IP 与 ASN 工具：归属、路由与黑名单查询
IP 与 ASN 是网络的「户口系统」：whois 查归属、BGP 工具查路由、黑名单库查信誉。本文给出三类工具的查询套路、关键字段读法与组合用法（一段 IP 从归属到信誉的五分钟档案）。
每个 IP 都有三张档案：户口（归属与注册信息）、路线（BGP 路由可见性）、信誉（黑名单与滥用记录）——查档案的工具都是公开的，会组合使用就能在采购、排障、安全三类场景里拿到一手证据。本篇给出三类工具的查询套路与字段读法。本文属于线路与回程路由中心系列的工具分支；逐跳路径分析用MTR 与 Looking Glass。
户口档案：whois 与 RIR 数据库
whois 是 IP/域名的注册信息查询协议，全球由五大区域注册机构（RIR：ARIN 美洲、RIPE 欧洲、APNIC 亚太、LACNIC 拉美、AFRINIC 非洲）分区管理——查询会自动转介到对应 RIR。
# ① IP 归属速查（三个关键字段：OrgName 归属 / NetRange 段范围 / Country 注册地）
whois 8.8.8.8 | grep -iE "orgname|netrange|country|descr" | head -6
# ② 段级信息（拿到 NetRange 或 route 对象后查整段）
whois -h whois.radb.net -- '-i origin AS15169' | head -30 # RADb：按 AS 反查其宣告的前缀
# ③ 域名侧 whois（注册商/到期日/NS 委派一屏看全）
whois 你的域名 | grep -iE "registrar:|expir|name server" | head -6
# ④ 中国方向补充：APNIC 库的 inetnum 对象（国内段信息更全）
whois -h whois.apnic.net 目标IP | grep -E "inetnum|netname|descr|country" | head -6字段读法要点：netname/descr 常直接暴露网络性质（CHINANET=电信 163、CNC/UNICOM=联通、CMNET/CMI=移动、云厂商名=数据中心段）；注册地≠物理位置（跨国机构常统一注册）；route 对象与实际 BGP 宣告可能不一致（数据库是声明，路由是事实——对不上时以 BGP 为准）。
路线档案：BGP 可见性与 AS-PATH
BGP 档案回答「这段 IP 在全网是否可达、经过哪些 AS」——排查漏播、劫持、绕路的核心证据。公共路由数据源：各 IXP 的 route server、RIPE RIS（全球采集点）、商业 Looking Glass 站。
# ① 前缀的 origin AS（谁在宣告这段 IP）
whois -h whois.radb.net 目标IP段 | grep -E "origin|route" | head -4
# ② 从公共 BGP Looking Glass 查 AS-PATH（浏览器操作，以下为读法）：
# 输入前缀 → 看各采集点的 AS-PATH：
# · 全球采集点都能看到 = 可达性正常
# · 部分采集点看不到 = 漏播或区域性路由问题
# · AS-PATH 里出现「不该出现的 AS」= 疑似劫持（对照 RPKI 有效性标记）
# ③ RPKI 有效性（路由来源认证：Valid/Invalid/NotFound）
# 主流 LG 与 RIS 都标注；Invalid = 宣告与 ROA 签名不符，正规网络会丢弃
# ④ 自己的段被谁宣告了（多视角对照）
# RIPE RIS 的 prefix overview 页输入你的前缀，看全球视角的 origin 一致性信誉档案：黑名单与滥用记录
- 黑名单聚合查询：主流黑名单库（Spamhaus 类 DNSBL）都支持「IP.库域名」形式的 DNS 查询——有记录=被收录，无记录=干净；聚合查询站一次过几十个库，采购前与月度巡检各跑一遍；
- 滥用记录：部分公开滥用数据库记录该段的垃圾邮件/扫描/攻击历史——买多 IP 段前的必查项（口径见IPv4/IPv6 行情的信誉管理节）；
- 处置路径：被收录→先查自己业务侧原因（ compromised 主机、开放中继、被当跳板），修完再按各库流程申请除名——「先修因再申诉」的顺序不能反，否则除名后立刻回炉。
# 黑名单速查模板（DNS 协议查询，空应答=未收录）
dig +short 目标IP.zen.spamhaus.org
# 批量巡检（多 IP 段循环，输出非空行即命中）
for ip in IP1 IP2 IP3; do r=$(dig +short $ip.zen.spamhaus.org); [ -n "$r" ] && echo "$ip 命中: $r"; done; echo "巡检完成"组合用法：一段 IP 的五分钟档案
| 步骤 | 工具 | 产出 |
|---|---|---|
| ①归属 | whois（自动转介 RIR） | 网络性质、注册段、联系方 |
| ②路由 | RADb / RIS / LG | origin AS、全球可见性、RPKI 状态 |
| ③信誉 | DNSBL 聚合 + 滥用库 | 黑名单命中、历史滥用记录 |
| ④路径 | MTR 双向（配合 LG） | 到你业务的真实路径与质量 |
| ⑤归档 | 文本存证 + 日期戳 | 采购/工单/巡检的可追溯记录 |
三个场景的用法差异：采购前——重点查信誉与路径（脏 IP 段和绕路路径都是隐性成本）；排障中——重点查路由与路径（漏播/劫持/绕路）；安全巡检——重点查黑名单与自己段的 origin 一致性（被劫持的早期信号）。
三个高频场景的快问快答
- 「买服务器送的 IP 干净吗？」——收货先跑信誉档案（黑名单聚合 + 滥用记录），脏 IP 立即工单换；批量段逐个过，抽查不可靠；
- 「为什么我的海外用户访问慢，MTR 却正常？」——MTR 只覆盖你测的方向，用户的路径要借 LG 与多地测速节点还原（节点清单的 10 机房就是干这个的）；
- 「AS 号能说明线路质量吗？」——AS 只说明归属与路由策略，质量由路径与拥塞决定：同是 AS4134（电信 163），不同时段不同方向的体验天差地别——用实测数字回答质量问题，别用 AS 号站队。
工具的边界：三条纪律
- 数据库≠事实：whois 与 RADb 是「声明」，BGP 路由表与实测路径是「事实」——两者冲突时以事实为准，并记录差异；
- 查询留痕：对第三方段的密集查询可能触发对方告警（扫描误判）——批量查询用聚合接口与合理间隔，别拿 for 循环扫全网；
- 结论配证据：工单与采购报告里的每个「归属/劫持/污染」结论都要附原始查询输出与时间戳——转述的结论没有生命力。
相关工具：MTR 与 Looking Glass · DNS 工具集 · 测速节点清单。线路质量对照在线路中心，多节点实测入口在线测速；诊断全景回诊断中心。