IPs Privados (RFC 1918)

Os IPs Privados, definidos pela RFC 1918 ("Address Allocation for Private Internets", fevereiro de 1996), são faixas de endereços IP reservadas especificamente para uso em redes locais (intranets). Ao criar uma fronteira lógica entre a "Internet Pública" e a "Internet Privada", a RFC 1918 permite que organizações usem endereçamento IP internamente sem consumir nem interferir no espaço de endereçamento global.

O conceito de IPs Privados foi a solução de engenharia crítica que adiou o colapso do IPv4 em meados dos anos 1990, permitindo que redes domésticas, corporativas e de ISPs continuassem crescendo mesmo após o esgotamento iminente do espaço público.

1. Justificativa Histórica

O Cenário de 1996

No início da internet, o modelo de endereçamento (Classes A, B, C da RFC 790) pressupunha que cada organização receberia um bloco de endereços públicos globalmente únicos. Com o crescimento explosivo da internet entre 1990 e 1996 (a "explosão web"), tornou-se evidente que o espaço de endereçamento (~4 bilhões de IPs) era insuficiente para dar a cada dispositivo conectado um endereço oficial roteável.

A RFC 1918 propôs que partes do espaço de endereçamento fossem "devolvidas" para uso privado. Isso significa que:

1. Empresas e residências podem usar esses endereços livremente.
2. Não precisam pedir permissão ou registrar esses endereços com ninguém.
3. Os mesmos números podem ser usados simultaneamente por milhares de organizações diferentes sem conflito global.

Ano de Publicação e Contexto

2. As Três Faixas Reservadas

A RFC 1918 define três faixas específicas de endereços IP para uso privado. Embora essas faixas tenham surgido no modelo classful (A, B, C), hoje são tratadas como blocos CIDR com máscaras fixas, independentes das regras de classe originais.

A. Faixa Grande: 10.0.0.0/8 (Classe A Privada)

Exemplo de subdivisão: uma empresa pode fragmentar o 10/8 em 256 redes /16 (10.0.0.0/16 a 10.255.0.0/16), cada uma com 65.534 hosts utilizáveis.

B. Faixa Média: 172.16.0.0/12 (Classe B Privada)

A faixa cobre 16 blocos /16: 172.16.0.0/16, 172.17.0.0/16, ..., 172.31.0.0/16.

C. Faixa Pequena: 192.168.0.0/16 (Classe C Privada)

Padrão em roteadores domésticos (TP-Link, D-Link, Netgear): 192.168.0.1 ou 192.168.1.1 como gateway.

Tabela Resumida

3. Regras de Roteamento

A. Não Roteáveis na Internet Pública

Roteadores no backbone da internet (Tier-1 ISPs e núcleo) são configurados para descartar (drop) qualquer pacote cujo endereço de origem ou destino esteja em uma dessas faixas privadas.

• Motivo: se um roteador tentasse rotear um pacote com origem 192.168.1.5, ele não saberia para onde enviá-lo, pois milhões de redes diferentes usam esse mesmo endereço. Isso geraria ambiguidade catastrófica no BGP global.
• Filtro BCP 38 (RFC 2827):provedores também filtram tráfego de entrada com origem em faixas privadas (anti-spoofing).
• Isolamento: pacotes com origem/destino RFC 1918 jamais devem trafegar pela internet pública. São restritos ao "sítio" (site) local da organização.

B. Unicidade Local, Não Global

• Reutilização: o endereço 192.168.1.10 na rede da Empresa A e o mesmo 192.168.1.10 na rede da Empresa B representam dois computadores completamente diferentes.
• Conflito: é permitido e encorajado. O conflito é resolvido por isolamento físico ou por NAT na borda.

4. Conflitos em VPNs e Fusões Corporativas

Quando duas empresas com mesma faixa privada fazem uma VPN site-to-site ou se fundem, surge o problema clássico de endereçamento sobreposto (overlapping subnets).

Exemplo: Empresa A usa 192.168.1.0/24 e Empresa B também usa 192.168.1.0/24. Quando um host de A tenta acessar 192.168.1.10 em B, ele alcança o próprio host local — não o remoto.

Soluções

1. Renumbering: migrar uma das redes para outra faixa (custoso e disruptivo).
2. NAT em VPN (Policy NAT): traduzir endereços na borda da VPN para uma faixa neutra (ex: 10.250.0.0/24).
3. Planejamento prévio: adotar faixas privadas menos comuns (ex: 10.x.y.z com octetos intermediários atípicos) para reduzir chance de colisão em fusões.

