Klasy adresów IP i adresy prywatne

Historycznie adresy IPv4 podzielono na klasy, żeby z góry ustalić, ile bitów przypada na sieć, a ile na hosty. O klasie decyduje pierwszy bajt adresu – a dokładniej jego kilka pierwszych bitów w zapisie binarnym. Dziś stosuje się elastyczniejszy podział przy pomocy masek, ale klasy nadal pojawiają się w pytaniach.

Osobno wydzielono adresy prywatne. Nie są one routowane w internecie – można ich używać dowolnie w sieciach domowych i firmowych, bo nigdy nie trafią na zewnątrz. Dzięki temu ten sam adres 192.168.0.1 może istnieć w milionach mieszkań naraz.

Żeby urządzenie z adresem prywatnym mogło korzystać z internetu, router stosuje NAT – podmienia adres prywatny na swój publiczny i pamięta, komu odesłać odpowiedź.

Cztery zasady, które wystarczą do większości pytań:

• Klasę czyta się z pierwszego bajtu, nigdy z całego adresu. Bajty drugi, trzeci i czwarty nie mają tu żadnego znaczenia. 192.14.56.10 i 192.168.0.1 mają ten sam pierwszy bajt, więc obydwa są klasy C – choć tylko drugi z nich jest adresem prywatnym.
• Rozstrzygają pierwsze bity, nie cała liczba. Klasa A zaczyna się od bitu 0, klasa B od 10, klasa C od 110, klasa D od 1110, klasa E od 1111. Po zamianie pierwszej liczby na osiem bitów odpowiedź widać od razu.
• Prywatny to nie to samo co „z klasy C". Pule prywatne wykroiła norma RFC 1918 z trzech różnych klas: 10.x z klasy A, 172.16–31.x z klasy B, 192.168.x z klasy C. Adres spoza tych trzech zakresów jest publiczny, niezależnie od klasy.
• NAT nie jest własnością adresu, tylko czynnością routera. Adres prywatny sam z siebie nie „zamienia się" w publiczny – zamienia go urządzenie na styku sieci lokalnej z internetem, zapisując tę podmianę w swojej tablicy.

Rozwinięcia ogólnych skrótów sieciowych (LAN, WAN, ISP, RFC, IETF…) zbiera słownik skrótów sieciowych.

NAT

Network Address Translation translacja adresów: podmiana adresu IP w nagłówku pakietu przechodzącego przez router

PAT

Port Address Translation odmiana NAT, w której wiele urządzeń dzieli jeden adres publiczny, a rozróżnia je numer portu

NAPT

Network Address and Port Translation oficjalna nazwa PAT w dokumentach IETF; w routerach domowych spotykana jako „maskarada"

SNAT

Source NAT podmiana adresu nadawcy – to robi router domowy dla ruchu wychodzącego

DNAT

Destination NAT podmiana adresu odbiorcy – tak działa przekierowanie portów dla ruchu przychodzącego

### Krok 1: zamień pierwszą liczbę na osiem bitów

Adres 131.125.94.11 – interesuje nas wyłącznie 131. Odejmujemy kolejne wagi bitów, od największej:

waga: 128 64 32 16 8 4 2 1 131 ≥ 128 → bit 1, zostaje 3 3 < 64 → bit 0 3 < 32 → bit 0 3 < 16 → bit 0 3 < 8 → bit 0 3 < 4 → bit 0 3 ≥ 2 → bit 1, zostaje 1 1 ≥ 1 → bit 1, zostaje 0 wynik: 131 = 10000011

Adres zaczyna się od bitów 10, więc należy do klasy B. Tak samo liczy się każdy inny pierwszy bajt: 191 to 10111111 (znowu 10 – klasa B, mimo że liczba jest bliska 192), a 192 to 11000000 (bity 110 – klasa C).

W praktyce nie trzeba zamieniać całego bajtu – wystarczą cztery progi: 128, 192, 224 i 240.

