IPアドレスをたどる方法(そしてそれが示すもの)

IPアドレスをたどるというと、誰かの玄関先まで追跡するよう聞こえます。この手順が実際に行うことはもっと控えめで、もっと有用です。インターネットのアドレス体系の公開記録の中でそのアドレスを調べ、それがどのネットワークに属するかを報告します。すべての公開アドレスはどこかの組織、プロバイダ、企業、クラウドプラットフォームに割り当てられており、その割り当ては記録されています。たどるとはその記録を読むことです。正しく行えば、ネットワークの問いに正確に答えます。これは誰のインフラか、どこに登録されているか、どの範囲に位置するか。どの時点でも、それは一個人についての情報にはなりません。

IPルックアップが実際に読むもの

IPルックアップはいくつかの公開ソースを組み合わせます。RDAP経由で公開される登録データは、アドレスブロックが誰に割り当てられ、誰が管理しているかを記録します。ルーティングデータはそのアドレスを自律システム番号、すなわちASNに結びつけます。ASNはそれを世界にアナウンスするネットワークを特定します。逆引きDNSは、運用者がそのアドレスについて公開しているホスト名があれば、それを加えます。このサイトのIPルックアップツールはまさにそれを集めます。DNSツールがドメイン名を受け取るのに対し、IPアドレスを入力として受け取るのはここではこのツールだけで、所有者とASN、登録国、割り当て範囲、そして逆引きDNSの結果を報告します。

記録には、思い描く価値のある階層があります。アドレスはブロック単位で割り当てられます。グローバルなプールは地域レジストリに分割され、地域レジストリは大きなブロックをプロバイダや組織に割り当て、それらがさらに小さな範囲を自らのネットワークや顧客に割り当てます。ルックアップはあなたのアドレスを記述する階層まで降りていき、そこに記録されている内容を報告します。だからこそ、名指しされる所有者は、あなたが出発点としたエンドユーザーではなく、プロバイダであることがとても多いのです。ASNはその隣に座ります。グローバルルーティングでそのブロックをアナウンスするネットワークを名指しし、通常は同じ組織、ときには代わりにアナウンスする上流のキャリアです。

1. 1

   完全なアドレスをコピーする

   ログ、メッセージヘッダ、接続一覧に現れる通りにアドレスを正確にコピーしてください。数字が一つ違えば別のアドレス、別のネットワークであり、IPv6アドレスは長い分、目で写すときに切り捨ててしまいがちです。

2. 2

   IPルックアップに入力する

   それをIPルックアップツールに貼り付けてください。このサイトのDNSルックアップツールはそれを拒否することに注意してください。ドメイン名しか受け取りません。IPルックアップはその例外で、アドレスのために作られています。

3. 3

   まずネットワークを読む

   所有者とASNが堅い土台です。そのアドレスが属するネットワークを運用する組織です。ほとんどのアドレスでは、それはインターネットプロバイダか、ホスティングまたはクラウドのプラットフォームであり、あなたが思い描いているかもしれない個人や小さなサイトではありません。

4. 4

   逆引き名を確認する

   結果が逆引きDNS名を示す場合、逆引きDNSルックアップは、その名前がどう公開されているか、前方DNSと一致するかどうかを示します。その名前は運用者が選んだラベルとして扱ってください。インフラを認識するのには役立ちますが、身元の証明ではありません。

予約範囲やドキュメント範囲のアドレスは所有者を返しませんが、それは正しい動作であり、失敗したルックアップではありません。ここのルックアップツールは、プライベート、ループバック、ドキュメントの範囲、198.51.100.23 のようなアドレスを意図的に隠します。それらはどの公開ネットワークにも属さず、実トラフィックには例として、あるいはプライベートネットワーク内部にだけ現れるからです。

追跡する価値のあるアドレスが見つかる場所

ほとんどのアドレスは単独ではなく、出来事に付随してやってきます。そして、人々が行う追跡のほぼすべては、三つの出所で説明がつきます。サーバーやファイアウォールのログは、各接続やブロックされた試行の送信元アドレスを、タイムスタンプとともに記録します。メールヘッダーには Received 行の連なりがあり、メッセージを扱ったサーバーが一行ずつ追加します。そして、プロバイダー、プラットフォーム、あるいは自身の監視からの不正利用報告は、それを引き起こしたアドレスを引用します。どの出所も、アドレスと時点という同じ二つのものを手渡します。そしてタイムスタンプはアドレスと同じくらい重要です。アドレスは再割り当てされるため、検索で分かるのは現在そのアドレスを運用している相手です。出来事の後できるだけ早く追跡するほど、読み取る登録情報は、実際にトラフィックを送ったネットワークをよく表します。

メールヘッダーには注意点がひとつあります。Received の連なりは下から上に読み、最も古いエントリが最も古いホップです。また、上部に近いエントリは送信者自身のソフトウェアによって書かれている場合があり、つまり捏造されている可能性があります。連なりの信頼できる部分は、自身のプロバイダーのサーバーがメッセージを受け取ったところから始まります。その引き渡し地点のアドレスこそ追跡する価値があるものです。一方、偽造されているかもしれない連なりの深部にあるアドレスは、メッセージに一度も触れていないネットワークのものかもしれません。メールの送信者 IP を追跡する方法 では、ヘッダーの連なりを行ごとにたどっています。

