Détecteur IPv4 privée/publique

Le detecteur IPv4 privee/publique classe toute adresse IPv4 comme privee (RFC 1918), publique (routable globalement) ou appartenant a une plage reservee a usage special. Saisissez une adresse comme 10.0.5.23 ou 203.0.113.50 pour voir instantanement sa categorie IANA, la RFC specifique qui la definit et si elle devrait apparaitre sur l'Internet public.

Comprendre les adresses IP privees et publiques

Chaque adresse IPv4 appartient a l'une de deux grandes categories : soit elle est routable publiquement sur Internet, soit elle est reservee a un usage specifique qui l'empeche d'etre utilisee dans la table de routage globale. Cette distinction est fondamentale dans le fonctionnement des reseaux modernes. Votre ordinateur portable a la maison a une adresse privee comme 192.168.1.5 qui n'existe que dans votre reseau local, tandis que le serveur web auquel vous vous connectez a une adresse publique comme 93.184.216.34 accessible de n'importe ou sur Internet. Une passerelle NAT traduit entre ces deux mondes.

La raison pour laquelle les plages d'adresses privees existent est simple : il n'y a pas assez d'adresses IPv4 pour que chaque appareil sur terre ait une adresse publique unique. La RFC 1918, publiee en 1996, a reserve trois blocs d'adresses -- 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16 -- pour l'utilisation au sein des reseaux prives. Ces adresses peuvent etre reutilisees par n'importe quelle organisation sans coordination, car les routeurs sur l'Internet public sont configures pour supprimer les paquets ayant ces adresses en source ou destination. Ainsi, des millions de reseaux domestiques peuvent tous utiliser 192.168.1.0/24 sans conflit.

Savoir si une adresse est privee ou publique est important pour la securite, le depannage et la planification d'infrastructure. Un pare-feu qui laisse accidentellement passer du trafic d'une plage source privee vers la peripherie Internet est mal configure. Un enregistrement DNS qui se resout vers une adresse privee lorsqu'il est consulte depuis l'exterieur revele la topologie interne. Une adresse CGNAT (100.64.0.0/10) dans vos logs signifie que votre FAI effectue de la traduction d'adresses en amont de votre connexion. Ce detecteur vous indique exactement a quelle categorie appartient chaque adresse, afin que vous puissiez prendre des decisions eclairees sur la maniere de la traiter.

Comment verifier si une adresse IPv4 est privee ou publique

1. Saisissez une adresse IPv4 quelconque (par ex. 10.0.5.23 ou 203.0.113.50)
2. L'outil classe instantanement l'adresse dans sa categorie designee par l'IANA
3. Consultez le resultat de la classification : privee, publique, loopback, link-local, multicast ou autre plage a usage special
4. Visualisez la RFC ou le standard specifique qui definit la plage d'adresses

Exemples de classification d'adresses IPv4

Pourquoi utiliser le detecteur IPv4 privee/publique

• Audit des regles de pare-feu -- verifier que les adresses privees ne sont pas autorisees a traverser les pare-feu peripheriques ou seules les adresses publiques devraient passer
• Validation de la configuration NAT -- confirmer que les adresses sources derriere les passerelles NAT appartiennent bien aux plages privees RFC 1918
• Analyse des journaux de securite -- identifier si les adresses IP dans les alertes de securite correspondent a des menaces internes (privees) ou externes (publiques)
• Prevention des fuites d'adresses -- detecter les adresses privees apparaissant dans les enregistrements DNS publics, les en-tetes HTTP ou les reponses API, ce qui expose la topologie interne du reseau
• Revue d'infrastructure cloud -- verifier que les sous-reseaux VPC et les reseaux virtuels utilisent les plages privees appropriees
• Identification du CGNAT -- detecter les adresses 100.64.0.0/10 qui indiquent un NAT de niveau operateur, pouvant affecter la connectivite pair-a-pair et la geolocalisation

Fonctionnement des plages d'adresses IPv4 privees et publiques

L'Internet Assigned Numbers Authority (IANA) reserve des plages IPv4 specifiques pour des usages designes. Toutes les autres adresses sont considerees comme globalement routables (publiques) et peuvent etre attribuees a des services exposes sur Internet.

Plages d'adresses privees RFC 1918

Trois blocs d'adresses sont reserves aux reseaux prives et ne doivent jamais apparaitre sur l'Internet public :

Autres plages a usage special

Au-dela de la RFC 1918, l'IANA maintient le registre d'adresses a usage special avec des blocs reserves supplementaires :

• 127.0.0.0/8 -- Adresses loopback pour le trafic local uniquement ; 127.0.0.1 est l'adresse loopback standard
• 169.254.0.0/16 -- Adresses link-local attribuees automatiquement lorsque le DHCP est indisponible (APIPA)
• 100.64.0.0/10 -- Espace d'adressage partage pour le NAT de niveau operateur (CGNAT) entre l'equipement du FAI et celui du client
• 192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24 -- Plages de documentation (TEST-NET-1, -2, -3) destinees aux exemples et a la documentation
• 224.0.0.0/4 -- Adresses multicast pour la communication de groupe
• 240.0.0.0/4 -- Reservees pour usage futur (historiquement "Classe E")

La frontiere du 172.16.0.0/12

Une erreur frequente consiste a supposer que toute la plage 172.x.x.x est privee. Seule la plage 172.16.0.0 a 172.31.255.255 est privee. Une adresse comme 172.32.0.1 est publique. La representation binaire le montre clairement : la plage privee couvre les adresses ou les quatre bits de poids fort du deuxieme octet sont 0001 (16-31).

