Asignación de Direcciones para Interredes Privadas

Introducción

Este documento se basa en RFC 1597 y le ayudará a conservar el espacio de direcciones IP al no asignar direcciones IP únicas globales a host privados de su red. Incluso, puede permitir la conectividad completa de la capa de red entre todos lo hosts en la red y entre todos los hosts públicos en Internet.

Los host que utilizan IP se dividen en tres categorías:

• Hosts que no requieren acceso a hosts de otras empresas o a Internet en general. Estos hosts pueden usar direcciones IP que son únicas dentro de su red pero es probable que no lo sean dentro de redes exteriores.

• Los host que necesitan acceder a un conjunto limitado de servicios externos (por ejemplo, correo electrónico, FTP, noticias en red, acceso remoto que puede administrarse por medio de puertas de enlace de capa de aplicación. Es posible que muchos de estos hosts no necesiten o quieran acceso externo irrestricto (provisto mediante conectividad IP) por razones de seguridad o privacidad. Al igual que los host de la primera categoría, se pueden utilizar direcciones IP que son únicas dentro de su red independientemente de que no lo sean respecto de las redes externas.

• Hosts que necesitan acceso de capa de red fuera de la empresa mediante conectividad IP. Sólo estos hosts requieren direcciones IP que sean globalmente únicas.

Muchas aplicaciones requieren conectividad sólo dentro de una red y ni siquiera necesitan conectividad externa para la mayoría de los hosts internos. En redes más grandes, los hosts a menudo usan TCP/IP cuando no necesitan conectividad de capa de red fuera de la red. Estos son algunos ejemplos en los que puede que no se requiera conectividad externa:

• Un gran aeropuerto con sus vistas de llegada y salida direccionables de manera individual mediante TCP/IP. Es muy poco probable que estas pantallas necesiten ser accesibles directamente desde otras redes.

• Grandes organizaciones como bancos y cadenas de comercios minoristas que usan TCP/IP para la comunicación interna. Un gran número de estaciones de trabajo locales, como las cajas registradoras, las máquinas de dinero y el equipo en puestos administrativos, rara vez necesitan conectividad externa.

• Redes que utilizan gateways de capa de aplicación (firewalls) para conectarse a Internet. La red interna normalmente no tiene acceso directo a Internet, por lo que sólo uno o más hosts de firewall están visibles desde Internet. En este caso, la red interna puede utilizar números IP no únicos.

• Dos redes que se comunican mediante su propio link privado. Por lo general, sólo un conjunto muy limitado de hosts se puede alcanzar mutuamente a través de este link. Sólo aquellos hosts necesitan números de IP globalmente únicos

• Interfaces de routers en una red interna.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

Convenciones

Para obtener más información sobre las convenciones del documento, consulte Convenciones de Consejos Técnicos de Cisco.

Espacio de dirección privada

La Autoridad de Números Asignados de Internet (IANA) ha reservado los tres bloques siguientes de espacio de direcciones IP para redes privadas:

• 10.0.0.0 - 10.255.255.255

• 172.16.0.0 - 172.31.255.255

• 192.168.0.0 - 192.168.255.255

El primer bloque es un número de red clase A única, el segundo bloque es un conjunto de 16 números de redes clase B contiguas y el tercer bloque es un conjunto de 255 números de redes clase C contiguas.

Si decide utilizar el espacio de dirección privada, no es necesario que coordine con IANA ni un registro de Internet. Las direcciones dentro de este espacio de dirección privado serán únicas solamente dentro de su red. Recuerde que si necesita un espacio globalmente único de direcciones, debe obtener direcciones de un registro de Internet.

A fin de utilizar el espacio de la dirección privada, determine qué hosts no necesitan tener conectividad de capa de red hacia el exterior. Estos hosts son privados y utilizan espacio de direcciones privadas. Los hosts privados pueden comunicarse con todos los demás hosts dentro de la red, tanto públicos como privados, pero no pueden tener conectividad IP con ningún host externo. Los hosts privados aún pueden tener acceso a los servicios externos a través de relés de la capa de la aplicación.

Todos los hosts restantes son públicos y usan un espacio de direcciones globales únicas asignado por un registro de Internet. Los hosts públicos pueden comunicarse con otros hosts dentro de la red y pueden tener conectividad IP a hosts públicos externos. Los hosts públicos no están conectados a hosts privados de otras redes.

