Alocação de endereço para Internet privada

Introduction

Este documento é baseado no RFC 1597 e ajudará você a conservar o espaço do endereço IP, não alocando endereços IP globalmente exclusivos para hosts privados na sua rede. Você ainda pode permitir a conectividade completa da camada de rede entre todos os hosts na rede e entre todos os hosts públicos na Internet.

Os hosts que usam IP recaem em três categorias:

• Hosts que não exigem acesso a hosts em outras empresas ou na Internet em geral. Esses hosts podem usar endereços IP que sejam exclusivos de suas redes, embora talvez não sejam exclusivos entre as redes externas.

• Os hosts que precisam de acesso a um conjunto limitado de serviços de saída (por exemplo, e-mail, FTP, netnews, login remoto) que podem ser manipulados por gateways da camada de aplicativos. Muitos desses hosts talvez não precisem ou solicitem acesso externo irrestrito (fornecido via conectividade IP), por motivos como privacidade ou segurança. Assim como os roteadores da primeira categoria, eles podem usar endereços IP que são exclusivos dentro de sua rede, mas não com redes externas.

• Hosts que precisam de acesso à camada de rede fora da empresa fornecido através da conectividade IP. Somente esses hosts exigem endereços IP globalmente exclusivos.

Muitos aplicativos exigem conectividade somente em uma rede e nem sequer precisam de conectividade externa para a maioria dos hosts internos. Em redes grandes, os hosts quase sempre usam o TCP/IP quando não precisam da conectividade da camada de rede fora da rede. Aqui estão alguns exemplos em que a conectividade externa pode não ser necessária:

• Um grande aeroporto que tenha suas exibições de chegadas e partidas endereçáveis individualmente por meio de TCP/IP. É muito improvável que essas exibições precisem estar diretamente acessíveis de outras redes.

• Grandes organizações, como bancos e redes de varejo, que utilizam TCP/IP para sua comunicação interna. Um grande número de estações de trabalho locais, como caixas registradoras, máquinas de dinheiro e equipamentos em postos administrativos, raramente precisam de conectividade externa.

• Redes que usam gateways da camada de aplicação (firewalls) para se conectar à Internet. A rede interna geralmente não tem acesso direto à Internet, portanto, somente um ou mais hosts de firewall são visíveis na Internet. Nesse caso, a rede interna pode usar números IP não exclusivos.

• Duas redes que se comunicam pelos próprios links privados. Geralmente, apenas um conjunto muito limitado de hosts é mutuamente alcançável nesse link. Somente esses hosts precisam de números IP globalmente únicos.

• Interfaces de roteadores em uma rede interna.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

Conventions

Para obter mais informações sobre convenções de documento, consulte as Convenções de dicas técnicas Cisco.

Espaço de endereço privado

A Internet Assigned Numbers Authority (IANA) reservou os seguintes três blocos de espaço de endereço IP para redes privadas:

• 10.0.0.0 - 10.255.255.255

• 172.16.0.0 - 172.31.255.255

• 192.168.0.0 - 192.168.255.255

O primeiro bloco é um número exclusivo da rede classe A, o segundo bloco é um conjunto de 16 números contíguos da rede classe B e o terceiro bloco é um conjunto de 255 números contíguos da rede classe C.

Se você decidir usar espaço de endereço privado, não será necessário coordenar com IANA ou com um Internet Registry. Os endereços dentro desse espaço de endereço privativo serão exclusivos apenas na sua rede. Lembre-se de que, se você precisa de espaço de endereço exclusivo globalmente, deve obter endereços de um registro de Internet.

Para utilizar um espaço de endereço privado, determine que hosts não precisam ter a conectividade de camada de rede para o lado externo. Esses hosts são privados e usam o espaço de endereço privado. Os hosts privados podem se comunicar com todos os outros hosts na rede, públicos e privados, mas não podem ter conectividade IP para nenhum host externo. Os host privados ainda podem ter acesso a serviços externos através de transmissões de camada de aplicativo.

Todos os outros hosts são públicos e utilizam um espaço de endereços globalmente exclusivos atribuído por um registro de Internet. Os hosts públicos podem se comunicar com outros hosts da rede e podem ter conectividade de IP com hosts públicos externos. Hosts públicos não possuem conectividade para hosts privados de outras redes.

