Публичный и приватный IP-адрес: разница, которая действительно важна

У вашего устройства минимум два адреса, и только один выходит за пределы квартиры. Какой есть какой, почему 192.168.x.x стоит на каждом роутере и почему именно эта разница решает, что видят посторонние.

Коротко

• Приватный адрес идентифицирует устройство внутри вашей сети. Публичный идентифицирует всю вашу сеть для интернета.
• Приватные диапазоны зарезервированы и повторяются везде: 192.168.0.0/16, 10.0.0.0/8 и 172.16.0.0/12. У половины планеты есть устройство на 192.168.1.5.
• За пределы квартиры выходит только публичный, и именно его записывает каждый сайт.
• Роутер переводит между ними, поэтому десяток устройств делит один публичный адрес.
• Сайты видят только публичный. Исключение это WebRTC, который может отдать приватный изнутри браузера, и наш тест утечек проверяет именно это.

Почему их два

IPv4-адресов просто не хватает. Их около 4,3 миллиарда, что в начале восьмидесятых звучало как безграничность, а на практике закончилось давно.

Решением было перестать давать каждому устройству собственный публичный адрес. Вместо этого провайдер даёт один вашему роутеру, а роутер раздаёт приватные внутри. Ноутбук, телефон, телевизор и принтер получают что-то вроде 192.168.1.x, и все они выходят в интернет через один и тот же публичный адрес.

Механизм называется NAT, трансляция сетевых адресов. Роутер держит таблицу, какое внутреннее устройство что запрашивало, и правильно возвращает ответы.

Как различить с первого взгляда

Приватные диапазоны зарезервированы стандартом и никогда не маршрутизируются в публичном интернете:

• от 10.0.0.0 до 10.255.255.255
• от 172.16.0.0 до 172.31.255.255
• от 192.168.0.0 до 192.168.255.255

Если адрес начинается с 192.168. или 10., он внутренний и ничего не значит ни для кого за пределами вашей квартиры.

Всё остальное публичное: 203.0.113.42, 8.8.8.8 и тот адрес, который появляется, когда вы открываете нашу проверку.

Есть ещё один диапазон, который стоит узнавать: 127.0.0.1 всегда означает «это же самое устройство». Он никуда не идёт.

Какой видят сайты

Всегда публичный.

Когда вы открываете страницу, запрос выходит из роутера с публичным адресом. У сайта нет способа увидеть, что изначально запрос пришёл с 192.168.1.5, и нет причин этим интересоваться.

Именно поэтому «скрыть IP» всегда означает публичный. Приватный уже невидим, и не потому что защищён, а потому что бессмыслен за пределами вашей сети. Прямо сейчас на 192.168.1.5 сидят миллионы устройств.

Исключение, о котором стоит знать

Один механизм может отдать приватный адрес изнутри браузера: WebRTC, функция для звонков и демонстрации экрана прямо на странице. Чтобы соединить двух людей напрямую, ей нужны адреса обоих, и она может запросить их у браузера без того, чтобы страница спрашивала вас.

Сам по себе приватный адрес не чувствителен. Он становится полезен трекеру в сочетании с другими сигналами, и он может выдать, что вы за туннелем, когда публичный адрес говорит одно, а WebRTC другое.

Наш тест утечек проверяет WebRTC вместе с адресом и DNS-резолвером. Подробнее в статье об утечке WebRTC.

Что здесь меняет VPN

VPN подменяет публичный адрес, который видят сайты, адресом выходного сервера. Ваша внутренняя сеть не меняется: ноутбук так же 192.168.1.5, принтер там же, роутер делает ту же трансляцию.

Меняется шаг после роутера. Вместо того чтобы идти на сайт напрямую, трафик идёт зашифрованным на выходной сервер и выходит оттуда. Сайты видят сервер. Провайдер видит соединение с одной машиной и перестаёт видеть остальное.

Наши выходы работают только по IPv4, а профиль AmneziaWG заводит IPv6 в туннель и отбрасывает его там, вместо того чтобы дать ему утечь мимо. В VLESS-приложениях ту же роль выполняет режим TUN.

Частые вопросы

Почему адрес разный на разных сайтах, которые его показывают?

Так быть не должно, если только что-то не отправляет трафик разными путями: прокси в браузере, но не в системе, VPN с раздельным туннелированием или утечка IPv6, когда одни сайты видят один адрес, а другие другой.

Могут ли два человека иметь одинаковый публичный адрес?

Да, и это обычное дело. Мобильные операторы и часть провайдеров держат многих абонентов за одним публичным адресом через carrier-grade NAT. Это одна из причин, почему блокировка по адресу задевает невиновных.

Опасно ли показывать приватный адрес?

Сам по себе нет. Это зарезервированное пространство, которое повторяется везде. Он важен как один сигнал среди многих для отпечатка браузера и как намёк, что вы за туннелем.

Как узнать свой приватный адрес?

В Windows команда ipconfig, в macOS и Linux ifconfig или ip addr, в телефоне в деталях сети Wi-Fi. Публичный проще: просто откройте проверку.

Использует ли IPv6 приватные адреса?

Иначе. В IPv6 хватает пространства, чтобы дать публичный адрес каждому устройству, поэтому NAT часто не нужен. Именно поэтому утечка IPv6 хуже утечки IPv4: адрес может указывать на конкретное устройство, а не на всю квартиру.

Один публичный адрес, выбранный вами

Ключ вместо аккаунта, оба антицензурных профиля в каждом тарифе, DNS резолвится на выходной машине. Бесплатный тест на час, дальше от 1,99 $ в неделю.