どの出所を使うにしても、アドレスだけでなく元の行を残してください。タイムスタンプ付きのログエントリ、あるいはヘッダーブロック全体は、トラフィックを通報する際にネットワークの不正利用担当が必要とするもので、その時点にそのアドレスを保持していた契約者と通報を照合できます。その照合は彼らにはできますが、公開検索にはできません。

たどることが決して示せないもの

ここで限界を述べます。それは細字ではなく、主要な事実です。IPルックアップは、人の名前、自宅住所、正確な場所を返すことはできません。そうしたデータは、それが読むシステムの中に存在しないからです。レジストリはネットワークを記録し、一時的にそれを使う人間を記録しません。その隔たりは、ほとんどの人が思うより広いのです。一つの公開アドレスはしばしば、家庭、オフィス、あるいはキャリアグレードNATの背後では数百人の加入者に同時に仕えます。アドレスは顧客の間で再割り当てされます。VPNやプロキシは、見えるアドレスをVPNのネットワークのもの、VPNの場所のものにします。その痕跡は、イライラするほど人の近くで終わるのではありません。ネットワークで終わります。設計上そうなのです。

アドレスは移動もします。ほとんどの消費者向け接続は動的にアドレスを受け取り、プロバイダのプールから引き出され、セッションが終わると返却されます。そのため月曜日にあなたのサーバーへ届いたアドレスが、金曜日には街の反対側の別の加入者のものになっているかもしれません。企業はしばしば何年も固定される静的アドレスを保持します。だからこそサーバーのアドレスをたどる方が、家庭接続のアドレスをたどるより安定した結果が得られます。いずれにせよ、ルックアップはそのアドレスの今日の登録を記述します。先月誰が保持していたかについて信頼できることは何も言わず、登録データはその歴史を決して持ちません。

なぜ位置が近似でしかないのか

IPの結果に付随する国と都市は、登録データとネットワークの信号から位置を推測するジオロケーションデータベースから来ており、「推測」が要の言葉です。登録国は通常信頼できます。割り当てを反映するからです。都市は最善の推定であり、大幅に外れることがあり、ユーザーではなくプロバイダの地域ハブに着地します。モバイルネットワークは遠方のゲートウェイ経由でトラフィックを流し、企業ネットワークはまったく別の地域の本社から出ていきます。IPジオロケーションとはは、これらのデータベースがどう推測を組み立てるのか、そしてなぜ二つのデータベースが同じアドレスについてしばしば意見を異にするのかを説明します。

その限界の中で使えば、たどることは本当に価値のある日常業務です。サーバー管理者はログを読み、トラフィックがどのネットワークから来たかを特定します。スパムの波や侵入の試みといった不正行為を受ける人は、登録データの中から運用ネットワークとその不正行為連絡先を見つけ、対処できる人々に報告できます。そして日常の疑問にも決着がつきます。あなたのVPNが、その画面が主張する国から出ているのか、エラーログのアドレスがあなた自身のプロバイダか、検索クローラのネットワークか、クラウドプラットフォームなのか、といったことです。

アドレスだけでなく経路を追跡する：traceroute

検索は単一のアドレスを特定します。しかし、役に立つ問いが違う場合もあります。トラフィックはあなたとそのアドレスの間をどう移動するのでしょうか。そのためのツールが traceroute（Windows では tracert）で、パケットが宛先へ向かう途中で通過するルーターを、ホップごとに列挙します。各ホップ自体が IP アドレスであり、通常はいずれかのネットワークのルーターインターフェースです。そのどれも、他のアドレスとまったく同じ方法で検索できます。ホップを合わせて読むと、旅程が見えてきます。最初は自身のプロバイダー、次にプロバイダー間でトラフィックを運ぶ単一または複数の中継ネットワーク、最後に宛先自身のネットワークです。

そのリストの空白は普通のことであり、よく誤解されます。多くのルーターは traceroute が送るプローブに応答しないよう設定されているため、トラフィックが問題なく通過していても、ホップがアスタリスクやタイムアウトとして表示されることがあります。大切なのは、すべてのルーターが自己紹介したかどうかではなく、トレースが宛先で完了するかどうかです。大きな遅延を加え、その遅延を後続のすべてのホップに引き継ぐホップは、通常、海底ケーブルなどの長い物理区間を示すもので、障害ではありません。一方、あるホップに現れて消える遅延は測定ノイズでした。Traceroute は経路を示すもので、その先端にいる人々を示すことは決してありません。そして最後の意味ある停留地は宛先ネットワークであり、それは検索が止まるのと同じ場所です。

ですからアドレスは自由にたどってください。そして結果は、それが書かれている水準で読んでください。IPアドレスとはネットワークの返信先住所であり、読み取れ、役立ちます。問いが人や建物や正確な一点を必要とする瞬間、それは、誠実に行われたたどることが答えられる範囲を離れています。