RFC1918：Address Allocation for Private Internets，F(xiàn)ebruary 1996
本文檔為 Internet 社區(qū)指定了 Internet 最佳當(dāng)前實(shí)踐，并請(qǐng)求討論和改進(jìn)建議。本備忘錄的分發(fā)不受限制。
就本文檔而言，企業(yè)是使用 TCP/IP 自主操作網(wǎng)絡(luò)的實(shí)體，特別是確定該網(wǎng)絡(luò)內(nèi)的尋址計(jì)劃和地址分配。
本文檔描述了私有互聯(lián)網(wǎng)的地址分配。該分配允許企業(yè)內(nèi)部所有主機(jī)之間以及不同企業(yè)的所有公共主機(jī)之間的完全網(wǎng)絡(luò)層連接。使用私有互聯(lián)網(wǎng)地址空間的成本是在公共和私有之間重新編號(hào)主機(jī)和網(wǎng)絡(luò)的潛在代價(jià)高昂的工作。
隨著 TCP/IP 技術(shù)在全球范圍內(nèi)的擴(kuò)散，包括在 Internet 本身之外，越來(lái)越多的非連接企業(yè)使用該技術(shù)及其尋址能力進(jìn)行企業(yè)內(nèi)部通信，而無(wú)意直接連接到其他企業(yè)或互聯(lián)網(wǎng)本身。
互聯(lián)網(wǎng)的發(fā)展超出了任何人的預(yù)期。持續(xù)的指數(shù)增長(zhǎng)繼續(xù)帶來(lái)新的挑戰(zhàn)。一個(gè)挑戰(zhàn)是社區(qū)內(nèi)擔(dān)心全球唯一的地址空間將被耗盡。另一個(gè)更緊迫的問(wèn)題是路由開(kāi)銷(xiāo)的數(shù)量將超出 Internet 服務(wù)提供商的能力。社區(qū)內(nèi)正在努力尋找這兩個(gè)問(wèn)題的長(zhǎng)期解決方案。同時(shí)有必要重新審視地址分配程序，以及它們對(duì)互聯(lián)網(wǎng)路由系統(tǒng)的影響。
為了控制路由開(kāi)銷(xiāo)的增長(zhǎng)，Internet 提供商從地址注冊(cè)表中獲取一個(gè)地址空間塊，然后根據(jù)每個(gè)客戶(hù)的要求從該塊中將地址分配給其客戶(hù)。這個(gè)過(guò)程的結(jié)果是，到許多客戶(hù)的路由將被聚合在一起，并且將作為單一路由 [RFC1518]、[RFC1519] 出現(xiàn)在其他供應(yīng)商面前。為了使路由聚合有效，Internet 提供商鼓勵(lì)客戶(hù)加入他們的網(wǎng)絡(luò)以使用提供商的塊，從而對(duì)他們的計(jì)算機(jī)重新編號(hào)。這種鼓勵(lì)可能會(huì)成為未來(lái)的要求。
考慮到當(dāng)前 Internet 的規(guī)模及其增長(zhǎng)速度，假設(shè)通過(guò)從 Internet 注冊(cè)中心獲取全球唯一 IP 地址，一旦該組織建立連接，獲得此類(lèi)地址的組織將具有 Internet 范圍的 IP 連接到互聯(lián)網(wǎng)已不再現(xiàn)實(shí)。相反，當(dāng)組織連接到 Internet 以實(shí)現(xiàn) Internet 范圍的 IP 連接時(shí)，該組織很可能需要更改其所有公共主機(jī)（需要 Internet 范圍 IP 連接的主機(jī)）的 IP 地址（重新編號(hào)），無(wú)論組織最初使用的地址是否全球唯一。
為所有使用 TCP/IP 的主機(jī)分配全局唯一地址是一種典型的做法。為了延長(zhǎng) IPv4 地址空間的壽命，地址注冊(cè)需要比以往更多的理由，使組織更難獲得額外的地址空間 [RFC1466]。
企業(yè)內(nèi)部使用IP的主機(jī)可以分為三類(lèi)：
