Direcciones IP públicas frente a privadas: ¿cuál es la diferencia?

Revisa la configuración de tu red y quizá veas 192.168.1.5. Visita un sitio que muestre tu dirección IP y te dará algo completamente distinto. Ninguna de las dos es errónea: realmente tienes dos direcciones que funcionan en ámbitos diferentes.

Los dos ámbitos

Los rangos privados reservados

La RFC 1918 reserva tres bloques IPv4 para uso privado. Cualquiera puede usarlos internamente, y ningún router de la internet pública los reenviará.

Algunos otros rangos están reservados para fines relacionados y tampoco aparecen nunca como una respuesta pública legítima:

• 127.0.0.0/8: loopback (bucle local). 127.0.0.1 es siempre tu propia máquina.
• 169.254.0.0/16: link-local (enlace local), autoasignado cuando falla el DHCP. Ver una suele significar que tu dispositivo no pudo llegar al router.
• 100.64.0.0/10: NAT de nivel de operador, usado por proveedores de internet que no pueden dar una dirección pública a cada cliente.

NAT: cómo llegan igualmente a internet las direcciones privadas

Si las direcciones privadas no pueden enrutarse, ¿cómo carga un sitio web un portátil con 192.168.1.5? Mediante la traducción de direcciones de red (NAT), que realiza tu router.

1. 1

   Tu dispositivo envía un paquete

   Origen 192.168.1.5, destino la dirección pública del sitio web.

2. 2

   El router reescribe el origen

   Sustituye el origen privado por su propia dirección pública y registra el cambio en una tabla de traducción, etiquetado con un número de puerto.

3. 3

   El sitio web responde al router

   Por lo que respecta al servidor, está hablando con la dirección pública de tu router. No sabe nada de tu portátil.

4. 4

   El router traduce de vuelta

   Consulta la tabla, ve a qué dispositivo interno pertenece ese puerto, reescribe el destino y lo reenvía a 192.168.1.5.

Por eso todos los dispositivos de tu casa aparecen ante los sitios web con la misma dirección, y por eso una dirección IP identifica una conexión, no a una persona.

Cómo encontrar tus dos direcciones

Tu dirección privada

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

Tu dirección pública

No puedes descubrirla desde dentro de tu propia red: tienes que preguntar a algo externo, que es lo que hacen los servicios de «cuál es mi IP». Desde un terminal:

curl ifconfig.me

Por qué un dominio nunca debería resolverse a una dirección privada

Un dominio público que se resuelve a 10.0.0.5 o 127.0.0.1 es un error de configuración o algo deliberado, y en cualquier caso es un problema para cualquier servicio que resuelva dominios proporcionados por los usuarios.

El ataque es sencillo: apuntar un dominio que controlas a 169.254.169.254, enviarlo a un servicio que obtiene URL desde el servidor y hacer que el servicio lea sus propios metadatos de nube en tu nombre. Una variante de DNS rebinding hace que el registro cambie entre la comprobación de validación y la obtención real.

La defensa consiste en validar la dirección resuelta, no el nombre de host enviado, que es exactamente lo que ocurre aquí, y por eso un dominio que se resuelve internamente se notifica simplemente como no resoluble en lugar de filtrar ese detalle. La página de cómo funciona explica la cadena de validación completa.