Prywatne adresy IP: definicja, zakresy RFC1918 i NAT

Dowiedz się, czym są prywatne adresy IP, zakresy RFC1918 i jak działa NAT — praktyczny przewodnik bezpieczeństwa i konfiguracji sieci domowych i firmowych.

W terminologii internetowej sieć prywatna to zwykle sieć wykorzystująca prywatną przestrzeń adresową IP, zgodnie ze standardem RFC 1918. Urządzenia w takiej sieci otrzymują adresy z tej puli, żeby mogły komunikować się ze sobą w obrębie intranetu (wewnętrznej sieci komputerowej wykorzystującej protokół internetowy), bez potrzeby uzyskiwania unikalnych, globalnie routowalnych adresów IP.

Dlaczego stosuje się prywatne adresy IP

Prywatne sieci są powszechne w środowiskach domowych i biurowych, zwłaszcza w sieciach lokalnych (LAN), ponieważ nie ma potrzeby przydzielania internetowych adresów publicznych dla każdego komputera, drukarki czy IoT. Prywatne adresy IP powstały z powodu ograniczonej puli adresów w IPv4. Jednym z powodów powstania IPv6 było rozwiązanie problemu wyczerpania adresów IPv4, lecz wdrażanie IPv6 nadal postępuje stopniowo i nie jest jeszcze uniwersalne.

Zakresy RFC 1918 (przestrzeń prywatna)

• 10.0.0.0/8 — zakres od 10.0.0.0 do 10.255.255.255 (duża przestrzeń, często używana w dużych sieciach korporacyjnych).
• 172.16.0.0/12 — zakres od 172.16.0.0 do 172.31.255.255 (częściej spotykany w sieciach średniej wielkości).
• 192.168.0.0/16 — zakres od 192.168.0.0 do 192.168.255.255 (najczęściej używany w domowych routerach i małych sieciach).

Dodatkowo warto pamiętać o pokrewnych zarezerwowanych przestrzeniach, które nie są częścią RFC1918, ale mają znaczenie praktyczne:

• 100.64.0.0/10 — przestrzeń zarezerwowana dla operatorów realizujących Carrier-Grade NAT (RFC 6598).
• 169.254.0.0/16 — adresy link-local, przypisywane automatycznie, gdy nie ma serwera DHCP.
• 127.0.0.0/8 — zakres loopback (lokalny host), nieużywany do komunikacji sieciowej z innymi urządzeniami.

Filtrowanie i izolacja

Routery i urządzenia sieciowe w publicznym Internecie zwykle są konfigurowane tak, by nie przekazywać pakietów, których źródłowy lub docelowy adres należy do przestrzeni RFC 1918. Taka praktyka (w połączeniu z mechanizmami anty‑spoofingowymi) zwiększa bezpieczeństwo i zapobiega pojawianiu się nieprawidłowych tras. W rezultacie urządzenia z prywatnymi adresami są w praktyce izolowane od bezpośredniego dostępu z zewnątrz — dostęp z Internetu do urządzeń wewnętrznych zwykle wymaga pośrednictwa bramy.

NAT — brama pośrednicząca

Gdy urządzenie w sieci prywatnej musi komunikować się z Internetem, używa się mechanizmu NAT (Network Address Translation) lub serwera proxy. NAT mapuje (tłumaczy) lokalne prywatne adresy i porty na publiczny adres IP (lub adresy), umożliwiając ruch wychodzący i przychodzący zgodnie z konfiguracją.

• SNAT (Source NAT) — zmienia adres źródłowy pakietu wychodzącego do Internetu.
• DNAT (Destination NAT) — zmienia adres docelowy pakietu przychodzącego (stosowane np. przy przekierowaniach portów).
• PAT (Port Address Translation) / masquerading — wiele hostów współdzieli jeden publiczny adres, rozróżnianie po portach.

Przykład działania: host 192.168.1.10 wysyła żądanie HTTP; router NAT zmienia jego adres źródłowy na publiczny adres ISP i zapisuje translację. Odpowiedź z Internetu wraca do tego publicznego adresu, router odtwarza powiązanie i przekazuje pakiet do 192.168.1.10. Aby umożliwić inicjowanie połączeń z Internetu do hosta wewnętrznego, potrzebne są reguły DNAT / przekierowania portów lub statyczne mapowanie.

Ograniczenia i wady NAT

• Utrudniona inicjacja połączeń z Internetu do hostów prywatnych bez dodatkowej konfiguracji (przekierowania portów, VPN, STUN/TURN itp.).
• Problemy z protokołami, które umieszczają adresy IP w treści pakietów (np. niektóre protokoły VoIP), wymagające ALG lub dodatkowej translacji.
• Utrata przejrzystości end-to-end i komplikacje przy śledzeniu połączeń/logowaniu.

Kolizje adresowe i łączenie sieci

Gdy dwie organizacje próbują połączyć swoje sieci (np. przez VPN) i obie używają tych samych prywatnych zakresów (np. obie mają 192.168.0.0/24), pojawią się kolizje i problemy z routingiem. Rozwiązania obejmują:

• zmianę numeracji (reasignację jednego z zakresów),
• stosowanie NAT między łączonymi sieciami (tzw. NAT między stronami VPN),
• tunneling z translacją adresów po drodze,
• planowanie adresacji z myślą o przyszłej integracji (unikalne, dobrze udokumentowane podsieci).

IPv6 i przestrzenie lokalne

IPv6 oferuje znacznie większą pulę adresów i eliminuje potrzebę stosowania NAT na takim poziomie jak w IPv4. Dla adresów lokalnych IPv6 zdefiniowano m.in. ULA (Unique Local Addresses) (RFC 4193) — odpowiednik prywatnych adresów IPv4, zwykle zaczynających się od fc00::/7. Mimo zalet IPv6 jego wdrożenie bywa stopniowe, dlatego NAT i RFC1918 są nadal powszechne.

Najlepsze praktyki

• Dokumentuj i planuj przestrzeń adresową w organizacji, aby uniknąć konfliktów przy integracji z innymi sieciami.
• Stosuj NAT i przekierowania portów tylko tam, gdzie to konieczne, i rozważ VPN lub publiczne adresy dla usług wymagających bezpośredniego dostępu z Internetu.
• Filtruj ruch RFC1918 na granicach sieci publicznej i wdrażaj mechanizmy anty‑spoofingu.
• Rozważ migrację krytycznych usług do IPv6 tam, gdzie to możliwe i opłacalne.

Powyższe informacje poszerzają podstawowy opis sieci prywatnych i mechanizmów związanych z RFC1918 oraz NAT, które umożliwiają korzystanie z ograniczonej puli adresów IPv4 w codziennych sieciach domowych i korporacyjnych.

Pytania i odpowiedzi

P: Co to jest sieć prywatna?

P: Jaki był powód stworzenia prywatnych adresów IP?

P: W jaki sposób izolacja zapewnia bezpieczeństwo sieciom prywatnym?

P: Jak różne organizacje mogą korzystać z tego samego zakresu adresów prywatnych bez ryzyka konfliktu adresów?

P: Jaki typ urządzenia jest potrzebny, jeżeli urządzenie w sieci prywatnej musi komunikować się z innymi sieciami?

P: Czy publiczne routery internetowe wymagają dodatkowej konfiguracji, aby mogły przekazywać pakiety z adresami RFC 1918?

Szukaj według litery