第1類(lèi)：不需要訪(fǎng)問(wèn)其他企業(yè)的主機(jī)或整個(gè)互聯(lián)網(wǎng)的主機(jī)；此類(lèi)別中的主機(jī)可能使用企業(yè)內(nèi)部明確的 IP 地址，但企業(yè)之間可能使用不明確的 IP 地址。
第2類(lèi)：需要訪(fǎng)問(wèn)一組有限的外部服務(wù)（例如，電子郵件、FTP、網(wǎng)絡(luò)新聞、遠(yuǎn)程登錄）的主機(jī)，這些服務(wù)可以由中介網(wǎng)關(guān)（例如，應(yīng)用層網(wǎng)關(guān)）處理。對(duì)于此類(lèi)別中的許多主機(jī)，出于隱私/安全原因，不受限制的外部訪(fǎng)問(wèn)（通過(guò) IP 連接提供）可能是不必要的，甚至是不可取的。就像第一類(lèi)中的主機(jī)一樣，此類(lèi)主機(jī)可能使用企業(yè)內(nèi)部明確的IP地址，但企業(yè)之間可能使用不明確的IP地址。
第 3 類(lèi)：需要企業(yè)外部網(wǎng)絡(luò)層訪(fǎng)問(wèn)的主機(jī)（通過(guò) IP 連接提供）；最后一類(lèi)中的主機(jī)需要全局明確的 IP 地址。
我們將第一類(lèi)和第二類(lèi)中的主機(jī)稱(chēng)為“私有”。我們將第三類(lèi)中的主機(jī)稱(chēng)為“公共”。
許多應(yīng)用程序只需要一個(gè)企業(yè)內(nèi)部的連接，而大多數(shù)內(nèi)部主機(jī)不需要外部（企業(yè)外部）連接。在較大的企業(yè)中，通常很容易識(shí)別大量使用 TCP/IP 且不需要企業(yè)外部網(wǎng)絡(luò)層連接的主機(jī)。
可能不需要外部連接的一些示例是：
- 大型機(jī)場(chǎng)的到達(dá)/離開(kāi)顯示可通過(guò) TCP/IP 單獨(dú)尋址。不太可能需要從其他網(wǎng)絡(luò)直接訪(fǎng)問(wèn)這些顯示。
- 銀行和零售連鎖店等大型組織正在改用 TCP/IP 進(jìn)行內(nèi)部通信。大量的本地工作站，如收銀機(jī)、自動(dòng)取款機(jī)和文書(shū)位置的設(shè)備，很少需要具有這種連接性。
- 出于安全原因，許多企業(yè)使用應(yīng)用層網(wǎng)關(guān)將其內(nèi)部網(wǎng)絡(luò)連接到 Internet。內(nèi)部網(wǎng)絡(luò)通常無(wú)法直接訪(fǎng)問(wèn) Internet，因此從 Internet 上只能看到一個(gè)或多個(gè)網(wǎng)關(guān)。在這種情況下，內(nèi)部網(wǎng)絡(luò)可以使用非唯一 IP 網(wǎng)絡(luò)號(hào)。
- 內(nèi)部網(wǎng)絡(luò)上的路由器接口通常不需要從企業(yè)外部直接訪(fǎng)問(wèn)。
互聯(lián)網(wǎng)號(hào)碼分配機(jī)構(gòu) (Internet Assigned Numbers Authority，IANA) 為私有互聯(lián)網(wǎng)保留了以下三個(gè) IP 地址空間塊：
10.0.0.0 - 10.255.255.255 (10/8 prefix)172.16.0.0 - 172.31.255.255 (172.16/12 prefix)192.168.0.0 - 192.168.255.255 (192.168/16 prefix)
我們將第一個(gè)塊稱(chēng)為“24 位塊”，第二個(gè)稱(chēng)為“20 位塊”，第三個(gè)稱(chēng)為“16 位塊”。請(qǐng)注意，在 CIDR 之前的表示法中，第一個(gè)塊只是一個(gè) A 類(lèi)網(wǎng)絡(luò)號(hào)，而第二個(gè)塊是一組 16 個(gè)連續(xù)的 B 類(lèi)網(wǎng)絡(luò)號(hào)，第三個(gè)塊是一組 256 個(gè)連續(xù)的 C 類(lèi)網(wǎng)絡(luò)號(hào)。
