își schimbă proprietarul, iar bazele de date se actualizează în ritmuri diferite. O adresă care anul trecut aparținea unui furnizor de găzduire poate fi folosită azi de altă companie, iar DNS invers poate arăta în continuare vechiul nume. Pentru deciziile care contează, confirmați cu datele actuale din registrul regional de internet. Spre deosebire de estimarea unei baze de date comerciale, înregistrarea din registru se bazează pe declarația celui care deține blocul.

whois 192.0.2.80
# or query RDAP over HTTPS through the regional registry that holds the block

Și furnizorii de geolocalizare se contrazic între ei. Dacă locația chiar contează, de exemplu pentru o chestiune de conformitate, comparați mai multe surse și înregistrarea din registru în loc să vă bazați pe o singură căutare. Este obișnuit ca doi furnizori să arate orașe diferite pentru aceeași adresă și nu există o cale simplă de a decide din exterior care dintre ei are dreptate.

Rețineți, de asemenea, că o adresă vă spune ceva despre un drum prin rețea la un anumit moment. Adresele dinamice sunt realocate, iar o singură adresă poate fi împărțită de un birou întreg, de o celulă dintr-o rețea mobilă sau de un serviciu VPN. De aceea, când citiți un jurnal, notarea momentului exact al evenimentului lângă adresă face mult mai ușoară orice verificare de mai târziu.

Întrebări frecvente

Surse

• RFC 1918: Alocarea adreselor pentru rețele private
• RFC 6598: Prefix IPv4 rezervat de IANA pentru spațiul de adrese partajat
• RFC 5737: Blocuri de adrese IPv4 rezervate pentru documentare
• RFC 9082: Formatul interogărilor RDAP
• IANA: Registrul adreselor IPv4 cu destinație specială