Öffentliche vs. private IP-Adressen: Was ist der Unterschied?

Schauen Sie in Ihre Netzwerkeinstellungen, sehen Sie vielleicht 192.168.1.5. Besuchen Sie eine Seite, die Ihre IP-Adresse anzeigt, steht dort etwas völlig anderes. Keine von beiden ist falsch — Sie haben tatsächlich zwei Adressen, die in unterschiedlichen Geltungsbereichen arbeiten.

Die zwei Geltungsbereiche

Die reservierten privaten Bereiche

RFC 1918 reserviert drei IPv4-Blöcke für die private Nutzung. Jeder darf sie intern verwenden, und kein Router im öffentlichen Internet leitet sie weiter.

Einige weitere Bereiche sind für verwandte Zwecke reserviert und erscheinen ebenfalls nie als legitime öffentliche Antwort:

• 127.0.0.0/8 — Loopback. 127.0.0.1 ist immer Ihr eigener Rechner.
• 169.254.0.0/16 — Link-Local, selbst zugewiesen, wenn DHCP fehlschlägt. Sehen Sie eine, konnte Ihr Gerät meist den Router nicht erreichen.
• 100.64.0.0/10 — Carrier-Grade NAT, genutzt von Providern, die nicht jedem Kunden eine öffentliche Adresse geben können.

NAT: wie private Adressen trotzdem ins Internet gelangen

Wenn private Adressen nicht geroutet werden können, wie lädt dann ein Laptop mit 192.168.1.5 eine Website? Durch Network Address Translation, durchgeführt von Ihrem Router.

1. 1

   Ihr Gerät sendet ein Paket

   Quelle 192.168.1.5, Ziel die öffentliche Adresse der Website.

2. 2

   Der Router schreibt die Quelle um

   Er ersetzt die private Quelle durch seine eigene öffentliche Adresse und hält den Austausch in einer Übersetzungstabelle fest, versehen mit einer Portnummer.

3. 3

   Die Website antwortet an den Router

   Aus Sicht des Servers spricht er mit der öffentlichen Adresse Ihres Routers. Von Ihrem Laptop weiß er nichts.

4. 4

   Der Router übersetzt zurück

   Er schaut in die Tabelle, sieht, zu welchem internen Gerät dieser Port gehört, schreibt das Ziel um und leitet das Paket an 192.168.1.5 weiter.

Deshalb erscheint jedes Gerät in Ihrem Zuhause für Websites als dieselbe Adresse, und deshalb identifiziert eine IP-Adresse eine Verbindung und keine Person.

Ihre beiden Adressen herausfinden

Ihre private Adresse

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

Ihre öffentliche Adresse

Das lässt sich aus Ihrem eigenen Netzwerk heraus nicht feststellen — Sie müssen etwas außerhalb fragen, was Dienste vom Typ „Wie lautet meine IP“ tun. Im Terminal:

curl ifconfig.me

Warum eine Domain nie auf eine private Adresse auflösen sollte

Eine öffentliche Domain, die auf 10.0.0.5 oder 127.0.0.1 auflöst, ist entweder eine Fehlkonfiguration oder Absicht — und in beiden Fällen ein Problem für jeden Dienst, der vom Nutzer angegebene Domains auflöst.

Der Angriff ist simpel: Richten Sie eine Domain, die Sie kontrollieren, auf 169.254.169.254, reichen Sie sie bei einem Dienst ein, der URLs serverseitig abruft, und der Dienst liest in Ihrem Auftrag seine eigenen Cloud-Metadaten aus. Eine Variante mit DNS-Rebinding lässt den Record zwischen der Validierungsprüfung und dem tatsächlichen Abruf wechseln.

Die Abwehr besteht darin, die aufgelöste Adresse zu validieren, nicht den eingereichten Hostnamen — genau das geschieht hier und ist der Grund, warum eine intern auflösende Domain einfach als nicht auflösbar gemeldet wird, statt dieses Detail preiszugeben. Die Seite „So funktioniert es“ behandelt die vollständige Validierungskette.