決定使用本文檔中定義的地址空間之外的 IP 地址的企業(yè)無(wú)需與 IANA 或互聯(lián)網(wǎng)注冊(cè)管理機(jī)構(gòu)進(jìn)行任何協(xié)調(diào)。因此，地址空間可以被許多企業(yè)使用。該私有地址空間內(nèi)的地址僅在企業(yè)內(nèi)或選擇在該空間上合作以便它們可以在自己的私有互聯(lián)網(wǎng)上相互通信的一組企業(yè)內(nèi)是唯一的。
和以前一樣，任何需要全球唯一地址空間的企業(yè)都需要從 Internet 注冊(cè)中心獲取此類(lèi)地址。為其外部連接請(qǐng)求 IP 地址的企業(yè)永遠(yuǎn)不會(huì)從上面定義的塊中分配地址。
為了使用私有地址空間，企業(yè)需要確定哪些主機(jī)在可預(yù)見(jiàn)的未來(lái)不需要在企業(yè)外部具有網(wǎng)絡(luò)層連接，因此可以歸類(lèi)為私有。這些主機(jī)將使用上面定義的私有地址空間。私有主機(jī)可以與企業(yè)內(nèi)部的所有其他主機(jī)通信，包括公共主機(jī)和私有主機(jī)。但是，它們無(wú)法與企業(yè)外部的任何主機(jī)建立 IP 連接。雖然沒(méi)有外部（企業(yè)外部）IP 連接，但私有主機(jī)仍然可以通過(guò)中介網(wǎng)關(guān)（例如，應(yīng)用層網(wǎng)關(guān)）訪(fǎng)問(wèn)外部服務(wù)。
所有其他主機(jī)將是公共的，并將使用由 Internet 注冊(cè)管理機(jī)構(gòu)分配的全球唯一地址空間。公共主機(jī)可以與企業(yè)內(nèi)部的其他公共和私有主機(jī)通信，并且可以與企業(yè)外部的公共主機(jī)建立 IP 連接。公共主機(jī)無(wú)法連接到其他企業(yè)的私有主機(jī)。
將主機(jī)從私有轉(zhuǎn)移到公共或從私有轉(zhuǎn)移到公共或相反涉及 IP 地址的更改、相應(yīng) DNS 條目的更改以及通過(guò) IP 地址引用該主機(jī)的其他主機(jī)上的配置文件的更改。
由于私有地址沒(méi)有全局意義，因此私有網(wǎng)絡(luò)的路由信息不應(yīng)在企業(yè)間鏈路上傳播，具有私有源地址或目的地址的數(shù)據(jù)包不應(yīng)通過(guò)此類(lèi)鏈路轉(zhuǎn)發(fā)。不使用私有地址空間的網(wǎng)絡(luò)中的路由器，尤其是 Internet 服務(wù)提供商的路由器，應(yīng)該被配置為拒絕（過(guò)濾掉）關(guān)于私有網(wǎng)絡(luò)的路由信息。如果這樣的路由器接收到這樣的信息，則拒絕不應(yīng)被視為路由協(xié)議錯(cuò)誤。
企業(yè)內(nèi)應(yīng)包含對(duì)此類(lèi)地址的間接引用。此類(lèi)引用的突出示例是 DNS 資源記錄和其他引用內(nèi)部私有地址的信息?；ヂ?lián)網(wǎng)服務(wù)提供商尤其應(yīng)采取措施防止此類(lèi)泄漏。
為整個(gè) Internet 使用私有地址空間的明顯優(yōu)勢(shì)是通過(guò)不在不需要全局唯一性的地方使用它來(lái)保存全局唯一地址空間。
企業(yè)本身也從使用私有地址空間中獲得了許多好處：通過(guò)擁有比從全球唯一池中獲得的地址空間更多的地址空間，他們?cè)诰W(wǎng)絡(luò)設(shè)計(jì)中獲得了很大的靈活性。這使得操作和管理上方便的尋址方案以及更容易的增長(zhǎng)路徑成為可能。
