IP 情报什么是 ASN？自治系统号详解
ASN（自治系统号）标识一个 IP 所属的网络及其运营者，是关于任何请求最能说明问题的信号之一。
互联网上的每个 IP 地址都存在于某个网络之中。这个网络就是一个自治系统：由单一组织管理控制的一组 IP 段，并向互联网其余部分宣告一致的路由策略。标识它的编号就是 ASN：由互联网注册管理机构分配的全球唯一标识符，取自一组明确定义的公共和私有取值范围。它与您在运行 EIGRP 的路由器上配置的本地“AS 号”不是一回事，我们会在文末澄清这一区别。
ASN 在互联网上如何运作
互联网不是一个网络。它由数以万计的独立网络（ISP、大学、公司、云服务商、政府机构）组成，每个网络控制着自己的 IP 段。这些网络通过 BGP（Border Gateway Protocol，边界网关协议）进行通信，这种路由协议告诉每个网络如何到达其他所有网络。
当一个网络想要向互联网宣告它的 IP 段（“发往这些地址的流量应该交给我们”）时，它会使用自己的 ASN 来宣告。ASN 就是这些 BGP 宣告中的标识符。没有它，就无法追踪哪个组织负责哪些 IP 段。
ASN 由区域互联网注册管理机构颁发：
- ARIN：北美
- RIPE NCC：欧洲、中东、中亚
- APNIC：亚太地区
- LACNIC：拉丁美洲和加勒比地区
- AFRINIC：非洲
每个 RIR 都维护一个公开的 ASN 分配数据库。这就是 ASN 数据可以免费获取的原因：注册机构公开发布这些数据，而且互联网的正常运转也离不开它。
ASN 号码范围：公共、私有、16 位和 32 位
并非每个数字都是有效的 ASN，也并非每个 ASN 都应该出现在公共互联网上。这些范围都有明确定义和保留，正是这种结构让 ASN 成为可靠的标识符。
最初的规范使用 16 位（2 字节） 编号：0 到 65,535。互联网的发展超出了这个空间，于是 32 位（4 字节） ASN 把上限提高到 4,294,967,295。如今两种格式并行使用。大型老牌 ISP 通常持有 2 字节编号，而较新的分配（例如 Google Cloud 的 AS396982）是 4 字节的。在查询中这种差别是看不出来的，只是数字更大而已。
在这些范围内，有一些特定的区块被单独保留：
| 范围 | 格式 | 用途 |
|---|---|---|
| 0 | 16 位 | 保留：无效或“不可路由”的 ASN |
| 1 到 64,495 | 16 位 | 公共，由 RIR 分配（该区块中的 AS23456 被保留为 AS_TRANS，用于 2 字节路由器与 4 字节 ASN 互通期间） |
| 64,512 到 65,534 | 16 位 | 私有用途（RFC 6996），仅限内部使用，从不公开宣告 |
| 65,536 到 4,199,999,999 | 32 位 | 公共，由 RIR 分配 |
| 4,200,000,000 到 4,294,967,294 | 32 位 | 私有用途（RFC 6996），仅限内部使用 |
这对 IP 情报的实际意义在于：私有 ASN 存在于某个组织的网络内部，从不向互联网宣告，因此它永远不会出现在 IP 查询结果中。每个可路由的公共 IP 都恰好对应一个由注册机构分配的公共 ASN，这正是 ASN 作为身份信号值得信赖的原因。如果您查询一个地址并得到了 ASN，那就是一个真实的、全球唯一的注册记录，您可以据此确定其运营者。
解读 ASN 查询结果
下面是通过 GeoIPHub 进行 ASN 查询所返回的内容。ASN 数据位于响应的 asn 分组中（以下是经过裁剪的真实响应，查询于 2026 年 10 月 2 日执行）：
curl "https://api.geoiphub.com/v1/lookup/8.8.8.8" \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "8.8.8.8",
"asn": {
"asn": 15169,
"org": "GOOGLE - Google LLC",
"asn_type": "hosting",
"isp": "GOOGLE - Google LLC",
"connection_type": "datacenter",
"rpki": "valid"
},
"geo": { "country_code": "US" },
"detection": { "is_hosting": true, "is_anycast": true }
}
家用 ISP 的结果则不同。我们不公开真实的家庭地址，因此下面是一个使用示意值的样例，并非真实查询；字段名和结构与线上 API 一致：
{
"ip": "<a home broadband IP>",
"asn": {
"asn": 7922,
"org": "COMCAST-7922 - Comcast Cable Communications, LLC",
"asn_type": "isp",
"connection_type": "residential"
},
"geo": { "country_code": "US" },
"detection": { "is_hosting": false }
}
云服务商：
curl "https://api.geoiphub.com/v1/lookup/54.239.28.85" \
-H "x-api-key: YOUR_API_KEY"
{
"ip": "54.239.28.85",
"asn": {
"asn": 14618,
"org": "AMAZON-AES - Amazon.com, Inc.",
"asn_type": "hosting",
"isp": "AMAZON-AES - Amazon.com, Inc."
