Privaatne võrk on tavaliselt võrk, mis kasutab privaatset IP-aadressiruumi vastavalt RFC 1918 standardile. Selliseid aadresse eraldatakse arvutitele ja seadmetele, kui need peavad omavahel suhtlema vaid lokaalses võrgus ehk intranetis — näiteks kontori- või koduvõrgus. Seejärel neid aadresse ei avalikustata Internetis. Sisemise võrgu seadmete vahelise suhtluse kirjeldamisel kasutatakse tihti ka terminit Interneti-protokolli-põhine intranet.

RFC 1918 — millised vahemikud on privaatseks mõeldud?

  • 10.0.0.0/8 (10.0.0.0 – 10.255.255.255)
  • 172.16.0.0/12 (172.16.0.0 – 172.31.255.255)
  • 192.168.0.0/16 (192.168.0.0 – 192.168.255.255)

Need aadressivahemikud on määratud IPv4 jaoks privaatseks kasutamiseks — neid ei rekisterdata avalikult ja neid ei tohi Interneti-tasandil ilma aadressitõlgeta (NAT) edastada.

Miks kasutatakse privaatseid aadresse?

Privaatvõrgud on väga levinud kodu- ja kontorilokaalvõrkude (LAN) kujundamisel, sest enamik organisatsioone ei vaja iga arvuti, printeri või muu seadme jaoks avalikult unikaalset IP-aadresse. IPv4 avalikud aadressid on piiratud ning seetõttu loodi privaatse aadressiruumi võimalus. Üks põhjusi, miks loodi IPv6, ongi see IPv4 piirang ületada, kuid IPv6 ei ole veel kõikjal täielikult kasutusel.

Võrgu isolatsioon ja Interneti-ruuterid

Interneti-tasandi marsruuterid (avalikud ruuterid) on tavaliselt konfigureeritud nii, et nad heidavad kõrvale paketid, mille päises olevad saatja- või vastuvõtjaaadressid kuuluvad RFC1918 privaatsetesse vahemikesse. See takistab otsest ühenduse loomist Interneti kaudu privaataadressi kasutava siseseadmega ning võimaldab eri organisatsioonidel sama privaatset aadressiruumi uuesti kasutada, ilma et tekiks globaalset aadressikonflikti.

NAT, proxy ja vahendavad väravad

Kui privaatvõrgust peab mõni seade suhtlema Interneti või mõne teise võrgu avatud aadressiga, siis kasutatakse tavaliselt vahendavat seadet ehk väravat, mis esitab välisvõrgule avaliku aadressi. See värav on tavaliselt:

  • ruuter, mis teeb aadressitõlget (NAT/PAT) — muutab sisemised privaataadressid ühele või mitmele avalikule aadressile;
    • või> proxy-server, mis vahendab rakenduskihtset liiklust.

Interneti-marsruuterid ei edasta vaikimisi RFC 1918-aadressidega pakette; vastupidiselt siseruuterid võivad neid vahemikke omavahel edasi saata ilma lisakonfiguratsioonita.

Oluline on märkida, et kuigi NAT sageli vähendab otseste ründepindade hulka, ei asenda see korralikku tulemüüri ega muid turvameetmeid — NAT ei ole ise täieõiguslik turvalahendus.

Probleemid võrguühenduse korral sama privaatse vahemikuga

Kui kaks võrku, mida soovitakse omavahel ühendada, kasutavad samu privaatseid aadressiruume (näiteks mõlemad 192.168.1.0/24), tekivad aadressikonfliktid ja marsruutimisprobleemid. Levinud situatsioonid ja lahendused:

  • VPN ühendus kahe ettevõtte vahel — parim tava on enne ühenduse loomist tagada, et aadressivahemikud ei kattu; alternatiivina võib kasutada aadressitõlget VPN-i otsas (NAT over VPN), kuid see teeb seadistuse keerulisemaks.
  • 1:1 NAT või aadressi-mapping — ühe võrgu IP-aadresse muudetakse ajutiselt, et vältida kattumist; töötleb tavaliselt piiratud hulk aadresse.
  • võrgu ümbernumeratsioon — parim ja puhtaim lahendus, kuid võib nõuda suurt tööd (muuta seadete DHCP, staatilised aadressid, DNS jms).
  • kasutada eraldatud aadressiruumi või carrier-grade NAT (CGN, RFC 6598 — 100.64.0.0/10), kui teenusepakkuja rakendab jagatud NAT-i; see ei lahenda kliendi-omavahelisi konflikte, kuid on oluline avaliku aadressi nappuse tingimustes.

Tehnilised takistused võivad hõlmata ka NAT-i spetsiifilisi probleeme nagu hairpin NAT (siseruudust väljapoole ja tagasi), NAT-i läbimise küsimusi reaalajas rakenduste ja P2P puhul ning vajadust täiendavate teenuste nagu STUN/TURN/UPnP järele.

Muud eraldatud aadressiruumid ja IPv6

Lisaks RFC1918 IPv4-vahemikele on olemas ka teisi reserveeritud ruume, näiteks aadressid, mis on mõeldud teenusepakkujatele (CGN) või link-lokaalseks kasutamiseks (169.254.0.0/16). IPv6-l on oma vasted:

  • IPv6 ainuisikuline sisemine ruum ehk ULA: fc00::/7 — sarnane RFC1918 ideele, kuid IPv6-s püsivaks sisemiseks kasutamiseks;
  • IPv6 avalik aadressiruum annab väga suure hulga aadresse, vähendades vajadust NAT-i järele, kuid selle laialdane kasutuselevõtt võtab aega ja paljud võrgud on endiselt IPv4-põhised.

Sisuvõrgu haldus: DHCP, DNS ja dokumentatsioon

Privaatses võrgus on tavaliselt sisse lülitatud DHCP, mis jagab seadmetele automaatselt privaatseid aadresse, ning sisemine DNS, mis aitab lokalsete nimede haldamisel. Hea tava on:

  • dokumenteerida aadressiplaan ja alamvõrgud;
  • koondada ja hallata DHCP ning DNS tsentraalselt;
  • hoida sisemised teenused nähtavad ainult sisemisele võrgule ja rakendada tulemüüre ning juurdepääsukontrolle.

Parimad praktikad

  • kasuta mitte-kattuvaid privaatseid vahemikke erinevate kohtade ja alamvõrkude jaoks;
  • planeeri aadressiplaan ette ja dokumenteeri muutused;
  • kui võimalik, eelistada IPv6 kasutuselevõttu pikaajaliseks lahenduseks;
  • ärge usaldage NAT-i ainsaks turvameetmeks — rakenda tulemüürid, viiruskaitse ja juurdepääsukontroll.

Kokkuvõttes annavad privaatvõrgud (RFC1918) lihtsa ja majandusliku viisi lokaalse aadressiruumi haldamiseks, kuid nende kombinatsioon Interneti-ühenduse ja teiste võrkudega nõuab hoolikat planeerimist, õiget kasutust NAT-/proxy-mehhanismide ja vajaduse korral aadresside ümbernumberdamise või VPN-ide abil.