Direcciones IP públicas frente a privadas

Dos clases de dirección, un solo protocolo

Todas las direcciones IP se parecen: cuatro números separados por puntos, o los grupos hexadecimales de IPv6. Pero el espacio de direcciones está dividido, y una parte está reservada para redes que nunca aparecen en la internet pública. Esa reserva es lo que hace posible que millones de hogares usen 192.168.1.1 a la vez sin que nada choque.

Una dirección pública es única en todo el mundo. La asigna un registro regional a un operador de red, que la asigna a un cliente, y cualquier router de internet sabe cómo llegar a ella. Es la dirección que ve un sitio web cuando la visitas.

Una dirección privada solo tiene sentido dentro de una red. Los routers de internet están configurados explícitamente para descartar el tráfico dirigido a ella, así que dos redes pueden usar el mismo rango sin ambigüedad. Es lo que permite que el direccionamiento doméstico funcione sin coordinación global.

Los rangos reservados

Por qué una herramienta de consulta rechaza una dirección privada

No es una limitación arbitraria. Una dirección privada no identifica una red concreta en el mundo, así que no hay ninguna respuesta correcta que dar: 192.168.1.1 es simultáneamente el router de millones de personas. Una base de datos de geolocalización no puede situarla, un WHOIS no tiene registro de ella y una consulta inversa no tiene zona pública que consultar.

Hay además una razón de seguridad. Un servidor que aceptara conectarse a cualquier dirección que le den podría usarse para sondear la red interna de quien lo aloja: comprobar qué direcciones responden, qué puertos están abiertos, si existe un servicio de metadatos en la nube. Rechazar las direcciones privadas y reservadas en la entrada convierte toda esa clase de abuso en imposible en lugar de en poco probable.

La traducción de direcciones une ambos mundos

Tu router mantiene una tabla que asocia cada conversación interna con un puerto de su única dirección pública. Al salir un paquete, reescribe la dirección de origen; al volver la respuesta, consulta la tabla y la reenvía al dispositivo correcto. Desde fuera, toda la casa es una sola dirección.

Eso funciona perfectamente para el tráfico que tú inicias y nada bien para el que inicia otro. Una conexión entrante llega a tu router sin ninguna entrada en la tabla que le diga a dónde ir, así que se descarta, salvo que hayas creado una redirección de puertos explícita. Es la razón por la que alojar un servidor en casa requiere configuración y por la que un comprobador de puertos informa de un puerto cerrado o filtrado hasta que la creas.

CGNAT: el mismo truco, un nivel más arriba

Cuando un operador se queda sin direcciones IPv4, pone a muchos clientes detrás de una sola. Tu router recibe entonces una dirección de 100.64.0.0/10 —privada a efectos prácticos— y la traducción ocurre dos veces. La consecuencia es que la redirección de puertos deja de funcionar por completo: no controlas el equipo donde ocurre la segunda traducción.

Cómo saber cuál tienes

Mira la dirección que informa tu dispositivo y compárala con la que informa un sitio de consulta. Si coinciden, tu dispositivo tiene una dirección pública directamente. Si difieren, hay traducción de por medio, y el rango en el que cae la dirección local te dice de qué tipo.

Una dirección que empiece por 169.254 merece atención aparte: no es una asignación sino la señal de una petición DHCP fallida, y significa que el dispositivo no está hablando con tu router.