Hoe IP-geolocatie echt werkt

Hoe werkt IP-geolocatie?

Een IP-adres bevat geen coördinaten. Er zit geen GPS-chip in het protocol, geen breedtegraadveld in de pakketheader, geen baken dat rapporteert waar een machine zich bevindt. Een IPv4-adres bestaat uit 32 bits routeringsinformatie; een IPv6-adres uit 128. Alles wat een geolocatiedienst je vertelt over plaats wordt afgeleid uit bewijs dat het adres omringt, niet eruit afgelezen. Begrijpen hoe die afleiding werkt — en waar ze het laat afweten — is het verschil tussen een tool als de tracer goed gebruiken en de uitkomst ervan verkeerd lezen.

Het korte antwoord op de vraag "hoe werkt IP-geolocatie" is dit: databases correleren verschillende onafhankelijke openbare signalen over een blok adressen, wegen ze tegen elkaar af en publiceren een beste schatting met een betrouwbaarheidsniveau. Het lange antwoord is de moeite waard om laag voor laag door te nemen.

Laag één: registratiegegevens

Elk openbaar IP-adres wordt toegewezen door een van de vijf Regionale Internetregisters: ARIN (Noord-Amerika), RIPE NCC (Europa, het Midden-Oosten en Centraal-Azië), APNIC (Azië-Pacific), LACNIC (Latijns-Amerika en het Caribisch gebied) en AFRINIC (Afrika). Elk register publiceert wie welk blok bezit en het geregistreerde land van de houder. Dit is het fundamentele signaal: het is gezaghebbend, openbaar en zelden fout op landniveau voor adressen die blijven waar ze zijn toegewezen. Het zegt niets over steden, en het zegt niets over waar individuele klanten van de houder zich bevinden — de volledige toewijzing van een nationale ISP draagt één adres van de houder. Het register koppelt elk blok ook aan een Autonomous System, en daarom is een ASN-lookup vaak het meest betrouwbare onderdeel van elke trace.

Laag twee: door de ISP gepubliceerde gegevens

Sommige netwerkoperators publiceren vrijwillig hun eigen geolocatiegegevens. De gestandaardiseerde vorm is een geofeed — een CSV-bestand, beschreven in RFC 8805, dat adresbereiken toewijst aan een land, regio en stad. Wanneer een ISP een nauwkeurige geofeed onderhoudt, behandelen databaseleveranciers dit als invoer met hoge betrouwbaarheid, omdat de operator beter dan wie ook weet welke prefix welk grootstedelijk gebied bedient. De dekking is ongelijk: grote contentnetwerken en vooruitstrevende ISP's publiceren feeds; veel operators publiceren niets, en enkele publiceren verouderde exemplaren.

Laag drie: latentiemeting

Licht in glasvezel wordt begrensd door de natuurkunde. Als een testserver in Frankfurt een adres in 4 milliseconden bereikt, kan dat adres niet in São Paulo liggen. Leveranciers beheren meetnetwerken die adresbereiken pingen vanuit tientallen waarnemingspunten en trianguleren: elke retourtijd tekent een cirkel met een maximale afstand, en het snijpunt van veel cirkels beperkt het aannemelijke gebied. Latentietriangulatie is goed in het uitsluiten van regio's en middelmatig in het vastpinnen van steden, omdat routeringsomwegen, wachtrijvertraging en last-miletechnologie de retourtijden allemaal onvoorspelbaar opblazen.

Laag vier: crowdsourced GPS-correlatie

Het meest gedetailleerde signaal komt van apparaten die beide zaken tegelijk rapporteren. Mobiele applicaties en websites die om locatietoestemming vragen, nemen een GPS-fix waar en het openbare IP waarvan die afkomstig is; geaggregeerd over miljoenen sessies met toestemming bouwt dit een statistische kaart van welke adresbereiken in welke buurten voorkomen. Het is krachtig en bederfelijk: ISP's wijzen adrespools opnieuw toe, en een blok dat vorig kwartaal in één voorstad clusterde, kan vandaag een andere bedienen. Het is bovendien, belangrijk om te benadrukken, geaggregeerde data over bereiken — het identificeert niet en kan niet het individu achter een enkel adres identificeren, een punt dat uitvoeriger wordt behandeld in of een IP je adres onthult.

Laag vijf: hostnaamaanwijzingen

Netwerkingenieurs vernoemen routers naar plaatsen. Een reverse DNS-lookup op een backbonehop levert vaak iets op als lon-edge-02.example.net of ae1.cr2.ord7.example.net — luchthaven- en stadscodes die volgens conventie zijn ingebed (LON voor Londen, ORD voor Chicago). Het parsen van deze hostnamen lokaliseert infrastructuur, en een eindgebruikersadres dat via een genoemd point of presence wordt gerouteerd, wordt waarschijnlijk vanuit de buurt bediend. Het signaal is indirect: naamgevingsconventies verschillen per operator, namen overleven verhuizingen, en de klant kan honderden kilometers verwijderd zijn van de edge-router die hem bedient.

Waarom het antwoord een schatting is, geen vaststelling

Geen enkele laag is doorslaggevend, dus leveranciers combineren ze. Waar de lagen het eens zijn — het registratieland komt overeen met de latentiebeperkingen, een geofeed noemt dezelfde stad die de GPS-clusters suggereren — is de betrouwbaarheid hoog. Waar ze met elkaar in conflict zijn, wordt de schatting ruimer. Daarom draagt een eerlijk resultaat altijd een betrouwbaarheidsstraal in plaats van een speld: de uitkomst betekent "dit bereik bedient hoogstwaarschijnlijk dit gebied", nooit "dit apparaat bevindt zich op deze coördinaten". De gemeten nauwkeurigheid weerspiegelt die structuur: antwoorden op landniveau zijn ruwweg 95 tot 99 procent van de tijd juist, antwoorden op regioniveau 55 tot 80 procent, en antwoorden op stadsniveau 50 tot 75 procent bij vaste breedband — terwijl mobiele providers, VPN-exits en satellietverbindingen op elk niveau vaak fout zitten. De volledige cijfers staan in hoe nauwkeurig is IP-geolocatie.

Hoe de databases worden samengesteld

Producten zoals DB-IP (dat de locatielaag van Uplink Trace aandrijft) en MaxMinds GeoLite2 verwerken alle vijf lagen doorlopend, lossen conflicten algoritmisch op en publiceren momentopnamen — doorgaans maandelijks voor gratis edities, vaker voor commerciële. De updatecyclus is van belang omdat de adreskaart van het internet eronder verschuift. Wanneer een blok wordt verkocht, geleaset of opnieuw aangekondigd vanuit een nieuw land, blijft elke database die het nog niet opnieuw heeft waargenomen de oude locatie rapporteren. Verouderde toewijzingen zijn de meest voorkomende oorzaak van een resultaat met het verkeerde land: een adresbereik dat is overgedragen van een Europese makelaar naar een Aziatische cloudoperator kan maandenlang naar het verkeerde continent worden gegeolokaliseerd. Het controleren van het aankondigende netwerk — zie wat een ASN is — legt de discrepantie vaak bloot, omdat BGP-aankondigingen binnen minuten worden bijgewerkt terwijl geolocatiemomentopnamen weken duren om te updaten.

Om te zien hoe de lagen worden samengevoegd tot een live dossier, voer je de voorbeeldtrace van 8.8.8.8 uit: registratiegegevens, AS-operator, reverse DNS en de geolocatieschatting verschijnen naast elkaar, elk voorzien van een label met wat het wel en niet kan beweren. Die transparantie is het hele punt. IP-geolocatie is een goed gekalibreerd statistisch instrument om netwerken in bij benadering geschatte regio's te plaatsen — en een categorisch verkeerd instrument om mensen te lokaliseren, wat het niet kan.