Debido a que las direcciones privadas no tienen un significado global, la información de ruteo sobre las redes privadas no se propaga en los links externos, y los paquetes con direcciones de origen o destino privadas no deben reenviarse a través de tales links. Los routers en las redes que no utilizan espacio de direcciones privadas, especialmente aquellos de los proveedores de servicio de Internet, deberían ser configurados para rechazar (separar por filtración) la información de ruteo de las redes privadas. Este rechazo no debe tratarse como un error de protocolo de ruteo.

Las referencias indirectas a estas direcciones (como Registros de recursos DNS) deben estar incluidas en la red. Los proveedores de servicios de Internet deben tomar medidas para evitar tal perdida.

Ventajas y desventajas del uso de un espacio de dirección privada

La ventaja obvia de utilizar el espacio de direcciones privadas para Internet en general es conservar el espacio de direcciones global único. La utilización del espacio de dirección privada también le brinda mayor flexibilidad en el diseño de red, ya que tendrá más espacio de dirección disponible de lo que pudiera obtener del conjunto único total.

La principal desventaja de utilizar el espacio de dirección privada consiste en tener que numerar nuevamente las direcciones IP si desea conectarse a Internet.

Aspectos del diseño

Primero debe diseñar la parte privada de la red y utilizar el espacio de dirección privada para todos los enlaces internos. Luego, planee subredes públicas y diseñe la conectividad externa.

Si se puede diseñar un esquema de conexión en subredes adecuado y es compatible con su equipo, utilice el bloque de 24 bits de espacio de dirección privada y haga un plan de direccionamiento con una buena trayectoria de crecimiento. Si la conexión en subredes es un problema, puede usar el bloque clase C de 16 bits.

Para cambiar un host de privado a público se requiere cambiar la dirección y, en la mayoría de los casos, su conectividad física. En lugares en los que tales cambios estén contemplados (salas de máquinas y otros), tal vez quiera configurar medios físicos separados para las subredes públicas y privadas, para facilitar estos cambios.

Para prevenir fugas, es necesario instalar filtros de paquetes y de ruteo adecuados en ambos extremos del link, en aquellos routers que se conectan con redes externas. También debe filtrar toda red privada en cuanto a información de ruteo de entrada para evitar situaciones de ruteo ambiguas que pueden producirse si las rutas hacia el espacio de la dirección privada indican el exterior de la red.

Los grupos de organizaciones que contemplen una necesidad de comunicación mutua deben diseñar un plan de direccionamiento común. Si dos sitios necesitan conectarse mediante un proveedor de servicio externo, pueden considerar el uso de un túnel IP a fin de prevenir la pérdida de paquetes de la red privada.

Una forma de evitar la fuga de DNS RR es ejecutar dos servidores de nombres, un servidor externo responsable de todas las direcciones IP globales únicas de la empresa y un servidor interno responsable de todas las direcciones IP tanto públicas como privadas. Para asegurar la consistencia, ambos servidores deben recibir los mismos datos, de los cuales el servidor de nombres externo sólo utiliza una versión filtrada.

Los solucionadores de todos los hosts internos, tanto públicos como privados, consultan únicamente al servidor de nombre interno. El servidor externo soluciona las consultas desde los solucionadores externos y está vinculado en el DNS global. El servidor interno reenvía todas las consultas para obtener información fuera de la empresa al servidor de nombres externo, de modo que todos los hosts internos puedan acceder al DNS global. De esta forma, la información sobre hosts privados no llega a solucionadores externos y a servidores de nombre.

Observaciones de seguridad

Mientras usa un espacio de dirección privada puede mejorar la seguridad, esto no es un sustituto para las medidas de seguridad dedicada.

Conclusión

Con este esquema, muchas redes de gran tamaño sólo necesitan un bloque relativamente pequeño de direcciones del espacio de direcciones IP únicas globales. Internet generalmente se nutre del mantenimiento de un espacio de direcciones único y universal. Las redes se nutren de la creciente flexibilidad provista por un espacio de direcciones privadas relativamente grande.

Información Relacionada

• Página de Soporte de IP Routed Protocols
• Página de Soporte de IP Routing
• Soporte Técnico y Documentación - Cisco Systems