### Krok 2: odczytaj podział na sieć i host

Klasa mówi, ile bitów adresu opisuje sieć, a ile pojedynczy komputer w tej sieci:

• Klasa A – 1 bit stały (0) + 7 bitów numeru sieci, czyli 2⁷ = 128 możliwości. Dwie pule są wyłączone z użytku (0.x i 127.x), więc zostaje 2⁷ − 2 = 126 sieci. Na hosty przypadają 24 bity: 2²⁴ − 2 = 16 777 214 hostów w jednej sieci.
• Klasa B – 2 bity stałe (10) + 14 bitów sieci, czyli 2¹⁴ = 16 384 sieci, po 2¹⁶ − 2 = 65 534 hostów.
• Klasa C – 3 bity stałe (110) + 21 bitów sieci, czyli 2²¹ = 2 097 152 sieci, po 2⁸ − 2 = 254 hostów.
• Klasa D (224–239) to multicast, czyli adresowanie całych grup odbiorców naraz, a klasa E (240–255) jest zarezerwowana i nieużywana. W żadnej z nich nie przydziela się adresów zwykłym komputerom.

Odejmowane w każdej klasie dwa adresy to adres sieci (na miejscach hosta same zera) i adres rozgłoszeniowy (same jedynki) – rachunki na maskach opisuje hasło obliczanie adresu sieci i rozgłoszeniowego.

Ten sztywny podział był marnotrawstwem: firma potrzebująca 300 komputerów dostawała całą klasę B, czyli 65 534 adresy. Dlatego klasy zastąpił zapis bezklasowy z dowolną maską (CIDR) – opisany w haśle adresowanie IP i maski.

### Krok 3: sprawdź, czy adres jest prywatny

Norma RFC 1918 wydzieliła trzy pule adresów, których nie routuje żaden router w internecie:

• 10.0.0.0 – 10.255.255.255 (zapis 10.0.0.0/8) – 2²⁴ = 16 777 216 adresów, cała jedna sieć klasy A,
• 172.16.0.0 – 172.31.255.255 (zapis 172.16.0.0/12) – 2²⁰ = 1 048 576 adresów, szesnaście sąsiednich sieci klasy B,
• 192.168.0.0 – 192.168.255.255 (zapis 192.168.0.0/16) – 2¹⁶ = 65 536 adresów, 256 sieci klasy C.

Razem 17 891 328 adresów, których każdy może użyć u siebie w domu. Poza tymi zakresami adres jest publiczny – również 172.32.0.1, choć zaczyna się tak samo jak pula prywatna.

Swój adres prywatny odczytasz poleceniem ipconfig (Windows) albo ip a (Linux, macOS). Adresu publicznego komputer nie zna – należy on do routera i przydziela go dostawca internetu.

### Krok 4: NAT, czyli jak dwa komputery dzielą jeden adres

W domu jest jeden adres publiczny, powiedzmy 83.24.117.6, a urządzeń kilka. Router pośredniczy: dla każdego wychodzącego połączenia podmienia adres nadawcy na własny publiczny i nadaje mu wolny numer portu źródłowego, który zapisuje w tablicy translacji razem z prawdziwym nadawcą. Odmiana NAT z portami nazywa się PAT albo maskaradą i to ona działa w każdym routerze domowym.

Laptop 192.168.1.10 i tablet 192.168.1.11 łączą się z tym samym serwerem 142.250.203.174 na porcie 443 i – przypadkiem – obydwa wybrały ten sam port źródłowy 52310. Router zapisuje:

• wpis 1: 192.168.1.10:52310 widziany na zewnątrz jako 83.24.117.6:40001,
• wpis 2: 192.168.1.11:52310 widziany na zewnątrz jako 83.24.117.6:40002.

Serwer odpowiada na 83.24.117.6:40001. Router zagląda do tablicy, widzi wpis 1, przepisuje adres odbiorcy z powrotem na 192.168.1.10:52310 i wysyła pakiet do laptopa. Odpowiedź na port 40002 trafi do tabletu. Bez numerów portów router nie miałby jak odróżnić tych dwóch rozmów.

