パブリックIPとプライベートIPの違いとは

ネットワーク設定を確認すると、192.168.1.5 と表示されているかもしれません。一方、IPアドレスを表示するサイトを開くと、まったく別のアドレスが表示されます。どちらも間違いではありません。実際に、異なるスコープで動作する2つのアドレスを持っているのです。

2つのスコープ

予約されているプライベートの範囲

RFC 1918は、プライベート用として3つのIPv4ブロックを確保しています。誰でも内部で使用でき、公開インターネット上のルーターはそれらを転送しません。

ほかにも、関連する用途のために予約されている範囲がいくつかあり、これらも正当なパブリックの答えとして現れることはありません。

• 127.0.0.0/8 — ループバック。127.0.0.1 は常に自分自身のマシンです。
• 169.254.0.0/16 — リンクローカル。DHCPが失敗したときに自己割り当てされます。これが見えたら、たいていはデバイスがルーターに到達できなかったことを意味します。
• 100.64.0.0/10 — キャリアグレードNAT。すべての顧客にパブリックアドレスを提供できないISPが使います。

NAT：プライベートアドレスがそれでもインターネットに届く仕組み

プライベートアドレスがルーティングできないなら、192.168.1.5 にあるノートPCは、どうやってウェブサイトを読み込むのでしょうか。答えは、ルーターが行うネットワークアドレス変換（NAT）です。

1. 1

   デバイスがパケットを送る

   送信元は 192.168.1.5、宛先はウェブサイトのパブリックアドレスです。

2. 2

   ルーターが送信元を書き換える

   プライベートの送信元を、自身のパブリックアドレスに置き換え、その入れ替えを、ポート番号を付けた変換テーブルに記録します。

3. 3

   ウェブサイトがルーターに返信する

   サーバーから見れば、通信相手はルーターのパブリックアドレスです。ノートPCのことは何も知りません。

4. 4

   ルーターが逆に変換する

   テーブルを参照して、そのポートがどの内部デバイスのものかを調べ、宛先を書き換えて、192.168.1.5 に転送します。

家庭内のすべてのデバイスが、ウェブサイトからは同じアドレスに見えるのはこのためです。また、IPアドレスが識別するのは人ではなく接続である理由でもあります。

2つのアドレスを調べる

プライベートアドレス

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

パブリックアドレス

これは自分のネットワークの内側からは分かりません。外側にある何かに尋ねる必要があり、「自分のIPは何か」を調べるサービスがそれを行っています。ターミナルからは、次のようにします。

curl ifconfig.me

ドメインがプライベートアドレスに解決されてはいけない理由

公開ドメインが 10.0.0.5 や 127.0.0.1 に解決されるのは、設定ミスか意図的なもののどちらかです。いずれにしても、ユーザーが指定したドメインを名前解決するサービスにとっては問題です。

攻撃は単純です。自分が管理するドメインを 169.254.169.254 に向け、サーバー側でURLを取得するサービスに送信すると、そのサービスが、あなたの代わりに自身のクラウドメタデータを読み取ります。DNSリバインディングという変種では、検証のチェックと実際の取得の間に、レコードを変化させます。

防御策は、送信されたホスト名ではなく、名前解決されたアドレスを検証することです。ここで行われているのがまさにそれであり、内部に解決されるドメインが、その詳細を漏らさずに単に解決不能と報告される理由です。仕組みのページでは、検証のチェーン全体を扱っています。