IP pubblici e privati: qual è la differenza?

Controlla le impostazioni di rete e potresti vedere 192.168.1.5. Visita un sito che mostra il tuo indirizzo IP e ne compare uno completamente diverso. Nessuno dei due è sbagliato: hai davvero due indirizzi, che operano su ambiti diversi.

I due ambiti

Gli intervalli privati riservati

L'RFC 1918 riserva tre blocchi IPv4 all'uso privato. Chiunque può usarli al proprio interno e nessun router su Internet li inoltrerà.

Alcuni altri intervalli sono riservati a scopi correlati e non compaiono mai come risposta pubblica legittima:

• 127.0.0.0/8: loopback. 127.0.0.1 è sempre la tua stessa macchina.
• 169.254.0.0/16: link-local, auto-assegnato quando il DHCP fallisce. Vederne uno di solito significa che il dispositivo non è riuscito a raggiungere il router.
• 100.64.0.0/10: carrier-grade NAT, usato dagli ISP che non possono dare a ogni cliente un indirizzo pubblico.

NAT: come gli indirizzi privati raggiungono comunque Internet

Se gli indirizzi privati non possono essere instradati, come fa un laptop su 192.168.1.5 a caricare un sito web? Con il Network Address Translation, eseguito dal tuo router.

1. 1

   Il dispositivo invia un pacchetto

   Origine 192.168.1.5, destinazione l'indirizzo pubblico del sito web.

2. 2

   Il router riscrive l'origine

   Sostituisce l'origine privata con il proprio indirizzo pubblico e registra lo scambio in una tabella di traduzione, contrassegnata da un numero di porta.

3. 3

   Il sito web risponde al router

   Per quanto riguarda il server, sta parlando con l'indirizzo pubblico del tuo router. Non sa nulla del tuo laptop.

4. 4

   Il router traduce di nuovo

   Consulta la tabella, vede a quale dispositivo interno appartiene quella porta, riscrive la destinazione e lo inoltra a 192.168.1.5.

Per questo ogni dispositivo di casa tua appare ai siti web come lo stesso indirizzo, e per questo un indirizzo IP identifica una connessione, non una persona.

Trovare entrambi i tuoi indirizzi

Il tuo indirizzo privato

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

Il tuo indirizzo pubblico

Non puoi scoprirlo dall'interno della tua rete: devi chiederlo a qualcosa che sta fuori, ed è ciò che fanno i servizi «qual è il mio IP». Da un terminale:

curl ifconfig.me

Perché un dominio non dovrebbe mai risolversi in un indirizzo privato

Un dominio pubblico che si risolve in 10.0.0.5 o 127.0.0.1 è un errore di configurazione o una scelta deliberata, e in entrambi i casi è un problema per qualsiasi servizio che risolve domini forniti dall'utente.

L'attacco è semplice: punta un dominio che controlli a 169.254.169.254, invialo a un servizio che recupera URL lato server e il servizio legge per tuo conto i propri metadati cloud. Una variante di DNS rebinding fa cambiare il record tra il controllo di validazione e il recupero effettivo.

La difesa consiste nel validare l'indirizzo risolto, non l'hostname inviato: è esattamente ciò che avviene qui, ed è il motivo per cui un dominio che si risolve internamente risulta semplicemente non risolvibile senza rivelare quel dettaglio. La pagina su come funziona descrive l'intera catena di validazione.