IP-адресация и подсети

IP-адрес — это уникальная числовая метка, назначаемая каждому устройству в сети для маршрутизации трафика между источником и получателем. В IPv4 используются 32-битные адреса (например, 192.168.1.10), а в IPv6 — 128-битные.

IPv4-адрес состоит из четырёх октетов, разделённых точками. Значение каждого октета — от 0 до 255. Пример: 10.0.0.1.

IP-адреса состоят из двух частей: сетевой части (определяет сеть) и части узла (определяет устройство).

Маска подсети определяет, какие биты относятся к сети, а какие — к узлу. В записи CIDR /24 означает, что первые 24 бита являются сетевым префиксом.

Пример: 192.168.1.0/24 — сеть: 192.168.1, узлы: от .1 до .254, широковещательный адрес: .255.

Распространённые размеры подсетей:

• /24 — 256 адресов, 254 доступных узла
• /16 — 65 536 адресов, 65 534 доступных узла
• /8 — 16,7 миллиона адресов
• /30 — 4 адреса, 2 доступных адреса (для соединений «точка-точка»)

RFC 1918 определяет диапазоны частных адресов (не маршрутизируются в интернете):

• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16

Публичные IP-адреса маршрутизируются в интернете и должны быть глобально уникальными.

NAT позволяет нескольким устройствам в частной сети совместно использовать один публичный IP-адрес. При отправке пакетов маршрутизатор заменяет частный IP-адрес источника на свой публичный IP-адрес, а для ответов выполняет обратное преобразование.

NAT скрывает топологию внутренней сети от интернета.

Разбиение на подсети — важный инструмент безопасности:

• Размещайте критически важные серверы в изолированных подсетях
• Используйте VLAN для сегментации трафика на уровне 2
• Применяйте правила межсетевого экрана между подсетями для управления трафиком между ними
• Ограничивайте широковещательные домены, чтобы снизить риск перехвата данных

Распространённые команды для просмотра IP-конфигурации:

• Linux/Mac: ip addr show или ifconfig
• Windows: ipconfig /all
• Публичный IP-адрес: curl ifconfig.me

Специальные адреса:

• 127.0.0.1 — петлевой адрес (локальный узел); трафик никогда не покидает компьютер
• 0.0.0.0 — все интерфейсы (используется при маршрутизации и привязке)
• 255.255.255.255 — широковещательная отправка всем узлам локальной подсети

IPv6 использует 128-битные адреса, записанные в виде шестнадцатеричных групп: 2001:0db8:85a3::8a2e:0370:7334. IPv6 устраняет необходимость в NAT (каждое устройство получает уникальный публичный IP-адрес) и поддерживает встроенный IPsec.

Во время разведки злоумышленники перечисляют подсети, чтобы понять топологию сети. Распространённый приём:

Эта команда выполняет перебор с помощью ping, чтобы обнаружить активные узлы, и помогает составить карту поверхности атаки.

Какой диапазон IP-адресов определён в RFC 1918 как частный (не маршрутизируемый в интернете)?

IP-адреса однозначно идентифицируют устройства в сети. Разбиение на подсети делит сети на сегменты с помощью записи CIDR. Частные адреса RFC 1918 используются внутри сети, а NAT позволяет им совместно использовать публичные IP-адреса. Грамотное разбиение на подсети — основа сегментации сети для обеспечения безопасности.