IP who is: как узнать владельца IP-адреса через WHOIS — инструкция для новичка

Что такое IP who is и какие данные он показывает

IP who is — это запрос WHOIS по IP-адресу: вы спрашиваете у базы регионального интернет-регистратора, кому выделен сетевой блок с этим адресом. Проверка занимает 1–2 минуты. Она помогает найти контакт для жалобы, понять, чья сеть шлёт трафик на ваш сервер, и оценить хостинг-провайдера.

Запрос работает и для IPv4 (32 бита, около 4,3 млрд адресов), и для IPv6 (128 бит). Возьмём адрес 8.8.8.8: регистратор ARIN вернёт организацию Google LLC, блок 8.8.8.0/24 на 256 адресов и автономную систему AS15169.

Есть и ограничение: WHOIS не покажет имя пользователя и его точный адрес. Персональные данные физических лиц скрыты или заменены контактами провайдера.

В ответе вы найдёте такие сведения:

• организация-владелец блока (OrgName в ARIN, org в RIPE NCC);
• название сети (NetName или netname);
• страна регистрации блока, а не точное местоположение;
• контакт abuse для жалоб на злоупотребления;
• автономная система (AS) — номер сети оператора.

Не знаете свой адрес? Сначала узнайте свой IP, затем проверьте IP-адрес по шагам.

Как работает WHOIS по IP: регистраторы, порт 43 и RDAP

Организация IANA (Internet Assigned Numbers Authority) выдаёт крупные блоки адресов пяти региональным интернет-регистраторам: RIPE NCC, ARIN, APNIC, LACNIC и AFRINIC. Они передают блоки провайдерам и организациям, а владельцы вносят данные о своих сетях в базу регистратора. Российские адреса ведёт RIPE NCC, а адрес 8.8.8.8 относится к ARIN.

Классический WHOIS работает по протоколу TCP на порту 43 и описан в RFC 3912. Вы отправляете адрес на сервер нужного регистратора, например whois.arin.net для 8.8.8.8, и получаете текстовый ответ. Если вы не знаете, какой адрес у вашего сервера, сначала проверьте IP сервера.

RDAP (Registration Data Access Protocol) стал преемником WHOIS. Ответ приходит в формате JSON по HTTPS, а структура описана в RFC 9082 и RFC 9083. Пример запроса: https://rdap.org/ip/8.8.8.8. По состоянию на 2026 год регистраторы отвечают на оба вида запросов и параллельно развивают RDAP.

Чтобы читать ответ без путаницы, запомните три понятия:

• Блок и маска. Запись 8.8.8.0/24 описывает 256 адресов, от 8.8.8.0 до 8.8.8.255. Размер любого блока посчитает калькулятор подсетей.
• Формат адреса. IPv4 состоит из 32 бит (около 4,3 млрд адресов), IPv6 — из 128 бит. WHOIS работает для обоих.
• Автономная система. Для 8.8.8.8 это AS15169 организации Google LLC.
• Домен и IP. Имя сайта в DNS ведёт к адресу, а владельца адреса показывает WHOIS. Записи домена проверяйте через DNS-чекер.

Как сделать ip who is: пошаговая проверка владельца IP

Проверка владельца адреса не требует навыков администратора. Вам нужны IP-адрес и 1–2 минуты времени. Для примера возьмём публичный адрес 8.8.8.8.

Запрос уходит региональному интернет-регистратору (RIR) по протоколу TCP на порт 43. Если вы хотите заранее проверить, что адрес отвечает, сначала сделайте тест IP. А если запрос не проходит, проверьте порт 43: его мог закрыть файрвол.

Пройдите проверку по шагам:

1. Возьмите IP-адрес, который нужно проверить, например 8.8.8.8. Подойдёт и адрес IPv6.
2. Откройте терминал. В Linux при необходимости установите утилиту командой sudo apt install whois. В macOS команда уже есть. В Windows скачайте утилиту Whois из набора Sysinternals.
3. Выполните команду whois 8.8.8.8. Ответ придёт от ARIN, регистратора этого блока.
4. Найдите сетевой блок в полях NetRange и CIDR. В примере это 8.8.8.0/24, то есть 256 адресов.
5. Прочитайте поле OrgName: там указано Google LLC. Рядом найдите номер автономной системы (AS) — AS15169.
6. Найдите контакт для жалоб: в ARIN это OrgAbuseEmail, в RIPE NCC — abuse-c.
7. При желании сверьте результат через RDAP (Registration Data Access Protocol): откройте в браузере https://rdap.org/ip/8.8.8.8 и сравните блок и организацию в ответе JSON.

Терминал не обязателен. Веб-форма регистратора или RDAP-запрос в браузере работают без установки программ, а сервисы регистраторов бесплатны. Если проверяете несколько адресов подряд, делайте паузу между запросами: при частых обращениях регистратор временно блокирует доступ.

Как читать ответ WHOIS: ключевые поля и что они значат

Пять региональных регистраторов хранят данные в собственных форматах. ARIN (American Registry for Internet Numbers) отдаёт поля NetRange, CIDR, NetName, OrgName и OrgAbuseEmail. RIPE NCC использует inetnum, netname, country, org, abuse-c, route и origin. Названия разные, смысл один: блок адресов, имя сети, владелец и контакт для жалоб.

Владельца блока отличайте от арендатора по вложенности записей. Если вы видите узкую запись внутри большого блока, это клиент провайдера, а родительский блок принадлежит провайдеру. Запись с организацией и контактом abuse на весь диапазон, например /24 (256 адресов), указывает на владельца.

Поля route и origin связывают адрес с маршрутизацией. route показывает анонсируемый префикс, а origin — номер автономной системы (AS), которая его объявляет. Для 8.8.8.0/24 это AS15169. Границы диапазона и число адресов можно проверить в калькуляторе IP-подсетей.

Значения для 8.8.8.8 и назначение полей собраны в таблице:

Типичные ошибки при проверке IP через WHOIS

Запрос whois 8.8.8.8 занимает 1–2 минуты, но неверно прочитанный ответ ведёт к ложным выводам. Новички повторяют одни и те же промахи.

Вот пять ошибок, которых стоит избегать:

• принять страну блока за местоположение;
• искать хостера сайта за CDN;
• путать запрос по домену и по IP;
• отправить жалобу не на адрес abuse;
• слать запросы слишком часто.

Страна блока — не местоположение

Поле country показывает страну регистрации блока. Блок 8.8.8.0/24 (256 адресов) записан на Google LLC, но это не говорит, где стоит конкретный сервер. За точным положением обращайтесь к геолокации.

Хостер сайта за CDN

Если сайт стоит за CDN или прокси, WHOIS назовёт владельца сети CDN, а не хостинг-провайдера. Реального хостера так не найти. Если нужна своя площадка без посредников, подберите сервер под задачу.

Запрос по домену вместо IP

Команда whois example.com вернёт данные регистрации домена, а не владельца сети. Для сети нужен именно адрес, например whois 8.8.8.8. Какие службы отвечают на адресе, покажет онлайн-проверка портов, а движок сайта подскажет определение CMS.

Жалоба не на адрес abuse

Общий адрес организации часто не доходит до нужной команды. Берите контакт из поля OrgAbuseEmail в ARIN или abuse-c в RIPE NCC.

Слишком частые запросы

Регистраторы ограничивают частоту запросов, а массовые проверки приводят к временной блокировке. Делайте паузу между запросами и проверяйте только нужные адреса.

Сверяйте страну с геолокацией, учитывайте CDN, пишите на abuse — и проверка даст надёжный результат.

Whois, RDAP или онлайн-сервис: какой способ выбрать

Проверить владельца IP-адреса можно тремя способами, и все они дают одни и те же данные из баз региональных регистраторов. Различаются формат ответа и удобство: где-то нужен терминал, где-то хватит браузера. Для примера возьмём адрес 8.8.8.8: любой способ покажет блок 8.8.8.0/24 (256 адресов), организацию Google LLC и автономную систему AS15169.

Команда whois 8.8.8.8 отправляет запрос по TCP на порт 43 (протокол описан в RFC 3912) и возвращает обычный текст. RDAP (Registration Data Access Protocol) работает по HTTPS и отдаёт JSON, например по адресу https://rdap.org/ip/8.8.8.8. Веб-форма регистратора не требует установки: вводите адрес и читаете готовую страницу.

Сравните способы по четырём признакам:

Новичку подойдёт веб-форма регистратора: она бесплатна и не требует команд. Администратору сервера удобнее whois в терминале, а для автоматизации выбирайте RDAP. Регистраторы ограничивают частоту запросов, поэтому делайте паузу между проверками: массовые запросы приводят к временной блокировке.

Помните: ни один из способов не покажет точное местоположение, ведь страна в записи — это страна регистрации блока. Для города и региона используйте геолокацию, как в инструкции как определить местоположение по IP.

Что делать с результатами проверки: жалоба, защита сервера, выбор хостинга

Ответ WHOIS (протокол запроса сведений о владельце IP) полезен, когда вы превращаете его в действие. Возьмите 8.8.8.8: регистратор ARIN, организация Google LLC, блок 8.8.8.0/24 (256 адресов), автономная система AS15169. Эти данные показывают, чья это сеть и куда писать.

Если с адреса идёт спам или перебор паролей, отправьте жалобу на адрес из поля abuse, а не на общую почту организации. В ARIN это OrgAbuseEmail, в RIPE NCC — abuse-c. Письмо занимает около 5 минут, если факты подготовлены заранее.

Так же проверяйте подозрительные подключения к своему серверу: найдите адрес в /var/log/auth.log, выполните whois и сравните владельца с ожидаемым. Если сайт стоит за CDN, вы увидите сеть Cloudflare, а не хостинг-провайдера.

В жалобу включите:

• дату и время события с часовым поясом;
• IP-адрес источника;
• фрагмент лога на 3–10 строк;
• одну фразу о том, что произошло.

Та же проверка помогает с выбором хостинга: узнайте, у какого провайдера размещён понравившийся вам сайт, и сравните его тарифы. Если нужен собственный сервер, прочитайте, что такое VDS-сервер, и подберите VPS под свою задачу.

Когда WHOIS по IP не подходит

WHOIS показывает владельца сетевого блока, а не человека за экраном. Персональные данные физических лиц скрыты или заменены контактами провайдера, поэтому имя и адрес пользователя по IP узнать нельзя. Динамические адреса провайдер выдаёт абонентам на время и меняет, а связать адрес с клиентом может только сам провайдер по своим данным.

Если сайт стоит за CDN (Content Delivery Network, сеть доставки контента) или прокси, whois покажет владельца сети CDN, например Cloudflare, а не хостинг-провайдера сайта. Страна в записи — это страна регистрации блока, а не гарантированное местоположение. Блок вроде 8.8.8.0/24 на 256 адресов может работать в разных городах. Запись бывает и неактуальной: владелец сменился, а данные не обновили.

В таких случаях берите другие инструменты:

• геолокация — для примерного положения адреса;
• проверка DNS (Domain Name System) — чтобы увидеть записи домена и настоящий источник адреса;
• проверка порта — чтобы узнать, отвечает ли сервис на нужном порту, например 443.

Разбор этих проверок есть в статье про проверку IP-адреса. WHOIS за 1–2 минуты находит сеть и контакт abuse, но не заменяет остальные методы. Если вам нужен собственный выделенный адрес, чтобы самому отвечать за его репутацию, подберите VPS под свою задачу.