Adresses IP publiques et privées : quelle différence ?

Consultez vos paramètres réseau et vous verrez peut-être 192.168.1.5. Visitez un site qui affiche votre adresse IP et il montre quelque chose de complètement différent. Aucune des deux n'est fausse : vous avez réellement deux adresses, qui opèrent à des portées différentes.

Les deux portées

Les plages privées réservées

La RFC 1918 réserve trois blocs IPv4 à un usage privé. Chacun peut les utiliser en interne, et aucun routeur de l'internet public ne les transmettra.

Quelques autres plages sont réservées à des usages connexes et n'apparaissent jamais non plus comme une réponse publique légitime :

• 127.0.0.0/8 : boucle locale (loopback). 127.0.0.1 est toujours votre propre machine.
• 169.254.0.0/16 : lien local (link-local), auto-attribuée lorsque le DHCP échoue. En voir une signifie généralement que votre appareil n'a pas pu joindre le routeur.
• 100.64.0.0/10 : NAT de niveau opérateur, utilisée par les fournisseurs d'accès qui ne peuvent pas donner une adresse publique à chaque client.

Le NAT : comment les adresses privées atteignent quand même internet

Si les adresses privées ne peuvent pas être routées, comment un ordinateur portable en 192.168.1.5 charge-t-il un site web ? Grâce à la traduction d'adresses réseau (NAT), réalisée par votre routeur.

1. 1

   Votre appareil envoie un paquet

   Source 192.168.1.5, destination l'adresse publique du site web.

2. 2

   Le routeur réécrit la source

   Il remplace la source privée par sa propre adresse publique et consigne l'échange dans une table de traduction, associé à un numéro de port.

3. 3

   Le site web répond au routeur

   Pour le serveur, il parle à l'adresse publique de votre routeur. Il ne sait rien de votre ordinateur portable.

4. 4

   Le routeur retraduit

   Il consulte la table, voit à quel appareil interne ce port appartient, réécrit la destination et transmet le paquet à 192.168.1.5.

C'est pourquoi tous les appareils de votre domicile apparaissent aux sites web sous la même adresse, et pourquoi une adresse IP identifie une connexion, pas une personne.

Trouver vos deux adresses

Votre adresse privée

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

Votre adresse publique

Vous ne pouvez pas la découvrir depuis l'intérieur de votre propre réseau : il faut interroger quelque chose à l'extérieur, ce que font les services « quelle est mon IP ». Depuis un terminal :

curl ifconfig.me

Pourquoi un domaine ne devrait jamais se résoudre vers une adresse privée

Un domaine public qui se résout vers 10.0.0.5 ou 127.0.0.1 est soit une erreur de configuration, soit un choix délibéré, et dans les deux cas c'est un problème pour tout service qui résout des domaines fournis par l'utilisateur.

L'attaque est simple : faire pointer un domaine que vous contrôlez vers 169.254.169.254, le soumettre à un service qui récupère des URL côté serveur, et le service lit alors ses propres métadonnées cloud pour vous. Une variante par DNS rebinding fait changer l'enregistrement entre la vérification de validation et la récupération effective.

La défense consiste à valider l'adresse résolue, et non le nom d'hôte soumis, ce qui est exactement ce qui se passe ici, et explique pourquoi un domaine qui se résout en interne est simplement signalé comme non résolvable plutôt que de divulguer ce détail. La page de fonctionnement décrit la chaîne de validation complète.