},
"geo": { "country_code": "US", "region": "Virginia", "city": "Ashburn" },
"detection": { "is_hosting": true }
}
请注意，这个 Amazon 地址是由 AS14618 而不是 AS16509 宣告的：Amazon 运营着不止一个自治系统，而查询结果总是报告实际宣告该前缀的那个。
asn.asn_type 字段最有用：它按 ASN 所代表的网络类型对其进行分类。您最常看到的取值如下：
asn_type | 含义 | 典型流量 |
|---|---|---|
isp | 面向消费者的互联网服务商 | 家中的真实用户 |
mobile | 移动运营商 | 位于 CGNAT 之后的手机 |
hosting | 云、独立服务器或机房托管服务商（AWS、Google、DigitalOcean、OVH） | 服务器、自动化工作负载、VPN 基础设施 |
cdn | 内容分发网络（Cloudflare、Fastly） | CDN 边缘节点，而非终端用户 |
vpn | 被归类为 VPN 基础设施的网络 | 经过匿名化的用户流量 |
satellite | 卫星互联网服务商 | 使用卫星链路的真实用户 |
如上面的示例所示，大型云服务商会返回 hosting；如果网络尚未被分类，地址也可能返回 unknown。
为什么 ASN 是 IP 情报的核心
ASN 类型回答了最有用的那个初始问题：这个 IP 背后很可能是真人，还是基础设施？
使用消费级产品的真实消费者几乎总是从 isp 或 mobile 类型的 ASN 连接。当请求来自 hosting 类型的 ASN 时，从结构上就需要一个解释，因为云服务商不会给人们的笔记本电脑分配 IP。在合法类别中，移动 ASN 是噪声最大的：运营商的 CGNAT 把成千上万的真实用户隐藏在少数几个地址后面，这也是移动代理网络能如此有效地混入其中的原因。
这使得 ASN 类型成为欺诈和滥用防范中成本最低、最可靠的第一道过滤器：
- 来自 AWS ASN 的登录 → 几乎可以肯定是自动化的；没有真实用户会从云服务器登录
- 来自已知 VPN ASN 的结账 → 风险较高；可能是真实客户也可能是欺诈，但不是默认模式
- 来自 Cloudflare ASN 的 API 调用 → 很可能是您自己的边缘基础设施或开发者；请结合上下文判断
- 来自家用 ISP ASN 的注册 → 基本合法；再用其他信号细化判断
没有任何单一过滤器是足够的，但 ASN 类型为您提供了一个强有力的先验，让后续所有信号都更容易解读。要测试某个具体地址，数据中心 IP 检查只需一次查询就能判断它是否属于云或托管网络。
ASN 与 VPN 检测
VPN 服务商要么运营自己的 ASN，要么从托管类 ASN 租用基础设施。检测系统利用 ASN 历史来标记已知托管 VPN 服务器的网段：
- 一个有据可查的、曾有 VPN 出口节点历史的托管类 ASN，即使在主动探测之前，也会提高该网段中任一 IP 是 VPN 的概率
- 一个家用 ISP 的 ASN 在主动探测时突然出现 VPN 协议响应，说明这是运行在被入侵或家用基础设施上的 VPN 出口点（有时用于住宅代理）
ASN 类型与主动协议探测相结合，比任何一种单独使用都更可靠：hosting ASN + OpenVPN handshake（托管类 ASN + OpenVPN 握手）是高置信度的 VPN；residential ISP ASN + no protocol response（家用 ISP ASN + 无协议响应）是高置信度的干净住宅地址。
常见 ASN 及其含义
有些 ASN 在欺诈和安全场景中出现得足够频繁，值得了解它们的身份：
| ASN | 组织 | 背景 |