5. A Necessidade de NAT na Borda

Como os IPs Privados não podem sair para a internet, qualquer rede privada que deseja conexão externa deve empregar NAT (Network Address Translation) no roteador de borda.

• O Intermediário: o roteador de borda (com IP público) atua como intermediário.
• Mecanismo: quando um dispositivo com IP 192.168.1.10 envia um pacote para a internet, o roteador substitui o IP de origem no cabeçalho pelo seu próprio IP público (e porta TCP/UDP via PAT).
• Resultado: para a internet, toda a rede privada aparece como um único IP. Isso permite conectar bilhões de dispositivos (todos usando RFC 1918) com apenas os ~3,7 bilhões de IPs públicos restantes.

6. Impacto na Segurança (Segurança por Obscuridade)

Dispositivos internos (servidores de arquivos, impressoras, computadores de funcionários) ficam escondidos atrás do IP público do NAT. Um atacante na internet não pode iniciar uma conexão direta para um IP 10.x.x.x ou 192.168.x.x, pois esses pacotes não são roteados até eles.

• Vantagem: o NAT funciona como um firewall de borda preventivo, reduzindo a superfície de ataque direto.
• Risco: a "obscuridade" não substitui firewalls reais — os ataques modernos entram via phishing, malwares, browser, e não via invasão direta de IP. Não confunda obscuridade com segurança real.
• Port Forwarding: para expor um serviço interno, o administrador precisa configurar explicitamente NAT estático (DNAT) na porta desejada.

7. Carrier-Grade NAT (CGN — RFC 6598)

Com o esgotamento do IPv4 nos RIRs, provedores residenciais recorreram ao Carrier-Grade NAT (CGN) para continuar atendendo novos clientes sem IPs públicos disponíveis.

A faixa 100.64.0.0/10 cobre 100.64.0.0 a 100.127.255.255 (4.194.304 endereços). Foi reservada especificamente para operadoras usarem internamente entre o modem do cliente e o gateway CGN da operadora, evitando colisão com RFC 1918 do cliente.

8. Exemplos Práticos de Configuração

Roteador residencial (TP-Link, Netgear)

LAN IP: 192.168.1.1/24
DHCP: 192.168.1.100 a 192.168.1.200
NAT: habilitado (PAT) - 1 IP público para toda a LAN

Roteador corporativo (Cisco IOS)

interface GigabitEthernet0/0
 description LAN interna
 ip address 10.10.10.1 255.255.255.0
 ip nat inside
!
interface GigabitEthernet0/1
 description WAN - Internet
 ip address 200.150.100.50 255.255.255.252
 ip nat outside
!
access-list 1 permit 10.10.10.0 0.0.0.255
ip nat inside source list 1 interface GigabitEthernet0/1 overload

Linux (iptables / nftables)

# Habilitar forward
sysctl -w net.ipv4.ip_forward=1

# NAT (masquerade) na interface externa
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

9. Vantagens da RFC 1918

• Conservação de endereços públicos: mecanismo primário que evitou o colapso do IPv4. Sem ele, teríamos esgotado os endereços décadas atrás.
• Facilidade de gestão: administradores projetam topologia interna (sub-redes, VLANs, prefixos) sem precisar de permissão de RIR ou ISP para mudar a estrutura.
• Segurança por obscuridade: dispositivos internos ficam escondidos atrás de um IP público.
• Custo zero: não há mensalidade ou aquisição de blocos públicos para a rede interna.

10. Transição para IPv6 como Solução Definitiva

A RFC 1918 é uma solução paliativa. A solução definitiva para a escassez de endereços é o IPv6, com seus $2^{128} \approx 3{,}4 \times 10^{38}$ endereços. Em IPv6, o equivalente aos privados RFC 1918 é o ULA (Unique Local Address, fc00::/7), definido pela RFC 4193, mas a recomendação geral é usar endereços Global Unicast públicos mesmo em redes internas, eliminando o NAT e restaurando o modelo fim-a-fim.

11. Conclusão

A RFC 1918 foi uma das decisões de engenharia mais impactantes da história da internet. Ao criar três faixas reservadas para uso privado, permitiu que bilhões de dispositivos coexistissem em uma internet com apenas ~4 bilhões de endereços públicos. As três faixas (10/8, 172.16/12, 192.168/16) são hoje a espinha dorsal de praticamente toda rede residencial e corporativa do mundo, sempre em combinação com NAT na borda. Compreender suas regras de roteamento, conflitos em VPNs, impacto em segurança e a transição para IPv6/ULA é essencial para qualquer engenheiro de redes projetar, configurar e diagnosticar ambientes IP modernos.