Частни IP адреси и мрежи (RFC1918): дефиниция, NAT и сигурност

Частни IP адреси (RFC1918): как работи NAT, защо повишават сигурността и как да конфигурирате защитена домашна или офис мрежа.

В терминологията на интернет частна мрежа обикновено е мрежа, която използва частно IP адресно пространство, дефинирано в RFC 1918. Устройства в такава мрежа обменят трафик помежду си в рамките на локална или корпоративна интранет среда — например вътрешна мрежа на офис или дом — и не изискват публично уникални IP адреси, за да комуникират помежду си в същата мрежа. Често тези мрежи се използват при изграждането на домашни и офис локални мрежи (LAN), тъй като има недостиг на публични IPv4 адреси и много организации не желаят или не могат да получат глобално уникални адреси за всяко устройство.

Кои диапазони са частни (RFC1918)?

• 10.0.0.0/8 — (10.0.0.0–10.255.255.255)
• 172.16.0.0/12 — (172.16.0.0–172.31.255.255)
• 192.168.0.0/16 — (192.168.0.0–192.168.255.255)

Освен тях има и други специални диапазони, свързани с NAT и отделяне (напр. 100.64.0.0/10 за Carrier-Grade NAT), както и адреси за локално автоматично конфигуриране (169.254.0.0/16), но горните три блока са класическите RFC1918 частни адреси.

Маршрутизиране и изолация

По договор публичните интернет маршрутизатори и автономни системи трябва да филтрират и да не пренасят маршрути към тези частни адресни блокове в глобалния интернет — тоест пакети с адреси RFC1918 в IP заглавията не би трябвало да се маршрутизират през интернет. Тази изолация предоставя базов ниво на „скриване“: външни хостове не могат директно да иницират връзка към IP адреси от частен диапазон, защото такива адреси не са публично достижими.

Как устройствата в частна мрежа комуникират с интернет (NAT и проксита)

Когато устройство в частна мрежа трябва да комуникира с външен интернет, се използва междинен шлюз, който преобразува локалните адреси в публични. Обикновено това е:

• NAT (Network Address Translation) — най-често използваното решение. NAT заменя частния IP адрес/порт на пакета с публичен IP адрес/порт. Има различни форми: source NAT (SNAT), destination NAT (DNAT) и PAT/маскарад (където много вътрешни хоста споделят един публичен адрес с различни портове).
• Прокси сървър — приложен слой устройство, което поема заявките от вътрешните клиенти и ги изпраща към интернет от свое име.

Такъв шлюз гарантира, че в публичния интернет пакети ще имат „истински“ (публично routable) адрес и маршрутизаторите ще разрешат комуникацията. Вътрешните маршрутизатори обикновено могат да обменят трафик с частни адреси без допълнителна конфигурация, но публичните маршрутизатори по подразбиране не препращат RFC1918 адреси.

Ограничения и проблеми, свързани с NAT и частните адреси

• Невъзможност за директни входящи връзки: NAT блокира (по подразбиране) директни входящи връзки от интернет към вътрешни адреси. Това може да пречи на услуги, които очакват публично достъпен сървър без допълнителни настройки (например трябва да се използва пренасочване/port forwarding).
• Проблеми с протоколи, съдържащи адреси в полезния товар: Протоколи като FTP (active mode), SIP, H.323 и някои P2P решения вграждат IP адреси/портове в данните, което прави прозрачната работа през NAT сложна и изисква ALGs (Application Layer Gateways) или прокси.
• Ограничена проследимост и логване: когато много вътрешни адреси използват един публичен чрез PAT, проследяването кой вътрешен хост е извършил дадено действие изисква допълнителни логове на NAT устройството.
• Нивото на сигурност не е достатъчно: използването на частни адреси само по себе си не осигурява истинска защита — трябва да се комбинира с firewall политики, сегментация, актуализации и мониторинг.

Проблеми при свързването на различни мрежи (конфликти на адреси)

Когато две организации опитат да свържат мрежите си (чрез VPN, директна връзка или облачни услуги) и двете използват едни и същи частни адресни пространства, възникват конфликти и проблеми с маршрутизацията. Проблемите включват недостиг на маршрути до „локални“ ресурси, неправилно насочен трафик и необходимост от сложни правила за NAT.

Възможни решения:

• Пре-номериране (renumbering) на една от мрежите — най-чистото, но може да е трудоемко.
• Използване на NAT между сайтовете (site-to-site NAT) за преобразуване на адресите при преминаване на връзката — бързо, но усложнява трасировката и може да наруши някои приложения.
• Избиране на уникални, управлявани частни диапазони (например разпределяне на подмрежи в 10.0.0.0/8) при планиране на множество офиси/департаменти.
• Преминаване към IPv6, където пространството за адреси е значително по-голямо и рискът от конфликт е минимален (но това изисква поддръжка и съвместимост).

Сигурност — митове и практики

Важно е да се разбере, че частните IP адреси не са заместител на адекватните мерки за сигурност. Те предлагат по-скоро операционна изолация от глобалния интернет, но:

• Вътрешните атаки или компрометирани устройства в LAN могат да атакуват други вътрешни ресурси.
• Злонамерен софтуер може да използва изходящи връзки през NAT за комуникация със C2 (command-and-control) сървъри.
• Добри практики включват: firewall политики, мрежова сегментация (VLANs), контрол на достъпа, силни аутентикации, криптиране (VPN за отдалечен достъп), мониторинг и актуализации.

Практически препоръки

• Планирайте адресната схема централизирано, за да избегнете припокриване при растеж или при бъдещи слияния.
• Използвайте лесно управляеми и документируеми подмрежи (например ясно разпределение в 10.0.0.0/8 за големи организации).
• За публични услуги използвайте порт форвардинг или DMZ с фиксирани публични адреси и допълнителни защитни механизми.
• Когато свързвате чужди мрежи (VPN/облак), проверете за припокриване на адресни пространства и преценете дали да използвате site-to-site NAT или пре-номериране.
• Планирайте миграция към IPv6, когато е възможно, за да премахнете ограниченията на IPv4 адресирането.

В обобщение: частните IP адреси и RFC1918 осигуряват практичен начин за използване на ограниченото IPv4 пространство и предлагат основна форма на изолация от интернет, но не заместват съвременните мерки за сигурност и правилно управление на мрежовата архитектура.

Въпроси и отговори

В: Какво представлява частната мрежа?

В: Каква е причината за създаването на частни IP адреси?

В: Как изолацията осигурява сигурност на частните мрежи?

Въпрос: Как различни организации могат да използват един и същ диапазон от частни адреси, без да рискуват конфликти на адреси?

В: Какъв тип устройство е необходимо, ако устройство в частна мрежа трябва да комуникира с други мрежи?

Въпрос: Нуждаят ли се публичните интернет маршрутизатори от допълнителна конфигурация, за да препращат пакети с адреси RFC 1918?

Търсене по буква