Hoe nauwkeurig is IP-geolocatie echt?

Hoe nauwkeurig is IP-geolocatie?

Het eerlijke antwoord: het hangt volledig af van het precisieniveau waar u om vraagt. Op landniveau is IP-geolocatie een van de betrouwbaarste gevolgtrekkingen in netwerkforensiek. Op stadsniveau lijkt het meer op een muntworp die in uw voordeel is gewogen. En voor bepaalde soorten verbindingen — mobiele providers, VPN-uitgangen, satellietverbindingen — kan de gerapporteerde locatie stellig en systematisch verkeerd zijn. Daarom draagt elk dossier dat door de Uplink Trace-tracer wordt geproduceerd een expliciete betrouwbaarheidsscore, in plaats van één gezaghebbend ogende speld.

De cijfers, zonder franje

Waarom landniveau vrijwel altijd klopt

IP-adresblokken worden uitgegeven door regionale internetregisters — RIPE NCC, ARIN en hun tegenhangers — aan specifieke exploitanten in specifieke landen, en dat papieren spoor is openbaar. Een adresblok dat aan een Duitse ISP is toegewezen bedient overweldigend Duitse klanten, en herverdelingen over grenzen heen zijn zeldzaam en traag. Geolocatiedatabases zoals DB-IP vertrekken vanuit deze registergegevens en verfijnen die, en daarom verdient het landveld in een dossier veel vertrouwen, terwijl alles daaronder scepsis verdient.

Waarom regio en stad veel zachter zijn

Geen enkel register legt vast welke stad een adres bedient. Vermeldingen op regio- en stadsniveau worden afgeleid: uit waar de bedienende ISP infrastructuur concentreert, uit latentiemetingen, uit de routeringsstructuur, en uit patronen in hoe de provider zijn blokken historisch heeft ingezet. Die gevolgtrekkingen verouderen. Een ISP kan een blok in stilte van Lyon naar Marseille verplaatsen tijdens een netwerkreorganisatie, en de databases blijven Lyon rapporteren totdat er nieuw bewijs is opgebouwd. Op vast breedband klopt de stad ongeveer de helft tot driekwart van de tijd — nuttig voor triage, nooit voldoende voor een conclusie. De mechaniek wordt uitgebreider besproken in hoe IP-geolocatie werkt.

Mobiele netwerken en carrier-grade NAT

Mobiele providers hebben niet genoeg IPv4-adressen om elk toestel een eigen adres te geven. In plaats daarvan gebruiken ze carrier-grade NAT (de gedeelde adresruimte gedefinieerd in RFC 6598), waarbij duizenden abonnees via een kleine pool openbare adressen bij een regionale gateway worden gebundeld. Het IP dat u waarneemt behoort tot die gateway, die honderden kilometers van een individuele abonnee vandaan kan liggen. Een telefoon in een klein stadje geolokaliseert routinematig naar de gateway van de provider in de dichtstbijzijnde grote stad. Wanneer een trace op de AS van een mobiele provider terechtkomt, behandel het stadsveld dan als het leidingwerk van de provider, niet als de verblijfplaats van de gebruiker.

VPN's, proxy's en datacenterbereiken

Een VPN doet precies wat het belooft: het zichtbare IP is dat van de uitgangsserver, dus geolocatie rapporteert het datacenter van de uitgangsserver — nauwkeurig. De database faalt niet; ze lokaliseert correct een machine die niet degene is waar het u om gaat. Uplink Trace markeert datacenter- en VPN-bereiken heuristisch aan de hand van de naam van de AS-exploitant, en labelt ze als WAARSCHIJNLIJK in plaats van bewijs te beweren, want een exploitantnaam is een aanwijzing, geen zekerheid. Begrijpen wat een ASN is helpt hierbij: het autonome systeem vertelt u wie het netwerk beheert, wat vaak veelzeggender is dan de coördinaten.

Bedrijfsnetwerken en satellietverbindingen

Grote organisaties routeren het verkeer van filiaalkantoren vaak via één centrale internetuitbraak, zodat een werknemer in Calgary kan opduiken met een IP dat is geregistreerd op het hoofdkantoor in Toronto. Satellietinternet is het extreme geval: verkeer bereikt het aardse internet bij een grondstation, dat in een ander land kan liggen — soms een ander continent — dan de schotel. Beide patronen leveren geolocatieresultaten op die intern consistent en operationeel misleidend zijn.

Waarom de nauwkeurigheid per land verschilt

Nauwkeurigheid is niet overal op de kaart gelijk. Kleine landen zijn triviaal nauwkeurig op landniveau en vaak ook op stadsniveau, simpelweg omdat er minder gebied is om je in te vergissen. Landen met dichte, competitieve ISP-markten en regionaal gestructureerde toewijzingen — een groot deel van West-Europa, stedelijk Noord-Amerika — geolokaliseren relatief goed. Landen waar één nationale provider put uit één landelijke adrespool geolokaliseren slecht onder het landniveau, omdat niets in de adresseringsstructuur de ene stad van de andere onderscheidt. Dezelfde database kan uitstekend zijn in Nederland en op stadsniveau elders vrijwel onbruikbaar.

Hoe u een betrouwbaarheidsstraal leest

Een eerlijk geolocatieresultaat is een cirkel, geen punt. Een speld op een kaart beweert een precisie die de onderliggende gegevens niet kunnen dragen; een cirkel zegt het netwerkbewijs plaatst dit adres ergens binnen dit waarschijnlijke gebied. Lees de straal als een foutmarge: een strakke cirkel over een stad bij een ISP met vast breedband is een redelijk sterk signaal; een brede cirkel gecentreerd op een mobiele gateway of een datacenter is het gereedschap dat u vertelt dat het middelpunt vrijwel willekeurig is. Wanneer Uplink Trace een brede straal tekent, dan is dat de bevinding — die verder versmallen zou verzinnen zijn. U kunt zien hoe dit wordt weergegeven op een goed gedocumenteerd adres in de voorbeeldtrace van 8.8.8.8.

Wat dit in de praktijk betekent

Resultaten op landniveau zijn betrouwbaar genoeg voor compliance-screening, logtriage en misbruikanalyse. Resultaten op regio- en stadsniveau zijn aanwijzingen om te bevestigen, geen feiten om te citeren. En niets ervan identificeert een persoon: IP-geolocatie benadert waar een netwerk zich aan het internet hecht, niet wie het gebruikt of waar diegene woont — een onderscheid dat wordt uitgediept in kan iemand mijn adres vinden via mijn IP. Elk gereedschap dat u een precieze speld toont zonder betrouwbaarheidsscore is niet nauwkeuriger dan de gegevens toelaten; het is alleen zelfverzekerder dan het zou moeten zijn.