Публичные и частные IP-адреса

В 1996 году RFC 1918 отвёл три блока пространства IPv4, которые кто угодно может использовать внутри собственной сети, не спрашивая регистратуру, — при условии, что пакеты с такими адресами никогда не ходят через публичный интернет. Маршрутизаторы интернета их отбрасывают, поэтому одни и те же адреса можно использовать заново в каждом доме, офисе и дата-центре на Земле. Три блока отличаются только размером:

В IPv6 есть аналог — уникальные локальные адреса в fc00::/7 (на практике fd00::/8, RFC 4193), но поскольку адресов IPv6 в избытке, большинство устройств просто получают публичный адрес IPv6 вдобавок к частному адресу IPv4.

Самый большой блок: одна сеть на 16,7 миллиона адресов или, чаще, весь адресный план компании, нарезанный на сотни подсетей вроде 10.20.30.0/24 на этаж или офис. Некоторые провайдеры используют его и на частной стороне своего оборудования, а отдельные домашние роутеры (особенно некоторые кабельные шлюзы) по умолчанию раздают 10.0.0.x.

Шестнадцать смежных сетей /16, от 172.16.x.x до 172.31.x.x. О нём часто забывают — именно поэтому он полезен: Docker берёт сети для контейнеров начиная с 172.17.0.0/16, а VPN-продукты используют его, чтобы не пересекаться с сетью 192.168 дома, из которого подключается пользователь. Если адрес начинается со 172, но второе число вне диапазона 16–31, он публичный.

Домашний диапазон: 256 сетей по 256 адресов. Почти каждый потребительский роутер поставляется с собственным адресом 192.168.0.1 или 192.168.1.1 и раздаёт устройствам 192.168.0.x или 192.168.1.x. Поэтому 192.168.1.1 открывает панель администратора роутера в миллионах домов, и поэтому список устройств с адресом 192.168.1.20 ничего не говорит о том, в каком доме он находится. Калькулятор подсетей помечает любой адрес, попадающий в частный диапазон.

Публичный адрес — это адрес из глобально маршрутизируемой части адресного пространства: зарегистрированный за сетью через региональную регистратуру, анонсированный в систему маршрутизации интернета и доступный откуда угодно. Провайдер назначает его вашему подключению, обычно динамически; это адрес, показанный в карточке ниже, и именно его видит каждый сайт, игра и приложение. Всё остальное, что не зарезервировано под специальные цели, — публичное, от 1.0.0.0 до 223.255.255.255.

Принадлежность публичного пространства — открытая информация. Проверка IP показывает, какая организация держит любой адрес, в какой стране он зарегистрирован и примерно где используется; система регистратур описана в статье что такое IP-адрес. Две оговорки для домашних пользователей: всё больше провайдеров ставят клиентов за NAT операторского класса, так что «публичный» адрес, который видит сайт, общий с другими абонентами, а адрес, который сообщает ваш роутер, — из диапазона 100.64.0.0/10; а публичный адрес мобильного телефона постоянно меняется и принадлежит шлюзу, который может находиться в другом городе.

Частные адреса были бы бесполезны, если бы устройства с ними не могли выйти в интернет. Эту задачу в роутере решает трансляция сетевых адресов (RFC 3022). Когда ваш ноутбук с адресом 192.168.1.20 отправляет пакет на сайт, роутер заменяет адрес отправителя своим публичным адресом, а порт отправителя — выбранным им портом, и сохраняет пару в таблице: 203.0.113.42:51234 ↔ 192.168.1.20:52001. Когда на порт 51234 приходит ответ, роутер находит запись в таблице, возвращает на место 192.168.1.20 и доставляет пакет. Тысячи соединений с множества устройств могут делить один публичный адрес, потому что каждое получает собственный внешний порт.

У этой схемы два последствия, с которыми вы сталкиваетесь ежедневно. Исходящие соединения работают сами собой, а вот для входящего соединения записи в таблице нет, и роутер его отбрасывает; поэтому домашнему серверу, камере или хосту игры нужен проброс портов (запись в таблице, сделанная вручную) либо UPnP, и поэтому NAT заодно служит грубым файрволом. А поскольку сайт видит только общий адрес, весь дом выглядит для него как один пользователь — так целую семью могут ограничить по частоте запросов разом. NAT операторского класса повторяет тот же трюк у провайдера сразу для сотен абонентов, с дополнительной проблемой: проброс портов становится невозможным; подробнее — в статьях что такое NAT и что такое CGNAT, а проверка портов показывает, что на самом деле доступно снаружи.

Не каждый непубличный адрес — частный адрес по RFC 1918. IANA ведёт реестр блоков специального назначения (RFC 6890 и более поздние обновления); вот те, что встречаются в домашних сетях.

Практическое правило: если адрес находится в 10/8, 172.16/12 или 192.168/16 — он частный; если в одной из строк выше — особый; иначе — публичный. Калькулятор подсетей применяет полный реестр IANA к любому введённому адресу, а какой у меня локальный IP показывает частный адрес, который видит ваш браузер.