Private IP-Adresse

Kernidee und Nutzen

Private IP-Adressen sind IP-Adressen, die von der IANA nicht im Internet vergeben werden. Sie sind aus dem öffentlichen Adressraum für private Nutzung ausgespart und können ohne vorherige Registrierung in lokalen Netzen verwendet werden. Dadurch entfällt der administrative Aufwand einer IP-Adresszuteilung durch eine Local Internet Registry.

Wichtig sind private IP-Adressen vor allem bei IPv4, weil sie öffentliche IPv4-Adressen einsparen. Dieselben privaten Adressbereiche dürfen in vielen voneinander getrennten Netzen gleichzeitig benutzt werden. Beim Zugriff auf das Internet können mehrere private IP-Adressen eines lokalen Netzes durch Port Address Translation auf eine einzelne öffentliche IP-Adresse abgebildet werden.

Wie private Netze funktionieren

Viele Rechnernetze brauchen innerhalb des eigenen Netzes vollständige Verbindungsmöglichkeiten auf IP-Ebene, aber nur eingeschränkten Zugang zum Internet. Erhalten die Geräte private IP-Adressen, entsteht ein Intranet. Aus dem Internet kann darauf nicht direkt zugegriffen werden, weil Internet-Router die privaten Adressbereiche ignorieren.

Ein Gateway oder Router kann trotzdem Internetzugang herstellen, wenn er im privaten Netz eine private IP-Adresse und zugleich im Internet eine öffentliche Adresse besitzt. Der Zugang kann über einen Proxy oder über NAT, PAT beziehungsweise Masquerading erfolgen. NAT bedeutet, dass Adressen beim Übergang zwischen Netzen umgesetzt werden; PAT setzt zusätzlich Portnummern ein, damit mehrere Geräte eine öffentliche Adresse gemeinsam nutzen können.

Private IP-Adressen sind außerhalb des eigenen Netzes nicht sichtbar. Dadurch werden lokale IP-Adressen nach außen verschleiert, Internetzugriffe aus dem lokalen Netz in gewissem Maß anonymisiert und Zugriffe von außen auf lokale Rechner zunächst verhindert. Das bietet ein gewisses Maß an Sicherheit.

Private IP-Adressen sind im Internet nicht eindeutig. Deshalb ist kein Routing von einem Internet-Teilnehmer zu einem anderen über solche Adressen möglich. Die Aussage, private IP-Adressen seien grundsätzlich nicht routbar, ist aber falsch: Sie werden innerhalb eines Teilnehmernetzes geroutet, zum Beispiel in einem lokalen Netz oder in Tunnelnetzen eines Providers.

Ein Konfigurationsfehler liegt meist vor, wenn ein Administrator in einem privaten Netz eine Adresse aus dem öffentlichen Adressbereich vergibt. Dann kann ein echter Internet-Rechner mit derselben öffentlichen Adresse aus diesem lokalen Netz nicht mehr erreicht werden, weil lokal immer der Rechner mit gleicher Adresse angesprochen wird.

Private IPv4-Adressbereiche

Die IANA legte drei private IPv4-Adressbereiche fest. Sie wurden 1994 in RFC 1597 dokumentiert und 1996 bei der Ablösung durch den weiterhin gültigen RFC 1918 beibehalten. Jeder der drei Bereiche liegt in einer anderen Klasse des historischen Netzklassen-Konzepts.

Die drei privaten Bereiche sind:

• 10.0.0.0 bis 10.255.255.255, CIDR 10.0.0.0/8 beziehungsweise 10/8, mit 2^24 = 16.777.216 Adressen. Historisch entspricht das einem privaten Klasse-A-Netz.
• 172.16.0.0 bis 172.31.255.255, CIDR 172.16.0.0/12 beziehungsweise 172.16/12, mit 2^20 = 1.048.576 Adressen. Historisch entspricht das 16 privaten Klasse-B-Netzen mit jeweils 65.536 Adressen.
• 192.168.0.0 bis 192.168.255.255, CIDR 192.168.0.0/16 beziehungsweise 192.168/16, mit 2^16 = 65.536 Adressen. Historisch entspricht das 256 privaten Klasse-C-Netzen mit jeweils 256 Adressen.

Durch Subnetting kann auch nur ein Teil eines privaten Bereichs verwendet werden. Beim 32-Bit-Adressraum von IPv4 werden dafür variabel viele führende Bits für die Subnetzkennung reserviert. Werden zum Beispiel 8 Bits reserviert, bleiben 24 Bits für die Identifikation der Endgeräte übrig.

Weitere besondere Bereiche

Neben den privaten Bereichen nach RFC 1918 gibt es weitere Adressbereiche mit Sonderrollen.

Der Bereich 100.64.0.0 bis 100.127.255.255, CIDR 100.64.0.0/10 beziehungsweise 100.64/10, wurde wegen Adressmangels und zunehmender Konflikte in den privaten Bereichen zur mehrfachen Verwendung freigegeben. Er ist in RFC 6598 beschrieben und speziell für Internetdienstanbieter vorgesehen, die Carrier-grade NAT, kurz CGNAT, einsetzen. Er umfasst 2^22 = 4.194.304 Adressen.

Der Bereich 169.254.0.0 bis 169.254.255.255, CIDR 169.254.0.0/16 beziehungsweise 169.254/16, ist gemäß RFC 5735 als Link Local ausgezeichnet. Link Local bedeutet, dass die Adresse für die direkte lokale Verbindung gedacht ist. Über Zeroconf beziehungsweise Automatic Private IP Addressing, kurz APIPA, können Endgeräte automatisch eine Adresse aus diesem Bereich verwenden. Der Bereich umfasst 2^16 = 65.536 Adressen und entspricht historisch einem Klasse-B-Netz.

Konflikte und IPv6

Private Adressbereiche können Probleme verursachen, wenn Netzwerke über ein VPN miteinander gekoppelt werden. VPN bedeutet, dass getrennte Netze über eine geschützte Verbindung verbunden werden. Verwenden beide Standorte dieselben privaten Netze, entsteht ein Adresskonflikt. Nur wenn die auf beiden Seiten vergebenen Adressen verschieden sind, tritt kein Konflikt auf.

Solche Konflikte lassen sich vorbeugen, indem private Adressbereiche eines Firmennetzes auch bei zunächst unverbundenen Netzen durchdacht und sinnvoll aufgeteilt werden. Alternativ kann Source-NAT verwendet werden, um den Konflikt zwischen den Netzwerken zu lösen.

Bei IPv6 heißt das entsprechende Konzept Unique Local Addresses. Weil IPv6 einen größeren Adressraum besitzt, werden dort 40 Bit der Netzadresse als zufällig gewählter Identifikator genutzt. Dieser Identifikator soll die Wahrscheinlichkeit erhöhen, dass ein privates Netz einmalig ist, und dadurch Adresskonflikte beim Zusammenschluss privater Netze vermindern.