理解公有 IP 与私有 IP 的区别

为什么你的设备和网站显示的 IP 地址不同：私有地址范围、NAT、公网可达性，以及真正重要的安全控制。

Ann · 2025年12月29日 · 约 3 分钟读完

同一个本地参照可以在不同网络中发挥作用。从外部抵达目的地，还需要正确的更广泛上下文。

你的笔记本电脑可能显示 192.168.1.5，而检查你 IP 的网站显示的却是另一个地址。两者都可能正确。一个标识你笔记本电脑在所在网络中的位置；另一个是网站在抵达它的连接上看到的地址。

同一个房间号可以存在于不同建筑里

两家酒店都可以有 205 号房。只有当有人只凭房号寄送包裹时，混淆才会出现。私有 IPv4 地址在确定的网络内也大致如此：你家和邻居家都可以使用 192.168.1.5。

IP 地址在其路由上下文中标识一个用于通信的网络接口。它不是某个人或某台设备的永久身份。手机在 Wi-Fi 和移动数据网络上可以拥有不同地址，而这些地址也可能发生变化。

RFC 1918 为私有网络保留了三个 IPv4 地址范围：

你可以在私有网络内部使用这些地址，无需申请全球唯一的分配。它们不用于跨越公网路由。请注意，只有 172 的一部分是私有的：172.32.0.1 不在该范围内。

重复使用地址也有代价。如果两间办公室使用相同的子网，随后又通过 VPN 连接，网络可能无法判断某个目的地属于哪间办公室。重新编号或经过仔细规划的转换可以解决重叠；单靠 VPN 不行。

在典型的家庭 IPv4 连接中，路由器会把从私有地址发出的流量转换为一个公有地址，并记录返回每个回复所需的端口，以便把回复交给正确的设备。这通常是 NAPT，也常被称为 NAT。网站看到的是转换后的源地址。我们的 NAT 指南跟踪了连接经过这一过程的路径。

你的服务提供商还可能使用运营商级 NAT 再次转换流量，因此多个客户会共享网站看到的公有地址。100.64.0.0/10 范围是用于此目的的共享地址空间；它与三个 RFC 1918 范围不同。因此，路由器的 WAN 地址不一定是公有地址。

公有地址可以参与全球路由。实际访问仍取决于是否有公布的路由、正在运行的服务以及网络防火墙规则。公有地址通过服务提供商和注册机构协调，但并非都由 ISP 直接分配。

私有地址不是加密，也不是安全策略。被入侵的笔记本电脑、暴露的应用程序或权限过宽的 VPN 仍可能访问内部系统。NAT 会影响未经请求的连接能否工作，但决定谁应获得访问权限的是防火墙策略和身份验证。

同样，所有不在私有范围内的地址也不都是公有地址。有些范围有其他特殊用途。例如，203.0.113.25 属于文档示例地址范围：它适合用于示例，并不是一个真实可从公网抵达的服务器地址。

对于普通网页浏览，采用地址转换的私有寻址通常运行良好。若要托管服务或连接两个网络，应询问地址在哪里有效、转换在哪里发生，以及允许哪些连接。这些问题比简单地问某个 IP 是公有还是私有更有用。

以上都是 IPv4 示例；IPv6 有自己的地址作用域。关于谁控制数字资源的访问这一更广泛的问题，Lu Heng 的第 29 号笔记进行了讨论，主张运营者自主权和可转让的 IPv4 资产。