Comprender la diferencia entre las IP públicas y privadas

Tu portátil muestra 192.168.1.5, pero una web que consulta tu IP muestra otra dirección. ¿Cuál es la correcta? Pueden serlo las dos: una identifica al portátil dentro de tu red; la otra es la dirección de origen que ve la web cuando recibe la conexión.

Dos hoteles pueden tener una habitación 205

No hay ningún problema en que dos hoteles tengan una habitación 205. El problema aparece si intentas enviar un paquete indicando solo ese número. Con las direcciones IPv4 privadas ocurre algo parecido: tu casa y la de tu vecino pueden usar 192.168.1.5 en sus respectivas redes.

Una dirección IP identifica una interfaz de red dentro del contexto en el que se encamina el tráfico. No es la identidad permanente de una persona o un dispositivo. Un móvil puede tener direcciones distintas al conectarse por Wi-Fi o por datos móviles, y esas direcciones pueden cambiar.

¿Qué direcciones son privadas?

El RFC 1918 reserva tres rangos IPv4 para redes privadas:

• 10.0.0.0–10.255.255.255 (10.0.0.0/8)
• 172.16.0.0–172.31.255.255 (172.16.0.0/12)
• 192.168.0.0–192.168.255.255 (192.168.0.0/16)

Puedes usarlos dentro de una red privada sin solicitar una asignación única a escala mundial. No están destinados a circular por las rutas de Internet público. Atención al segundo rango: no todas las direcciones que empiezan por 172 son privadas. 172.32.0.1 queda fuera.

Reutilizar direcciones también puede complicar las cosas. Si dos oficinas usan la misma subred y después se conectan mediante una VPN, puede resultar ambiguo a qué oficina pertenece un destino. Hay que cambiar el plan de direcciones o preparar una traducción adecuada; conectar la VPN no elimina la coincidencia.

Cómo llega a Internet un equipo con IP privada

En una conexión doméstica IPv4 habitual, el router sustituye la dirección privada de origen por una pública y guarda la correspondencia de puertos para devolver cada respuesta al equipo correcto. Suele tratarse de NAPT, aunque normalmente lo llamamos NAT. La web ve la dirección resultante de esa traducción. La guía sobre NAT explica el recorrido de una conexión.

El operador puede aplicar otra traducción, conocida como NAT de operador o CGN. En ese caso, varios clientes comparten la dirección pública que ven las webs. El bloque 100.64.0.0/10 es espacio compartido reservado para este uso, distinto de los tres rangos del RFC 1918. Por eso, la dirección WAN del router no siempre es pública.

Pública no significa abierta; privada no significa segura

Una dirección pública puede participar en el enrutamiento global. Para acceder realmente a un servicio también hacen falta una ruta anunciada, un servicio activo y reglas de cortafuegos que permitan la conexión. La asignación de direcciones públicas se coordina a través de operadores y registros; no todas proceden directamente de un ISP.

Una IP privada no cifra los datos ni comprueba identidades. Un portátil infectado, una aplicación expuesta o una VPN con permisos excesivos pueden dar acceso a sistemas internos. NAT influye en si determinadas conexiones entrantes funcionan, pero son las reglas del cortafuegos y la autenticación las que deben decidir quién puede acceder.

Tampoco es pública cualquier dirección que quede fuera de los rangos privados. Hay bloques con otros usos especiales. Por ejemplo, 203.0.113.25 pertenece a un rango reservado para documentación: sirve como ejemplo, no como dirección de un servidor público real.

Qué conviene comprobar en tu red

Para navegar, suele bastar con direcciones privadas y traducción. Para alojar un servicio o conectar dos redes, comprueba dónde es válida cada dirección, dónde se traduce el tráfico y qué conexiones están permitidas. Esas preguntas te ayudarán más que limitarte a preguntar si una IP es pública o privada.

Los ejemplos anteriores son de IPv4; IPv6 tiene sus propios ámbitos de direccionamiento. Si quieres explorar quién controla los recursos de numeración, la Nota 29 de Lu Heng defiende la autonomía de los operadores y la posibilidad de transferir los activos IPv4.