사설 IP 대역이 공개적으로 확인되어서는 안 되는 이유

RFC 1918은 세 개의 IPv4 대역인 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16을 사설 네트워크 내부용으로 따로 정해 두었습니다. 모든 사설 네트워크의 모든 기기가 전 세계에서 고유한 주소를 가질 만큼 공인 IPv4 주소가 충분하지 않기 때문입니다. 이 대역들은 전 세계 수백만 개의 무관한 네트워크 안에서 동시에 재사용됩니다. 여러분의 집 공유기도 거의 확실히 192.168.x.x 주소를 나눠 주며, 다른 사람들의 공유기도 마찬가지입니다.

공개 도메인이 이 대역으로 확인된다는 것의 의미

이 주소들은 질의하는 로컬 네트워크 안에서만 의미가 있으므로, 이 대역으로 확인되는 공개 도메인은 기껏해야 설정 오류이고, 최악의 경우 공개 시스템이 자신의 내부 네트워크에서 그 주소에 있는 무엇이든 요청하도록 만들려는 의도적인 시도입니다. 공용 인터넷은 10.0.0.5가 무엇을 가리키는지 일관되게 알지 못합니다. 어느 네트워크가 묻느냐에 따라 전혀 다른 컴퓨터입니다.

• 정상적인 공개 도메인이 사설 대역 주소로 확인될 이유는 전혀 없습니다. 그런 결과를 본다면 정상적인 결과가 아니라 조사할 가치가 있는 신호로 취급하세요.
• IPv6에도 이에 해당하는 사설/예약 대역이 있으며, 고유 로컬 주소(fc00::/7)와 링크 로컬(fe80::/10)은 똑같이 처리해야 합니다.

공개용처럼 보이는 도메인이 항상 공개용처럼 보이는 주소로 확인되리라 믿는 대신 확인 시점에 이 대역들을 걸러 내는 것은, 사용자를 대신해 도메인을 확인하는 모든 도구에 대한 기본적인 기대 수준입니다.

대부분의 차단 목록이 잊는 대역

100.64.0.0/10은 RFC 6598이 정의한 "공유 주소 공간"으로, 공용 인터넷에서 똑같이 라우팅될 수 없는데도 10.0.0.0/8이나 192.168.0.0/16만큼의 인지도는 전혀 얻지 못합니다. 이 대역은 통신사급 NAT를 위해 존재하며, ISP가 연결마다 공인 IPv4 공간을 소모하지 않고 내부적으로 많은 고객 연결에 주소를 부여할 수 있게 해 줍니다. 고전적인 RFC 1918 대역보다 새롭고 덜 알려져 있기 때문에, 직접 만든 차단 목록에서 가장 흔히 빠지는 대역입니다. 누군가 의도적으로 도메인이 그 안의 주소를 가리키게 해 보고서야 드러나는 종류의 허점입니다.

"실패 시 차단(fail closed)"은 목록만큼이나 중요합니다

차단 목록은 주소를 아예 파싱할 수 없을 때 어떻게 동작하느냐에 따라 그 가치가 정해집니다. 잘못된 형식의 입력, 특이한 표기, 알려진 어떤 대역과도 깔끔하게 일치하지 않는 값은 기본적으로 "아마 괜찮을 것"으로 취급해서는 안 됩니다. 안전한 기본값은 알려진 불량 대역에 확실히 일치하는 주소만 거부하는 것이 아니라, 공인 주소라고 확신을 가지고 분류할 수 없는 것은 모두 거부하는 것입니다. 이러한 "실패 시 차단" 태세가 차단 목록이 이미 올라 있는 잘 알려진 대역뿐 아니라 아무도 아직 추가할 생각을 못 한 대역에 대해서도 견고함을 유지하게 해 줍니다.