IPs públicos vs privados: qual é a diferença?

Confira as configurações de rede e você pode ver 192.168.1.5. Acesse um site que informa seu endereço IP e ele mostra algo completamente diferente. Nenhum dos dois está errado — você realmente tem dois endereços, operando em escopos diferentes.

Os dois escopos

As faixas privadas reservadas

A RFC 1918 reserva três blocos IPv4 para uso privado. Qualquer pessoa pode usá-los internamente, e nenhum roteador da internet pública os encaminha.

Algumas outras faixas são reservadas para fins relacionados e também nunca aparecem como uma resposta pública legítima:

• 127.0.0.0/8 — loopback. 127.0.0.1 é sempre a sua própria máquina.
• 169.254.0.0/16 — link-local, atribuído automaticamente quando o DHCP falha. Ver um desses geralmente significa que seu dispositivo não conseguiu alcançar o roteador.
• 100.64.0.0/10 — NAT de nível de operadora, usado por provedores que não conseguem dar um endereço público a cada cliente.

NAT: como os endereços privados chegam à internet mesmo assim

Se endereços privados não podem ser roteados, como um notebook em 192.168.1.5 carrega um site? Pela Network Address Translation (tradução de endereços de rede), feita pelo seu roteador.

1. 1

   Seu dispositivo envia um pacote

   Origem 192.168.1.5, destino o endereço público do site.

2. 2

   O roteador reescreve a origem

   Ele troca a origem privada pelo seu próprio endereço público e registra a troca em uma tabela de tradução, marcada com um número de porta.

3. 3

   O site responde ao roteador

   Para o servidor, ele está conversando com o endereço público do seu roteador. Ele não sabe nada sobre o seu notebook.

4. 4

   O roteador traduz de volta

   Ele consulta a tabela, vê a qual dispositivo interno aquela porta pertence, reescreve o destino e encaminha para 192.168.1.5.

É por isso que todos os dispositivos da sua casa aparecem para os sites como o mesmo endereço, e por isso que um endereço IP identifica uma conexão, não uma pessoa.

Descobrindo os seus dois endereços

Seu endereço privado

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

Seu endereço público

Você não consegue descobri-lo de dentro da própria rede — precisa perguntar a algo fora dela, que é o que os serviços de "qual é o meu IP" fazem. Em um terminal:

curl ifconfig.me

Por que um domínio nunca deve resolver para um endereço privado

Um domínio público que resolve para 10.0.0.5 ou 127.0.0.1 é uma configuração incorreta ou algo deliberado — e, de qualquer forma, é um problema para qualquer serviço que resolva domínios fornecidos por usuários.

O ataque é simples: aponte um domínio que você controla para 169.254.169.254, envie-o a um serviço que busca URLs no lado do servidor, e o serviço lê os próprios metadados da nuvem em seu nome. Uma variante de DNS rebinding faz o registro mudar entre a verificação de validação e a busca real.

A defesa é validar o endereço resolvido, e não o nome de host enviado — que é exatamente o que acontece aqui, e por isso um domínio que resolve internamente simplesmente aparece como não resolvível, sem vazar esse detalhe. A página de como funciona aborda toda a cadeia de validação.