|---|---|---|
| AS16509 | Amazon Web Services | 自动化流量和扫描最常见的来源 |
| AS15169 | Google LLC | Google 服务和云；也包括 Google 的 bot |
| AS8075 | Microsoft | Azure 和 Microsoft 服务 |
| AS13335 | Cloudflare | CDN 边缘和安全产品 |
| AS7922 | Comcast | 美国大型家用 ISP |
| AS20473 | Choopa / Vultr | 常被用于 VPN 的 VPS 托管 |
| AS60068 | CDN77 | 有 VPN/代理历史的 CDN 和托管 |
| AS396982 | Google Cloud | 与 Google LLC 不同；专指 GCP |
| AS14061 | DigitalOcean | 受开发者欢迎的托管服务；在自动化流量中很常见 |
在消费级产品上看到大量来自 AS16509 或 AS14061 的流量，是脚本或自动化活动的强烈信号。这不是因为这些 ASN 是恶意的，而是因为真实用户不会从云服务器连接消费级产品。
直接查询 ASN
对于调查和手动查询，有几种方法可用（ASN 检查是我们调查可疑 IP 地址的实战手册中的第二步）：
命令行（Linux/Mac）：
# Using whois
whois 8.8.8.8
# Using the Team Cymru IP-to-ASN mapping
dig +short 8.8.8.8.origin.asn.cymru.com TXT
程序化方式（用于您的应用）：
curl "https://api.geoiphub.com/v1/lookup/103.21.244.0" \
-H "x-api-key: YOUR_API_KEY"
# -> asn.asn 13335, asn.org "CLOUDFLARENET - Cloudflare, Inc.", asn.asn_type "hosting"
API 每次都会返回完整的响应；ASN 数据请读取 asn 分组。
在生产环境中，直接查询注册机构既慢又有速率限制。IP 情报 API 只需一次低延迟请求，就能返回带有结构化类型的 ASN 数据以及其他所有字段。
ASN、ISP 与组织的区别
这三个术语在文档中有时会被混用。它们的区别如下：
- ASN：网络标识符（一个数字）
- ISP（
asn.isp、asn.org）：运营该 ASN 的组织（一个名称） - 组织：可以与 ISP 相同，也可以是租用该 IP 段的最终客户（一家拥有自己的 IP 空间、由中转服务商代为宣告的公司）
当您查询一个 IP，asn.org 显示“Amazon.com, Inc.”，但该 IP 实际上被一家在 AWS 上托管服务器的公司使用时，ASN 组织反映的是网络宣告方，而不是最终租户。对于云 IP，区分云服务商和在其上运行的客户对理解背景很重要，但 ASN 类型（hosting）仍然能告诉您基础设施分类所需的信息。
EIGRP 和路由协议中的“AS 号”是另一回事
搜索自治系统号时，经常会出现 Cisco 路由配置的内容，例如输入 router eigrp 100。这个数字不是公共 ASN，把两者混为一谈是常见的困惑来源。
router eigrp 100 中的 100 是一个本地进程标识符。它唯一的作用是在同一组织内所有应当共享 EIGRP 路由的路由器之间保持一致。如果两台路由器使用不同的 EIGRP AS 号，它们永远不会建立邻居关系。这个值由您自己选择（1-65,535），只在您自己的网络内部有意义，并且不需要在任何地方注册。
公共 ASN 在每一点上都恰恰相反：