Conseils pratiques pour la classification d'adresses

L'erreur la plus lourde de consequences impliquant des adresses privees et publiques est la fuite d'informations. Lorsqu'une adresse privee apparait dans un contexte accessible publiquement -- une reponse d'API, un enregistrement DNS, un en-tete HTTP, une page d'erreur -- elle revele a un attaquant quelque chose sur la structure de votre reseau interne. L'en-tete X-Forwarded-For est un coupable frequent : si votre proxy inverse insere des adresses privees dans cet en-tete avant de transmettre les requetes en amont, ces adresses peuvent se retrouver dans les logs, les plateformes d'analyse ou les services tiers ou elles revelent votre topologie interne. Auditez toujours ce que votre infrastructure de peripherie expose.

Un autre domaine ou la classification est importante est la mise en reseau cloud. AWS, Azure et GCP utilisent tous des plages RFC 1918 pour leurs VPC, mais les plages specifiques varient selon le fournisseur et la configuration. Lorsque vous appairez des VPC ou vous connectez a l'infrastructure sur site via VPN, les plages privees qui se chevauchent causent des conflits de routage. Savoir exactement quelles adresses sont privees et quelles sous-plages vous avez deja attribuees vous aide a eviter les collisions. La plage 172.16.0.0/12 est particulierement source d'erreurs car ses frontieres ne sont pas intuitives en decimal -- beaucoup d'ingenieurs oublient que 172.32.0.1 est publique.

Les adresses CGNAT (100.64.0.0/10) meritent une attention particuliere car elles se comportent comme des adresses privees de votre point de vue mais sont gerees par votre FAI. Si vous voyez des adresses 100.64.x.x dans vos logs, cela signifie que votre FAI utilise le NAT de niveau operateur entre son infrastructure et votre connexion. Cela peut affecter les services qui dependent de la connaissance de l'IP publique reelle du client, la precision de la geolocalisation et les protocoles pair-a-pair. Contrairement aux adresses RFC 1918, les adresses CGNAT ne doivent pas etre utilisees au sein de votre propre reseau -- elles sont reservees exclusivement au lien FAI-client.

Questions frequentes

172.32.0.1 est-elle une adresse privee ?

Non. La plage privee RFC 1918 dans le bloc 172 est 172.16.0.0/12, couvrant uniquement 172.16.0.0 a 172.31.255.255. L'adresse 172.32.0.1 est routable publiquement. C'est une source frequente d'erreurs de configuration.

Quelle est la difference entre les adresses privees et les adresses CGNAT ?

Les adresses privees (RFC 1918) sont destinees a etre utilisees au sein des propres reseaux d'une organisation. Les adresses CGNAT (100.64.0.0/10, RFC 6598) sont specifiquement reservees a l'espace d'adressage partage entre le dispositif NAT d'un FAI et l'equipement du client. Les deux sont non routables sur l'Internet public, mais les adresses CGNAT ne doivent etre utilisees que par les fournisseurs de services.

Les adresses IP privees peuvent-elles apparaitre dans les DNS ou les en-tetes HTTP ?

Elles ne devraient pas apparaitre dans les systemes exposes au public. Les adresses privees dans les enregistrements DNS, les en-tetes X-Forwarded-For ou les reponses API divulguent la topologie reseau interne, ce qui constitue un risque de securite. Ce detecteur aide a identifier ces adresses afin de corriger l'exposition.

Que se passe-t-il si je route accidentellement des adresses privees sur Internet ?

Les routeurs du backbone Internet sont configures pour supprimer les paquets avec des adresses source ou destination RFC 1918 (c'est ce qu'on appelle le filtrage bogon). Votre trafic sera silencieusement supprime. Cependant, la tentative elle-meme peut indiquer un NAT mal configure, une route par defaut manquante ou une regle de pare-feu qui n'a pas traduit les adresses avant d'envoyer le trafic en amont.

Quelle plage privee dois-je utiliser pour mon reseau ?

Pour la plupart des organisations, 10.0.0.0/8 offre le plus d'espace pour une planification hierarchique de sous-reseaux -- plus de 16 millions d'adresses. Utilisez-la pour les deploiements d'entreprise ou multi-sites. La plage 192.168.0.0/16 est courante pour les reseaux domestiques et de petits bureaux. La plage 172.16.0.0/12 est populaire pour les reseaux de conteneurs (Docker utilise 172.17.0.0/16 par defaut) et les espaces d'adressage secondaires.

En quoi les plages de documentation different-elles des plages privees ?

Les plages de documentation (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24) sont reservees exclusivement aux exemples, a la documentation et aux supports pedagogiques. Contrairement aux plages privees, elles ne sont pas du tout destinees a etre utilisees en production -- elles existent pour que les redacteurs techniques puissent inclure des adresses IP dans les manuels et tutoriels sans risque de referencer une infrastructure reelle.

Outils associes

• Detecteur IPv6 Unique Local/Link-Local - Detecter la portee et le type d'une adresse IPv6
• Validateur IPv4 - Valider les adresses IPv4 au format strict en notation decimale pointee
• Detecteur de famille d'adresses - Detecter si une adresse est IPv4, IPv6 ou invalide
• Extracteur d'IP depuis du texte - Extraire les adresses IP depuis des journaux ou du texte
• Convertisseur IPv4 vers binaire - Convertir les adresses IPv4 vers/depuis la notation binaire
• Calculateur de sous-reseaux IPv4 - Calculer les details de sous-reseau a partir de tout bloc CIDR IPv4