IP pública frente a IP privada

En 1996, RFC 1918 reservó tres bloques del espacio IPv4 que cualquiera puede usar dentro de su propia red sin pedírselo a un registro, con la condición de que los paquetes con esas direcciones nunca viajen por el internet público. Los routers de internet los descartan, así que las mismas direcciones pueden reutilizarse en cada casa, oficina y centro de datos del planeta. Los tres bloques solo se diferencian en el tamaño:

IPv6 tiene un equivalente, las direcciones locales únicas en fc00::/7 (en la práctica fd00::/8, RFC 4193), pero como a IPv6 le sobran direcciones, la mayoría de los dispositivos reciben sin más una dirección IPv6 pública junto a su IPv4 privada.

El bloque más grande: una sola red de 16,7 millones de direcciones o, más habitualmente, todo el plan de direcciones de una empresa troceado en cientos de subredes como 10.20.30.0/24 por planta u oficina. Algunos proveedores de internet lo usan también en el lado privado de sus equipos, y unos pocos routers domésticos (sobre todo algunas pasarelas de cable) reparten 10.0.0.x por defecto.

Dieciséis redes /16 contiguas, de 172.16.x.x a 172.31.x.x. A menudo se olvida, y justo por eso es útil: Docker elige sus redes de contenedores a partir de 172.17.0.0/16, y los productos de VPN lo usan para no chocar con la red 192.168 de la casa desde la que se conecta el usuario. Si una dirección empieza por 172 pero el segundo número está fuera de 16–31, es pública.

El rango doméstico: 256 redes de 256 direcciones. Casi todos los routers de consumo salen de fábrica con 192.168.0.1 o 192.168.1.1 como dirección propia y reparten 192.168.0.x o 192.168.1.x a los dispositivos. Por eso 192.168.1.1 abre la página de administración del router en millones de casas, y por eso una lista de dispositivos con 192.168.1.20 no dice nada sobre en qué casa está. La calculadora de subredes señala cualquier dirección que caiga en un rango privado.

Una dirección pública es una de la parte del espacio de direcciones que se encamina globalmente: registrada a nombre de una red a través de un registro regional, anunciada al sistema de encaminamiento de internet y alcanzable desde cualquier lugar. Tu proveedor asigna una a tu conexión, normalmente de forma dinámica; es la dirección que muestra la tarjeta de abajo y la que ven todas las webs, juegos y apps. Todo lo demás que no esté reservado para un fin especial es público, de 1.0.0.0 a 223.255.255.255.

La titularidad del espacio público es información de registro público. La consulta de IP muestra qué organización tiene cualquier dirección, en qué país está registrada y aproximadamente dónde se usa; qué es una dirección IP explica el sistema de registros. Dos salvedades para usuarios domésticos: cada vez más proveedores ponen a sus clientes detrás de un NAT de operador, así que la dirección «pública» que ve una web se comparte con otros clientes y la que indica tu router es del rango 100.64.0.0/10; y la dirección pública de un teléfono móvil cambia constantemente y pertenece a una pasarela que puede estar en otra ciudad.

Las direcciones privadas serían inútiles si los dispositivos que las llevan no pudieran llegar a internet. La traducción de direcciones de red (RFC 3022) lo resuelve en el router. Cuando tu portátil, en 192.168.1.20, envía un paquete a una web, el router sustituye la dirección de origen por su propia dirección pública y el puerto de origen por uno que elige, y guarda la pareja en una tabla: 203.0.113.42:51234 ↔ 192.168.1.20:52001. Cuando llega la respuesta para el puerto 51234, el router consulta la tabla, vuelve a poner 192.168.1.20 y la entrega. Miles de conexiones de muchos dispositivos pueden compartir una dirección pública porque cada una recibe su propio puerto exterior.

El esquema tiene dos consecuencias con las que te encuentras a diario. Las conexiones salientes funcionan solas, pero una conexión entrante no tiene entrada en la tabla, así que el router la descarta; por eso un servidor, una cámara o un anfitrión de partida en casa necesita reenvío de puertos (una entrada manual en la tabla) o UPnP, y por eso el NAT hace también de cortafuegos tosco. Y como la web solo ve la dirección compartida, toda la casa le parece un único usuario, que es como una familia entera puede acabar limitada en conjunto. El NAT de operador repite el truco en el proveedor para cientos de clientes a la vez, con el problema añadido de que el reenvío de puertos se vuelve imposible; qué es NAT y qué es CGNAT profundizan, y el comprobador de puertos muestra lo que de verdad es alcanzable desde fuera.

No toda dirección no pública es una dirección privada de RFC 1918. La IANA mantiene un registro de bloques de uso especial (RFC 6890 y actualizaciones posteriores); estos son los que aparecen en redes domésticas.

Una regla práctica: si una dirección está en 10/8, 172.16/12 o 192.168/16, es privada; si está en una de las filas de arriba, es especial; en cualquier otro caso, es pública. La calculadora de subredes aplica el registro completo de la IANA a cualquier dirección que escribas, y cuál es mi IP local muestra la privada que tu navegador puede ver.