Wynika stąd ważne ograniczenie: połączenie musi zacząć się od wewnątrz, bo dopiero wtedy powstaje wpis w tablicy. Pakiet przychodzący z internetu bez zaproszenia nie pasuje do żadnego wpisu i router go odrzuca. Żeby serwer w sieci domowej był dostępny z zewnątrz, trzeba ręcznie dodać przekierowanie portów – stały wpis w rodzaju „wszystko, co przyjdzie na port 25565 mojego adresu publicznego, oddaj komputerowi 192.168.1.20". Alternatywą jest tunel VPN. Samą translację wykonuje router.

Adres 127.0.0.1 to pętla zwrotna, wskazująca zawsze na własny komputer; opisuje ją hasło adresowanie IP i maski.

Klasa czytana z całego adresu. Do rozpoznania klasy służy wyłącznie pierwszy bajt. Adresy 192.14.56.10 i 192.168.0.1 różnią się wszystkim poza pierwszą liczbą, a klasę mają tę samą – C. Odwrotnie: 191.12.56.1 i 192.14.56.10 wyglądają niemal identycznie, a leżą po dwóch stronach granicy między klasą B a C.

„Wszystko od 192 jest prywatne." Prywatna jest dokładnie pula 192.168.0.0/16, a nie cała klasa C. 192.14.56.10 to normalny adres publiczny – i właśnie o niego pyta arkusz z 2008 roku. Ten sam błąd w drugą stronę: 10.0.0.5 jest prywatny, mimo że należy do klasy A.

172.32.x.x wzięte za adres prywatny. Pula prywatna z klasy B kończy się na 172.31.255.255. Drugi bajt musi mieścić się w przedziale 16–31; 172.15.x.x i 172.32.x.x są publiczne. To najczęściej mylona granica ze wszystkich trzech zakresów RFC 1918.

Liczby sieci i hostów podane bez odjęcia dwójki. Klasa A to nie 2⁷ = 128 sieci, tylko 126, i nie 2²⁴ hostów, tylko 16 777 214. Dwa adresy w każdej sieci są zajęte (sieć i rozgłoszenie), a w klasie A odpadają jeszcze pule 0.x i 127.x. Arkusz z 2014 roku uznał zdanie z „2⁷ adresów sieci i 2²⁴ adresów hostów" za fałszywe właśnie z tego powodu.

127.0.0.1 zaliczone do klasy A. Pierwszy bajt zaczyna się wprawdzie od bitu 0, ale cała pula 127 została wyjęta z puli użytkowej na pętlę zwrotną. Klasa A obejmuje więc numery sieci od 1 do 126 i to jest odpowiedź na pytanie, dlaczego zakres nie sięga do 127.

NAT mylony z zaporą sieciową. NAT to translacja adresów, a nie mechanizm bezpieczeństwa. To, że pakiet z zewnątrz nie ma pasującego wpisu w tablicy i przepada, jest skutkiem ubocznym, a nie regułą filtrowania. Za świadome blokowanie ruchu odpowiada zapora sieciowa.

• Klasę rozstrzygają pierwsze bity pierwszego bajtu: A – 0, B – 10, C – 110, D – 1110, E – 1111.
• W zapisie dziesiętnym: A to 1–126, B to 128–191, C to 192–223, D to 224–239, E to 240–255.
• Domyślne maski klas: A – 255.0.0.0, B – 255.255.0.0, C – 255.255.255.0.
• Klasa A daje 126 sieci po 16 777 214 hostów, B – 16 384 sieci po 65 534 hosty, C – 2 097 152 sieci po 254 hosty.
• Adresy prywatne RFC 1918: 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 – razem 17 891 328 adresów.
• Adres od 192 nie musi być prywatny; prywatna jest tylko pula 192.168.x.x.
• NAT podmienia adres prywatny na publiczny i zapisuje w tablicy numer portu, po którym rozpozna, komu odesłać odpowiedź.

Zagadnienia z tego samego obszaru matury – warto je powtórzyć razem: