Como rastrear um endereço IP (e o que ele mostra)

Rastrear um endereço IP soa como segui-lo até a porta de alguém. O que o processo realmente faz é mais modesto e mais útil: ele consulta o endereço nos registros públicos do sistema de endereçamento da internet e informa a qual rede ele pertence. Todo endereço público é alocado a alguma organização, um provedor, uma empresa, uma plataforma de nuvem, e essa alocação é registrada. Rastrear é ler o registro. Feito corretamente, ele responde com precisão a perguntas de rede: de quem é esta infraestrutura, onde está registrada, em qual faixa se senta. Em nenhum momento ele se torna informação sobre uma pessoa.

O que uma consulta de IP realmente lê

Uma consulta de IP combina várias fontes públicas. Os dados de registro, publicados via RDAP, registram a quem um bloco de endereços foi alocado e quem o administra. Os dados de roteamento ligam o endereço a um número de sistema autônomo, o ASN, que identifica a rede que o anuncia ao mundo. O DNS reverso adiciona qualquer nome de host que o operador publique para o endereço. A ferramenta de consulta de IP deste site reúne exatamente isso: é a única ferramenta aqui que aceita um endereço IP como entrada, enquanto as ferramentas de DNS aceitam nomes de domínio, e informa o proprietário e o ASN, o país registrado, a faixa de alocação e o resultado do DNS reverso.

Os registros têm uma hierarquia que vale a pena imaginar. Os endereços são alocados em blocos: o fundo global é dividido entre registros regionais, que alocam grandes blocos a provedores e organizações, que por sua vez atribuem faixas menores às suas próprias redes e clientes. Uma consulta caminha até o nível que descreve o seu endereço e informa o que está registrado ali, e é por isso que o proprietário nomeado é tão frequentemente um provedor em vez do usuário final de onde você partiu. O ASN se senta ao lado: ele nomeia a rede que anuncia o bloco no roteamento global, normalmente a mesma organização, ocasionalmente uma operadora acima anunciando em seu nome.

1. 1

   Copie o endereço completo

   Copie o endereço exatamente como ele aparece no seu log, nos cabeçalhos de mensagem ou na lista de conexões. Um dígito errado é outro endereço e outra rede, e endereços IPv6, por serem mais longos, são especialmente fáceis de truncar ao copiar a olho.

2. 2

   Insira-o na consulta de IP

   Cole-o na ferramenta de consulta de IP. Note que as ferramentas de consulta de DNS deste site o recusarão: elas aceitam só nomes de domínio. A consulta de IP é a exceção, construída para endereços.

3. 3

   Leia a rede primeiro

   O proprietário e o ASN são o terreno sólido: a organização que opera a rede à qual o endereço pertence. Para a maioria dos endereços é um provedor de internet ou uma plataforma de hospedagem ou nuvem, não o indivíduo ou o pequeno site que você pode estar imaginando.

4. 4

   Verifique o nome reverso

   Se o resultado mostrar um nome de DNS reverso, a consulta de DNS reverso mostra como esse nome é publicado e se ele coincide com o DNS direto. Trate o nome como um rótulo que o operador escolheu, útil para reconhecer infraestrutura, não como prova de identidade.

Um endereço de uma faixa reservada ou de documentação não devolve proprietário algum, e esse é um comportamento correto, não uma consulta fracassada. As ferramentas de consulta aqui escondem deliberadamente faixas privadas, de loopback e de documentação, endereços como 198.51.100.23, porque não pertencem a nenhuma rede pública e aparecem no tráfego real só como exemplos ou dentro de redes privadas.

Onde você encontra endereços que vale a pena rastrear

A maioria dos endereços chega ligada a um evento, e não sozinha, e três fontes respondem por quase todo rastreamento que as pessoas fazem. Logs de servidores e firewalls registram o endereço de origem de cada conexão ou tentativa bloqueada, junto com um carimbo de data e hora. Cabeçalhos de e-mail carregam uma cadeia de linhas Received, uma adicionada por cada servidor que tratou da mensagem. E relatórios de abuso, de um provedor, de uma plataforma ou do seu próprio monitoramento, citam o endereço que os disparou. Cada fonte entrega as mesmas duas coisas: um endereço e um momento no tempo, e o carimbo de data e hora importa tanto quanto o endereço: como os endereços são reatribuídos, uma consulta diz quem opera o endereço agora, então quanto antes você rastrear depois do evento, mais o registro que você lê descreve a rede que realmente enviou o tráfego.

Cabeçalhos de e-mail merecem um cuidado. A cadeia Received é lida de baixo para cima, sendo as entradas mais antigas os saltos mais antigos, e entradas perto do topo podem ser escritas pelo próprio software do remetente, o que significa que podem ser inventadas. A parte confiável da cadeia começa onde o servidor do seu próprio provedor recebeu a mensagem; o endereço nesse ponto de entrega é o que vale a pena rastrear, enquanto endereços mais profundos em uma cadeia possivelmente forjada podem pertencer a redes que nunca tocaram na mensagem. Como rastrear o IP do remetente de um e-mail percorre uma cadeia de cabeçalhos linha por linha.

Seja qual for a fonte que você usar, guarde a linha original, e não apenas o endereço. Uma entrada de log com seu carimbo de data e hora, ou o bloco completo de cabeçalhos, é o que a equipe de abuso de uma rede precisa se você denunciar o tráfego, porque permite associar a sua denúncia ao assinante que detinha o endereço naquele momento, uma associação que eles conseguem fazer e uma consulta pública não.

O que rastrear nunca pode mostrar

Agora os limites, que não são letras miúdas, mas o fato principal. Uma consulta de IP não pode devolver o nome de uma pessoa, um endereço de casa ou um local exato, porque tais dados não existem nos sistemas que ela lê: os registros registram redes, não os humanos que as usam momentaneamente. A lacuna é mais larga do que a maioria espera. Um único endereço público frequentemente serve uma casa, um escritório ou, atrás de um NAT de grau de operadora, centenas de assinantes ao mesmo tempo. Os endereços são reatribuídos entre clientes. Uma VPN ou um proxy faz o endereço visível pertencer à rede da VPN, no local da VPN. A trilha não termina frustrantemente perto de uma pessoa; ela termina em uma rede, por projeto.

Os endereços também se movem. A maioria das conexões de consumo recebe endereços dinamicamente, pescados do fundo de um provedor e devolvidos quando a sessão termina, então o endereço que alcançou o seu servidor na segunda-feira pode pertencer na sexta-feira a outro assinante do outro lado da cidade. Empresas frequentemente detêm endereços estáticos que permanecem fixos por anos, e é por isso que rastrear o endereço de um servidor dá resultados mais estáveis do que rastrear o de uma conexão doméstica. Em todo caso, a consulta descreve o registro do endereço hoje; ela não diz nada confiável sobre quem o detinha no mês passado, e os dados de registro nunca carregam esse histórico.

Por que as localizações são apenas aproximadas

O país e a cidade anexados aos resultados de IP vêm de bancos de dados de geolocalização que inferem a posição a partir dos dados de registro e de sinais de rede, e 'inferir' é a palavra operativa. O país registrado costuma ser confiável, pois reflete a alocação. A cidade é uma melhor estimativa e pode errar por uma larga margem, caindo no polo regional do provedor em vez do usuário. Redes móveis roteiam o tráfego por gateways distantes, e redes corporativas saem por sedes em regiões inteiramente diferentes. O que é geolocalização de IP explica como esses bancos de dados formam suas conjecturas e por que dois deles frequentemente discordam sobre o mesmo endereço.

Usado dentro desses limites, rastrear é uma rotina genuinamente valiosa. Administradores de servidores leem logs e identificam de quais redes o tráfego veio. Quem recebe abuso, ondas de spam, tentativas de intrusão, pode encontrar a rede operante e seu contato de abuso nos dados de registro e denunciá-lo às pessoas que podem agir. E decide perguntas cotidianas: se a sua VPN está saindo no país que a interface dela afirma, ou se o endereço em um log de erro é o seu próprio provedor, a rede de um rastreador de busca ou uma plataforma de nuvem.

Rastreando o caminho, não só o endereço: traceroute

Uma consulta identifica um endereço. Às vezes, a pergunta útil é outra: como o tráfego viaja entre você e esse endereço? A ferramenta para isso é o traceroute (tracert no Windows), que lista os roteadores que um pacote atravessa a caminho de um destino, salto a salto. Cada salto é ele próprio um endereço IP, normalmente a interface de um roteador de alguma rede, e você pode consultar qualquer um deles exatamente como qualquer outro endereço. Lidos em conjunto, os saltos esboçam a viagem: primeiro o seu próprio provedor, depois uma ou mais redes de trânsito que carregam o tráfego entre provedores, e por fim a rede do destino.

Lacunas nessa lista são normais e muito mal interpretadas. Muitos roteadores são configurados para não responder às sondas que o traceroute envia, então um salto pode aparecer como asteriscos ou como tempo esgotado enquanto o tráfego passa por ele perfeitamente bem; o que importa é se o rastreamento se completa no destino, e não se cada roteador se apresentou. Um salto que adiciona um grande atraso e o repassa a todos os saltos seguintes costuma marcar um trecho físico longo, como um cabo submarino, e não uma falha, enquanto um atraso que aparece em um salto e depois some era ruído de medição. O traceroute mostra o caminho, nunca as pessoas na ponta dele, e sua última parada significativa é a rede de destino, o mesmo lugar onde uma consulta para.

Então rastreie endereços livremente, e leia os resultados no nível em que estão escritos. Um endereço IP é o endereço de retorno de uma rede, legível e útil. No momento em que uma pergunta precisa de uma pessoa, de um imóvel ou de um ponto exato, ela deixou o que rastrear, honestamente feito, pode responder.