Por que faixas de IP privadas nunca devem resolver publicamente

A RFC 1918 reservou três faixas IPv4 — 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16 — especificamente para uso dentro de redes privadas, justamente porque não há endereços IPv4 públicos suficientes para que cada dispositivo de cada rede privada tenha um endereço globalmente único. Essas faixas são reutilizadas, simultaneamente, dentro de milhões de redes sem relação entre si no mundo todo. O seu roteador doméstico quase certamente distribui endereços 192.168.x.x; o de praticamente todo mundo também.

O que significa um domínio público resolver para essa faixa

Como esses endereços só têm significado dentro da rede local que faz a consulta, um domínio público que resolve para um deles é, no mínimo, uma configuração incorreta — e, no pior caso, uma tentativa deliberada de fazer um sistema voltado ao público enviar uma requisição para o que quer que esteja naquele endereço em sua própria rede interna. A internet pública não tem uma ideia consistente do que 10.0.0.5 sequer significa; é uma máquina diferente dependendo inteiramente de qual rede está perguntando.

• Um domínio público legítimo não tem motivo algum para resolver para um endereço de faixa privada — se você vir um, trate-o como um sinal que merece investigação, não como um resultado normal.
• O IPv6 tem suas próprias faixas privadas/reservadas equivalentes — endereços locais únicos (fc00::/7) e link-local (fe80::/10) — que exigem exatamente o mesmo tratamento.

Filtrar essas faixas no momento da resolução — em vez de confiar que um domínio de aparência pública sempre resolve para um endereço de aparência pública — é a expectativa básica para qualquer ferramenta que resolve domínios em nome do usuário.

A faixa que a maioria das listas de bloqueio esquece

100.64.0.0/10 — o "espaço de endereços compartilhado", definido pela RFC 6598 — nem de longe tem o reconhecimento de 10.0.0.0/8 ou 192.168.0.0/16, apesar de ser igualmente não roteável na internet pública. Ela existe especificamente para o NAT de nível de operadora, permitindo que um provedor de internet atenda internamente um grande número de conexões de clientes sem consumir espaço IPv4 público para cada uma. Por ser mais nova e menos conhecida que as faixas clássicas da RFC 1918, é a que mais comumente falta em uma lista de bloqueio feita à mão — exatamente o tipo de lacuna que só aparece quando alguém aponta deliberadamente um domínio para um endereço dentro dela.

"Falhar de forma fechada" importa tanto quanto a própria lista

Uma lista de bloqueio é tão boa quanto o que acontece quando um endereço não pode ser interpretado. Uma entrada malformada, uma notação incomum ou um valor que não corresponde claramente a nenhuma faixa conhecida nunca deve ser tratado como "provavelmente bom" por padrão — o padrão seguro é rejeitar tudo o que não puder ser classificado com confiança como público, em vez de rejeitar apenas endereços que correspondam positivamente a uma faixa sabidamente ruim. Essa postura de "falhar de forma fechada" é o que mantém uma lista de bloqueio robusta contra as faixas que ninguém pensou em adicionar ainda, e não apenas contra as bem conhecidas que já estão na lista.