Allocazione indirizzi per Internet private
Sommario
Introduzione
Questo documento è basato sulla RFC 1597 
e consente di preservare lo spazio degli indirizzi IP non allocando indirizzi IP univoci a livello globale agli host privati della rete. È comunque possibile consentire la connettività a livello di rete completo tra tutti gli host della rete e tra tutti gli host pubblici di Internet.
Gli host che utilizzano IP sono suddivisi in tre categorie:
-
Host che non richiedono l'accesso agli host di altre aziende o di Internet in generale. Questi host possono utilizzare indirizzi IP univoci all'interno della rete, ma non tra le reti esterne.
-
Host che richiedono l'accesso a una serie limitata di servizi esterni (ad esempio, e-mail, FTP, netnews, accesso remoto) che possono essere gestiti da gateway a livello di applicazione. Molti di questi host potrebbero non necessitare di un accesso esterno illimitato (fornito tramite connettività IP) per motivi di privacy o sicurezza. Come gli host della prima categoria, possono utilizzare indirizzi IP univoci all'interno della rete, ma non tra le reti esterne.
-
Host che richiedono accesso a livello di rete all'esterno dell'azienda tramite connettività IP. Solo questi host richiedono indirizzi IP globalmente univoci.
Molte applicazioni richiedono connettività solo all'interno di una rete e non richiedono connettività esterna per la maggior parte degli host interni. Nelle reti più grandi, gli host spesso utilizzano il protocollo TCP/IP quando non richiedono la connettività a livello di rete all'esterno della rete. Di seguito sono riportati alcuni esempi in cui la connettività esterna potrebbe non essere necessaria:
-
Un grande aeroporto che ha il suo arrivo e partenza visualizza individualmente indirizzabile tramite TCP/IP. È molto improbabile che questi display debbano essere accessibili direttamente da altre reti.
-
Grandi organizzazioni come banche e catene di vendita al dettaglio che utilizzano il protocollo TCP/IP per le comunicazioni interne. Un gran numero di workstation locali, come registratori di cassa, macchine per il pagamento e apparecchiature in posizione gerarchica, raramente necessitano di connettività esterna.
-
Reti che utilizzano gateway a livello di applicazione (firewall) per connettersi a Internet. La rete interna in genere non dispone di accesso diretto a Internet, pertanto solo uno o più host firewall sono visibili da Internet. In questo caso, la rete interna può utilizzare numeri IP non univoci.
-
Due reti che comunicano tramite il proprio collegamento privato. In genere, su questo collegamento è raggiungibile reciprocamente solo un gruppo molto limitato di host. Solo questi host hanno bisogno di numeri IP univoci a livello globale.
-
Interfacce dei router su una rete interna.
Prerequisiti
Requisiti
Nessun requisito specifico previsto per questo documento.
Componenti usati
Il documento può essere consultato per tutte le versioni software o hardware.
Convenzioni
Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.
Spazio indirizzi privato
L'autorità IANA (Internet Assigned Numbers Authority) ha riservato i tre blocchi di spazio di indirizzi IP seguenti per le reti private:
-
10.0.0.0 - 10.255.255.255
-
172.16.0.0 - 172.31.255.255
-
192.168.0.0 - 192.168.255.255
Il primo blocco è un singolo numero di rete di classe A, il secondo blocco è un set di 16 numeri di rete di classe B contigui e il terzo blocco è un set di 255 numeri di rete di classe C contigui.
Se si decide di utilizzare uno spazio degli indirizzi privato, non è necessario coordinarsi con IANA o con un registro Internet. Gli indirizzi all'interno di questo spazio di indirizzi privato saranno univoci solo all'interno della rete. Se è necessario uno spazio degli indirizzi univoco a livello globale, è necessario ottenere gli indirizzi da un registro Internet.
Per utilizzare lo spazio degli indirizzi privato, determinare gli host che non devono disporre di connettività a livello di rete verso l'esterno. Questi host sono privati e utilizzano lo spazio degli indirizzi privato. Gli host privati possono comunicare con tutti gli altri host all'interno della rete, sia pubblici che privati, ma non possono avere connettività IP ad alcun host esterno. Gli host privati possono comunque accedere ai servizi esterni tramite i relè a livello di applicazione.
Tutti gli altri host sono pubblici e utilizzano uno spazio degli indirizzi globalmente univoco assegnato da un registro Internet. Gli host pubblici possono comunicare con altri host all'interno della rete e possono disporre di connettività IP agli host pubblici esterni. Gli host pubblici non dispongono della connettività agli host privati di altre reti.
