Vyhledání IP adresy

Co vyhledání ukáže

Každé zařízení komunikuje s internetem přes veřejnou IP adresu. Ta sama o sobě neprozradí, kdo za ní sedí, ale veřejné databáze vědí, které síti a poskytovateli patří a kde ji poskytovatel přibližně používá. Nástroj zadanou adresu vyhledá ve dvou zdrojích:

• Síť a poloha (ip-api.com) – poskytovatel připojení (ISP), organizace, které je adresa přidělena, číslo autonomního systému (ASN) a odhad polohy: země, region, město, PSČ, souřadnice a časová zóna.
• Typ připojení (ip-api.com) – jestli adresa patří mobilní síti, hostingu nebo datovému centru a jestli ji databáze zná jako proxy, VPN nebo výstupní uzel sítě Tor.
• Hlášení o zneužití (AbuseIPDB) – kolikrát adresu za posledních 90 dní nahlásili správci jiných serverů, například kvůli zkoušení hesel, skenování portů nebo spamu, a skóre zneužití od 0 do 100.

Jak číst výsledek

Nejspolehlivější částí výsledku jsou údaje o síti: poskytovatel, organizace a ASN. Vycházejí z registrací IP adres a mění se málokdy. Poloha je odhad, a čím je podrobnější, tím méně se na ni dá spolehnout.

IP adresa:           8.8.8.8
Země:                United States (US)
Region:              Virginia
Město:               Ashburn
Poskytovatel (ISP):  Google LLC
Organizace:          Google Public DNS
ASN:                 AS15169 Google LLC
Proxy/VPN/Tor:       Ano
Hosting/Datacenter:  Ano
Mobilní síť:         Ne

Jak přesná je poloha IP adresy

IP adresa není GPS. Databáze polohu odhadují z registrací adres, údajů od poskytovatelů a měření. Nikdy neukazují konkrétní dům ani byt.

• Země většinou sedí. Město je často špatně: domácí připojení se běžně objeví v sídle poskytovatele nebo v nejbližším velkém městě.
• Mobilní data – telefon se v databázích často objeví v Praze nebo tam, kde má operátor síťovou bránu, bez ohledu na to, kde se právě nachází.
• Sdílené adresy (CGNAT) – mnoho poskytovatelů, hlavně mobilních, sdílí jednu veřejnou adresu mezi velký počet zákazníků. Výsledek pak popisuje poskytovatele, ne konkrétní zařízení.
• VPN, Tor a proxy – výsledek ukazuje server, přes který provoz odchází, ne skutečného uživatele. Firemní sítě a cloudové bezpečnostní brány také často posílají provoz přes jiné město, nebo dokonce jinou zemi.
• Souřadnice a mapa ukazují jen přibližnou oblast: střed města, regionu nebo země, ke kterým databáze adresu přiřadila. Proto je zaokrouhlujeme a mapa nemá špendlík.
• Zastaralé údaje – adresní rozsahy se prodávají a přesouvají mezi poskytovateli a databáze změny zachytí se zpožděním.

K čemu se vyhledání hodí

• Podezřelé přihlášení – když vám služba ohlásí přihlášení z neznámé IP adresy, podívejte se hlavně na poskytovatele. Váš vlastní mobilní operátor s jiným městem je obvykle neškodný. Hosting, VPN nebo zahraniční poskytovatel, kterého nepoužíváte, je důvod změnit heslo, odhlásit ostatní relace a zapnout vícefaktorové ověření.
• Podezřelý e-mail – adresu serveru, ze kterého zpráva přišla, najdete v hlavičce v řádcích Received. Vyhledání ukáže, čí je to síť. O tom, jestli server smí posílat poštu za doménu odesílatele, ale nerozhoduje poloha, nýbrž SPF a DMARC.
• Vaše veřejná adresa – tlačítko Zkontrolovat moji IP doplní adresu, ze které váš prohlížeč přišel na náš web. Hodí se, když ji potřebujete povolit ve firewallu nebo v administraci, nebo když chcete ověřit, že funguje VPN: místo vašeho poskytovatele by se měl objevit poskytovatel VPN.
• Odchozí adresa poštovního serveru – poštovní server může posílat zprávy z jiné adresy, než jakou vidí váš prohlížeč. Zjistěte ji přímo na serveru nebo z hlavičky odeslané zprávy a teprve tu vyhledejte nebo doplňte do SPF jako ip4: či ip6:.
• Reputace vašeho serveru – pokud vaši adresu někdo blokuje, hlášení v AbuseIPDB ukážou, za co byla nahlášena. U vlastního serveru hlášení o zkoušení hesel nebo skenování obvykle znamenají, že je server napadený nebo špatně nastavený, případně že adresu dřív používal někdo jiný. Poštovní blacklisty, například Spamhaus, jsou samostatné seznamy a tento nástroj je nekontroluje.

Co vyhledání neříká

• Neidentifikuje člověka ani adresu bydliště. Kterému zákazníkovi adresa patřila, ví jen poskytovatel připojení.
• Příznak Proxy/VPN/Tor je jen odhad databáze. Ne neznamená, že adresa nepatří VPN, protože databáze zná jen část takových služeb. Ano se naopak může objevit i u adresy, která VPN vůbec není, jak ukazuje příklad s 8.8.8.8 výše.
• Hlášení pocházejí jen z databáze AbuseIPDB a jen za posledních 90 dní. Pokud AbuseIPDB zrovna neodpoví, výsledek to výslovně uvede. Ani to neznamená, že je adresa čistá.
• Neověřuje otevřené porty, zranitelnosti ani to, jestli je zařízení na dané adrese napadené.
• Vyhledává jen veřejné adresy IPv4 a IPv6, ne doménová jména. Privátní adresy jako 192.168.x.x nebo 10.x.x.x se používají jen uvnitř místních sítí a v databázích nejsou, stejně jako vyhrazené rozsahy, například dokumentační nebo multicastové. Privátní adresy a běžné vyhrazené rozsahy nástroj rozpozná sám a takové adresy nikam neposílá.
• Zadanou IP adresu předáváme službám ip-api.com a AbuseIPDB, mapu načítá váš prohlížeč z OpenStreetMap. Výsledek neukládáme.

Časté otázky