Публичные и частные IP-адреса: в чём разница

Загляните в сетевые настройки — и вы, возможно, увидите 192.168.1.5. Зайдите на сайт, показывающий ваш IP-адрес, — и там будет совершенно другое значение. Ни одно из них не ошибочно: у вас действительно два адреса, действующих в разных областях.

Две области действия

Зарезервированные частные диапазоны

RFC 1918 выделяет три блока IPv4 для частного использования. Использовать их внутри сети может кто угодно, и ни один роутер публичного интернета не станет их пересылать.

Ещё несколько диапазонов зарезервированы для смежных целей и тоже никогда не появляются как допустимый публичный ответ:

• 127.0.0.0/8 — loopback (петля). 127.0.0.1 — это всегда ваша собственная машина.
• 169.254.0.0/16 — link-local, назначается самостоятельно при сбое DHCP. Если вы его видите, обычно это значит, что устройство не смогло связаться с роутером.
• 100.64.0.0/10 — carrier-grade NAT, используется провайдерами, которые не могут выдать каждому клиенту публичный адрес.

NAT: как частные адреса всё-таки выходят в интернет

Если частные адреса не маршрутизируются, как ноутбук с адресом 192.168.1.5 загружает сайт? С помощью трансляции сетевых адресов (NAT), которую выполняет ваш роутер.

1. 1

   Устройство отправляет пакет

   Источник — 192.168.1.5, получатель — публичный адрес сайта.

2. 2

   Роутер переписывает источник

   Он заменяет частный адрес источника своим публичным адресом и записывает подмену в таблицу трансляции, помечая её номером порта.

3. 3

   Сайт отвечает роутеру

   С точки зрения сервера, он общается с публичным адресом вашего роутера. О вашем ноутбуке он ничего не знает.

4. 4

   Роутер транслирует обратно

   Он обращается к таблице, определяет, какому внутреннему устройству принадлежит этот порт, переписывает адрес получателя и пересылает пакет на 192.168.1.5.

Поэтому все устройства в вашем доме выглядят для сайтов как один и тот же адрес, и поэтому IP-адрес идентифицирует соединение, а не человека.

Как узнать оба своих адреса

Ваш частный адрес

ipconfig

ip addr show
# or, on macOS:
ifconfig | grep "inet "

Ваш публичный адрес

Изнутри собственной сети его не узнать — нужно спросить что-то снаружи, что и делают сервисы «какой у меня IP». Из терминала:

curl ifconfig.me

Почему домен никогда не должен разрешаться в частный адрес

Публичный домен, разрешающийся в 10.0.0.5 или 127.0.0.1, — либо ошибка конфигурации, либо умысел, и в любом случае это проблема для любого сервиса, разрешающего пользовательские домены.

Атака проста: направьте подконтрольный вам домен на 169.254.169.254, отправьте его сервису, который загружает URL на стороне сервера, — и сервис прочитает собственные облачные метаданные от вашего имени. Вариант DNS rebinding заставляет запись меняться между проверкой и фактической загрузкой.

Защита — проверять разрешённый адрес, а не присланное имя хоста; именно это происходит здесь, и поэтому домен, разрешающийся во внутренний адрес, просто сообщается как неразрешаемый, не раскрывая этой детали. Полная цепочка проверки описана на странице о принципе работы.