Como os endereços privados não têm significado global, as informações de roteamento sobre redes privadas não são propagadas em links externos, e os pacotes com origem privada ou endereços de destino não devem ser encaminhados através desses links. Os roteadores em redes que não usam espaço de endereço específico, especialmente os provedores de serviço da Internet, devem ser configurados para recusar (filtrar) as informações de roteamento sobre redes particulares. Essa rejeição não deve ser tratada como um erro do protocolo de roteamento.

Referências indiretas a esses endereços (como Registros de Recursos de DNS) devem estar contidas na rede. Os provedores de serviço de internet devem tomar medidas para impedir esse vazamento.

Vantagens e desvantagens de utilizar espaço de endereço particular

A vantagem óbvia de usar o espaço de endereço privado para a Internet em geral é conservar o espaço de endereço globalmente exclusivo. A utilização de espaçamento de endereços privados também fornece grande flexibilidade ao projeto da rede, visto que haverá mais endereços disponíveis do que se poderia conseguir com o pool global único.

A principal desvantagem de usar espaço de endereço privado é que você precisará renumerar os endereços IP caso queira se conectar à Internet.

Considerações do projeto

Você deve projetar a parte privada da sua rede primeiro e usar o espaço de endereço privado para todos os links internos. Em seguida, planeje sub-redes públicas e desenhe a conectividade externa.

Se um esquema de sub-rede adequado puder ser projetado e for suportado pelo seu equipamento, use o bloco de 24 bits de espaço de endereço privado e faça um plano de endereçamento com um bom caminho de crescimento. Se a sub-rede for um problema, use o bloco de classes C de 16 bits.

Alterar o host de particular para público requer a alteração do seu endereço e, na maioria dos casos, sua conectividade física. Nos locais em que tais alterações podem ser previstas (casas de máquinas, etc.), configure meios físicos separados para sub-redes públicas e privadas, de modo a promover essas alterações mais facilmente.

Os roteadores que se conectam a redes externas devem ser configurados com filtros apropriados de pacotes e roteamento em ambas as extremidades do link para impedir vazamentos. Você também deve filtrar quaisquer redes privadas de informações de roteamento de entrada para impedir situações de roteamento ambíguas que poderão ocorrer se as rotas para o ponto de espaço de endereço privado estiverem fora da rede.

Grupos de organizações que estejam prevendo uma necessidade de comunicação mútua devem criar um plano comum de endereçamento. Se dois locais precisam estar conectados usando um provedor de serviços externo, eles podem considerar a possibilidade de usar um túnel de IP para impedir escapes de pacote da rede privada.

Uma maneira de evitar o vazamento de RRs DNS é executar dois servidores de nome, um servidor externo responsável por todos os endereços IP globalmente exclusivos da empresa e um servidor interno responsável por todos os endereços IP, tanto públicos quanto privados. Para garantir a consistência, ambos os servidores devem receber os mesmos dados, dos quais o servidor de nome externo usa apenas uma versão filtrada.

Os resolvedores de todos os hosts internos, tanto públicos como privados, questionam somente o servidor de nome interno. O servidor externo resolve consultas dos resolvedores externos e está vinculado ao DNS global. O servidor interno encaminha todas as consultas de informações fora da empresa para o servidor de nome externo, de modo que todos os hosts internos possam acessar o DNS global. Assim, as informações relacionadas aos hosts privativos não atingem os solucionadores externos e os servidores de nomes.

Considerações sobre segurança

Embora usar o espaço de endereço privado possa melhorar a segurança, ele não substitui medidas de segurança dedicadas.

Conclusão

Com esse esquema, muitas redes extensas precisam apenas de um bloco de endereços relativamente pequeno do espaço exclusivo de endereço IP mundialmente. A Internet se beneficia muito da conservação do espaço de endereço globalmente exclusivo e as redes se beneficiam do aumento da flexibilidade fornecida por um espaço de endereço privativo relativamente grande.

Informações Relacionadas

• Página de suporte aos protocolos de roteamento IP
• Página de Suporte do IP Routing
• Suporte Técnico e Documentação - Cisco Systems