| EIGRP“AS 号” | 公共 ASN | |
|---|---|---|
| 作用范围 | 仅限一个组织内部 | 全球，覆盖整个互联网 |
| 由谁分配 | 您自己 | 区域互联网注册管理机构 |
| 唯一性 | 只需与您自己的路由器一致 | 全球唯一 |
| 是否出现在 IP 查询中？ | 从不 | 总是 |
因此，如果您在为 CCNA 实验配置 EIGRP，“AS 号”指的是路由进程标签。如果您在为欺诈检测或地理定位丰富 IP 地址信息，“ASN”指的是本文所描述的全球注册标识符：词语相同，范围完全不同。BGP 是这两个世界之间的桥梁：router bgp 65001 在与其他网络对等互联时使用您真实的公共 ASN，您的路由正是这样才进入全球路由表的。
关于 ASN 数据用途的更多内容
- 什么是数据中心 IP 地址：数据中心 ASN 与住宅 ASN 有何不同
- VPN 和代理检测的实际工作原理：ASN 分析如何为匿名化工具检测提供输入
常见问题
ASN 是什么的缩写？
ASN 是 Autonomous System Number（自治系统号）的缩写。它是分配给一个自治系统（AS）的唯一编号：自治系统是处于单一管理域之下、对互联网呈现一致路由策略的一个网络或一组网络。ASN 由区域互联网注册管理机构（RIR）颁发，例如 ARIN、RIPE NCC、APNIC、LACNIC 和 AFRINIC。
ASN 和 IP 地址有什么区别？
IP 地址标识网络上的某台具体设备或某个接口。ASN 标识控制并宣告一段 IP 地址范围的网络。每个 IP 都恰好属于一个 ASN。ASN 告诉您该 IP 所在的网络由谁运营：管理该 IP 段的 ISP、云服务商、公司或托管机构。
如何查找一个 IP 地址的 ASN？
您可以通过 IP 情报 API（例如 GeoIPHub）、Whois 数据库或命令行工具查询 ASN。在终端中，'whois <IP>' 会返回注册机构的 ASN 数据。在生产环境中，API 会以结构化形式返回 ASN 以及组织名称、宣告的 IP 段和 ASN 类型（ISP、数据中心、CDN 等）。
为什么 ASN 对欺诈检测很重要？
ASN 告诉您网络归谁所有，而网络归谁所有决定了您应该预期什么样的流量。来自 AS7922（Comcast 家用宽带）的请求很可能来自家中的真实用户。来自 AS16509（Amazon AWS）的请求几乎可以肯定来自服务器。真实消费者几乎从不在云服务商的 ASN 上发起交易，因此即使没有任何其他信号，来自 AWS ASN 的结账或登录在结构上就是可疑的。
两家不同的公司可以共用一个 ASN 吗？
一般不可以。一个 ASN 代表一个具有一致路由策略的单一管理域。不过，大型组织可能使用多个 ASN（Google 运营着几十个）。一些较小的网络也可能在上级 ISP 的 ASN 下宣告，而不是使用自己的 ASN。ASN 总是对应一个组织，但一个组织可以拥有多个 ASN。
4 字节 ASN 和 2 字节 ASN 有什么区别？
最初的 ASN 规范使用 2 字节编号（1-65535）。随着互联网的发展，这个编号空间被耗尽，4 字节 ASN（在 RFC 4893 中定义）把范围扩展到 40 多亿个编号。AS396982（Google Cloud）这样的现代 ASN 使用 4 字节格式。较老的基础设施和许多大型 ISP 仍在使用 2 字节 ASN。只有在实现 BGP 路由时这个区别才重要；对于 IP 情报查询，API 会透明地处理这两种格式。
GeoIPHub API 背后的团队
由 GeoIPHub 团队撰写，即构建 GeoIPHub IP 情报 API 及其扫描器的团队。草稿在 AI 辅助下完成，并由团队编辑；除非标注为示例，API 示例均为针对线上 API 的真实查询。
API 指南