Poiché gli indirizzi privati non hanno un significato globale, le informazioni di routing sulle reti private non vengono propagate sui collegamenti esterni e i pacchetti con indirizzi di origine o di destinazione privati non devono essere inoltrati attraverso tali collegamenti. I router delle reti che non utilizzano lo spazio degli indirizzi privato, in particolare quelli dei provider di servizi Internet, devono essere configurati in modo da rifiutare (filtrare) le informazioni di routing relative alle reti private. Questo rifiuto non deve essere considerato un errore del protocollo di routing.
I riferimenti indiretti a tali indirizzi, ad esempio i record di risorse DNS, devono essere contenuti nella rete. I fornitori di servizi Internet dovrebbero adottare misure per prevenire tali fuoriuscite.
Vantaggi e svantaggi dell'utilizzo dello spazio di indirizzi privato
L'ovvio vantaggio dell'utilizzo dello spazio degli indirizzi privato per Internet nel suo complesso consiste nel conservare lo spazio degli indirizzi univoco a livello globale. L'utilizzo dello spazio degli indirizzi privato offre inoltre una maggiore flessibilità nella progettazione della rete, in quanto lo spazio degli indirizzi disponibile è maggiore di quello che è possibile ottenere dal pool univoco globale.
Lo svantaggio principale dell'utilizzo dello spazio degli indirizzi privato consiste nel fatto che è necessario rinumerare gli indirizzi IP per connettersi a Internet.
Considerazioni sulla progettazione
Progettare prima la parte privata della rete e utilizzare lo spazio degli indirizzi privato per tutti i collegamenti interni. Quindi pianificare le subnet pubbliche e progettare la connettività esterna.
Se è possibile progettare uno schema di subnet appropriato, supportato dalle apparecchiature, utilizzare il blocco di 24 bit dello spazio di indirizzi privato e creare un piano di indirizzamento con un buon percorso di crescita. Se la subnet costituisce un problema, è possibile utilizzare il blocco di classe C a 16 bit.
Per cambiare un host da privato a pubblico è necessario cambiarne l'indirizzo e, nella maggior parte dei casi, la connettività fisica. Nelle posizioni in cui è possibile prevedere tali modifiche (sale macchine e così via), è possibile configurare supporti fisici separati per le subnet pubbliche e private, in modo da semplificare tali modifiche.
I router che si connettono a reti esterne devono essere configurati con filtri di pacchetto e routing appropriati a entrambe le estremità del collegamento in modo da evitare perdite di dati. È inoltre necessario filtrare le reti private dalle informazioni di routing in ingresso per evitare situazioni di routing ambigue che possono verificarsi se le route verso il punto dello spazio degli indirizzi privato all'esterno della rete.
I gruppi di organizzazioni che prevedono la necessità di comunicazioni reciproche devono elaborare un piano di indirizzamento comune. Se è necessario connettere due siti tramite un provider di servizi esterno, è possibile utilizzare un tunnel IP per impedire la perdita di pacchetti dalla rete privata.
Un modo per evitare perdite di dati DNS consiste nell'eseguire due server dei nomi, un server esterno responsabile di tutti gli indirizzi IP univoci a livello globale dell'azienda e un server interno responsabile di tutti gli indirizzi IP, sia pubblici che privati. Per garantire la coerenza, entrambi i server devono ricevere gli stessi dati, di cui il server dei nomi esterno utilizza solo una versione filtrata.
I resolver su tutti gli host interni, sia pubblici che privati, eseguono query solo sul server dei nomi interno. Il server esterno risolve le query provenienti da resolver esterni ed è collegato al DNS globale. Il server interno inoltra tutte le query per informazioni esterne all'organizzazione al server dei nomi esterno, in modo che tutti gli host interni possano accedere al DNS globale. In questo modo, le informazioni sugli host privati non raggiungono i resolver esterni e i server dei nomi.
Considerazioni sulla sicurezza
Sebbene l'utilizzo dello spazio degli indirizzi privato possa migliorare la sicurezza, non può sostituire misure di sicurezza dedicate.
Conclusioni
Con questo schema, molte reti di grandi dimensioni necessitano solo di un blocco relativamente piccolo di indirizzi provenienti dallo spazio di indirizzi IP univoco globale. Internet nel suo complesso beneficia della conservazione di uno spazio di indirizzi univoco a livello globale, mentre le reti traggono vantaggio dalla maggiore flessibilità offerta da uno spazio di indirizzi privato relativamente ampio.
Feedback