プライベートIPアドレスとは？

プライベートIPアドレスの意味

インターネット上で一意性を保証されず、組織内で自由に使える予約されたアドレス空間。IPv4では10.0.0.0/8、172.16.0.0/12、192.168.0.0/16の3ブロックが該当する。外部と通信する際はアドレス変換が必要になる点が試験で問われる。

プライベートIPアドレスの具体例

拠点が多い企業では10.0.0.0/8を第2オクテットで拠点、第3オクテットで用途に割り当てると経路集約しやすい。逆に各拠点が独立に192.168.1.0/24を使っていると、拠点間VPNでつないだ瞬間に重複が起き、二重のアドレス変換で回避する羽目になる。

プライベートIPアドレスは試験でどう引っ掛けられる？

プライベートアドレスだから外部から攻撃されない、というのは誤り。変換装置の設定ミスや、内部に踏み込まれた後の横展開では普通に到達される。アドレスの種別は経路制御上の話であり、防御はファイアウォールとセグメント分割で行う。

プライベートIPアドレスと関連する用語

• NAT・NAPT（アドレス変換）
• 経路集約
• CIDR

プライベートIPアドレスが出た過去問

• TCP, UDPのポート番号を識別し、プライベートIPアドレスとグローバルIPアドレスとの対応関係を管理することによって、プライベートIPアドレスを使用するLA…

  正解：NAPT

  要点：NAPTはポート番号も変換して1つのIPを複数端末で共有する

  NAPT（Network Address Port Translation、IPマスカレードとも呼ばれる）は、IPアドレスの変換に加えてTCPやUDPのポート番号も付け替えることで、内部の複数端末を1つのグローバルアドレスに対応付ける仕組みです。変換表にポート番号との組合せを記録するため、戻ってきたパケットを正しい内部端末へ振り分けられます。アドレスだけを1対1で変換するNATとの違いがここにあります。

  出典：平成28年度 秋期 応用情報技術者試験 午前 問34（IPA）

• インターネットへの接続において，ファイアウォールでNAPT機能を利用することによるセキュリティ上の効果はどれか。

  正解：インターネットにアクセスする組織内の利用者PCについて，外部からの不正アクセスを困難にすることができる。

  要点：NAPTは外部から内部端末を名指しした通信を成立させにくくする

  NAPTは内部の複数端末のプライベートIPアドレスとポート番号を、1つのグローバルIPアドレスの異なるポートに対応づける。この対応表は内部から外部への通信をきっかけに作られるため、外部から内部の端末を名指しして通信を始めることができず、不正アクセスが困難になる。

  出典：平成29年度 春期 応用情報技術者試験 午前 問36（IPA）

• プライベートIPアドレスを割り当てられたPCがNAPT(IPマスカレード)機能をもつルータを経由して、インターネット上のWebサーバにアクセスしている。Webサ…

  正解：宛先IPアドレス、宛先ポート番号が書き換えられる

  要点：NAPTの戻りパケットでは宛先IPアドレスと宛先ポート番号が変換される

  NAPTは行きのパケットでPCの私的IPアドレスと送信元ポート番号をルータのグローバルアドレスと変換後ポート番号に置き換える。戻りのパケットはそのグローバルアドレスと変換後ポート番号が宛先になっているので、ルータは対応表を引いて宛先IPアドレスを元の私的アドレスへ、宛先ポート番号を元の番号へ書き換える。

  出典：令和1年度 春期 応用情報技術者試験 午前 問31（IPA）

• TCP, UDPのポート番号を識別し、プライベートIPアドレスとグローバルIPアドレスとの対応関係を管理することによって、プライベートIPアドレスを使用するLA…

  正解：NAPT

  要点：NAPTはポート番号併用でグローバルIPを複数端末で共有

  NAPT（IPマスカレード）は、プライベートIPアドレスとポート番号の組を、グローバルIPアドレスと別のポート番号の組に変換して対応表で管理する。ポート番号で通信を識別するため、1つのグローバルIPアドレスを複数の端末で同時に共有できる。

  出典：令和2年度 10月 応用情報技術者試験 午前 問34（IPA）

• プライベートIPアドレスを割り当てられたPCがNAPT（IPマスカレード）機能をもつルータを経由して、インターネット上のWebサーバにアクセスしている。Webサ…

  正解：宛先IPアドレス○、送信元IPアドレスなし、宛先ポート番号○、送信元ポート番号なし

  要点：NAPTの応答パケットは宛先IPと宛先ポートを書き換える

  NAPTは、内部の複数端末の送信元IPアドレスとポート番号を、ルータのグローバルIPアドレスと変換用ポート番号に置き換える。Webサーバから戻ってくる応答パケットでは、そのグローバルIPアドレスとポート番号が宛先側に入っているので、ルータはこれを元のプライベートIPアドレスと元のポート番号へ戻す。したがって書き換えられるのは宛先IPアドレスと宛先ポート番号である。

  出典：令和5年度 秋期 応用情報技術者試験 午前 問32（IPA）