Pourquoi les plages d'IP privées ne devraient jamais se résoudre publiquement

La RFC 1918 a réservé trois plages IPv4 (10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16) spécifiquement pour un usage à l'intérieur de réseaux privés, justement parce qu'il n'y a pas assez d'adresses IPv4 publiques pour que chaque appareil de chaque réseau privé en ait une unique à l'échelle mondiale. Ces plages sont réutilisées, simultanément, dans des millions de réseaux sans rapport dans le monde entier. Votre routeur domestique distribue presque certainement des adresses 192.168.x.x ; celui de presque tout le monde aussi.

Ce que signifie qu'un domaine public se résolve dans cette plage

Comme ces adresses n'ont de sens qu'au sein du réseau local qui interroge, un domaine public qui se résout vers l'une d'elles est, au mieux, une erreur de configuration, et au pire une tentative délibérée de pousser un système exposé au public à envoyer une requête à ce qui se trouve à cette adresse sur son propre réseau interne. L'internet public n'a aucune idée cohérente de ce que 10.0.0.5 désigne même ; c'est une machine différente selon le réseau qui interroge.

• Un domaine public légitime n'a aucune raison de se résoudre vers une adresse d'une plage privée : si vous en voyez une, considérez-le comme un signal à examiner, pas comme un résultat normal.
• IPv6 a ses propres plages privées et réservées équivalentes (adresses locales uniques fc00::/7 et lien local fe80::/10) qui exigent le même traitement.

Filtrer ces plages au moment de la résolution, plutôt que de supposer qu'un domaine d'apparence publique se résout toujours vers une adresse d'apparence publique, est l'exigence de base pour tout outil qui résout des domaines pour le compte d'un utilisateur.

La plage que la plupart des listes de blocage oublient

100.64.0.0/10 (l'« espace d'adressage partagé », défini par la RFC 6598) est loin d'être aussi connue que 10.0.0.0/8 ou 192.168.0.0/16, alors qu'elle est tout aussi non routable sur l'internet public. Elle existe spécifiquement pour le NAT de niveau opérateur, qui permet à un fournisseur d'accès d'adresser en interne un grand nombre de connexions clients sans consommer d'espace IPv4 public pour chacune. Parce qu'elle est plus récente et moins connue que les plages classiques de la RFC 1918, c'est celle qui manque le plus souvent dans une liste de blocage faite maison, exactement le genre de lacune qui n'apparaît que lorsque quelqu'un fait volontairement pointer un domaine vers une adresse située dedans.

Le « fail closed » compte autant que la liste elle-même

Une liste de blocage ne vaut que ce qui se passe lorsqu'une adresse ne peut pas du tout être analysée. Une entrée mal formée, une notation inhabituelle ou une valeur qui ne correspond clairement à aucune plage connue ne devrait jamais être traitée comme « probablement correcte » par défaut : le réflexe sûr est de rejeter tout ce qui ne peut pas être classé avec certitude comme public, plutôt que de ne rejeter que les adresses qui correspondent positivement à une plage connue comme dangereuse. Cette posture « fail closed » (échec fermé) est ce qui rend une liste de blocage robuste face aux plages que personne n'a encore pensé à ajouter, et pas seulement face aux plages bien connues déjà listées.