由于各種原因，互聯(lián)網(wǎng)已經(jīng)遇到過(guò)這樣的情況，即未連接到互聯(lián)網(wǎng)的企業(yè)為其主機(jī)使用了 IP 地址空間，而沒(méi)有從 IANA 分配此空間。在某些情況下，此地址空間已分配給其他企業(yè)。如果這樣的企業(yè)以后連接到 Internet，這可能會(huì)產(chǎn)生非常嚴(yán)重的問(wèn)題，因?yàn)?IP 路由無(wú)法在存在模糊尋址的情況下提供正確的操作。盡管原則上 Internet 服務(wù)提供商應(yīng)通過(guò)使用路由過(guò)濾器來(lái)防止此類(lèi)錯(cuò)誤，但這在實(shí)踐中并不總是發(fā)生。使用私有地址空間為此類(lèi)企業(yè)提供了一個(gè)安全的選擇，避免在需要外部連接時(shí)發(fā)生沖突。
使用私有地址空間的一個(gè)主要缺點(diǎn)是它實(shí)際上可能會(huì)降低企業(yè)訪(fǎng)問(wèn) Internet 的靈活性。一旦承諾使用私有地址，就承諾對(duì)部分或全部企業(yè)重新編號(hào)，如果決定在該部分（或全部企業(yè)）與 Internet 之間提供 IP 連接。通常可以通過(guò)計(jì)算必須從私有轉(zhuǎn)換為公共的主機(jī)數(shù)量來(lái)衡量重新編號(hào)的成本。然而，如前所述，即使網(wǎng)絡(luò)使用全球唯一地址，它仍可能需要重新編號(hào)才能獲得 Internet 范圍的 IP 連接。
使用私有地址空間的另一個(gè)缺點(diǎn)是，在將多個(gè)私有 Internet 合并為一個(gè)私有 Internet 時(shí)可能需要重新編號(hào)。如果我們回顧一下我們?cè)诘?2 節(jié)中列出的例子，我們會(huì)注意到公司傾向于合并。如果這些公司在合并之前使用私有地址空間維護(hù)其未協(xié)調(diào)的互聯(lián)網(wǎng)，那么如果合并后這些私有互聯(lián)網(wǎng)將合并為一個(gè)私有互聯(lián)網(wǎng)，合并后的私有互聯(lián)網(wǎng)中的某些地址可能不是唯一的。因此，具有這些地址的主機(jī)需要重新編號(hào)。
通過(guò)開(kāi)發(fā)和部署有助于重新編號(hào)的工具（例如動(dòng)態(tài)主機(jī)配置協(xié)議 (Dynamic Host Configuration Protocol，DHCP)），可以很好地降低重新編號(hào)的成本。在決定是否使用私有地址時(shí)，我們建議向計(jì)算機(jī)和軟件供應(yīng)商咨詢(xún)此類(lèi)工具的可用性。一個(gè)單獨(dú)的 IETF 工作（PIER 工作組）正在尋求重新編號(hào)的要求和程序的完整文檔。
一種可能的策略是首先設(shè)計(jì)網(wǎng)絡(luò)的私有部分，并為所有內(nèi)部鏈接使用私有地址空間。然后在所需位置規(guī)劃公共子網(wǎng)并設(shè)計(jì)外部連接。
這種設(shè)計(jì)不需要永久固定。如果一組一臺(tái)或多臺(tái)主機(jī)稍后需要更改其狀態(tài)（從私有變?yōu)楣?，反之亦然），可以通過(guò)僅對(duì)所涉及的主機(jī)重新編號(hào)并在需要時(shí)更改物理連接來(lái)實(shí)現(xiàn)。在可以預(yù)見(jiàn)此類(lèi)更改的位置（機(jī)房等），建議為公共和私有子網(wǎng)配置單獨(dú)的物理介質(zhì)以促進(jìn)此類(lèi)更改。為了避免重大網(wǎng)絡(luò)中斷，建議將具有類(lèi)似連接需求的主機(jī)分組到它們自己的子網(wǎng)上。
如果能夠設(shè)計(jì)出合適的子網(wǎng)劃分方案并得到相關(guān)設(shè)備的支持，則建議使用私有地址空間的24位塊（A類(lèi)網(wǎng)絡(luò)），并制定具有良好增長(zhǎng)路徑的尋址計(jì)劃。如果子網(wǎng)劃分有問(wèn)題，可以使用私有地址空間的 16 位塊（C 類(lèi)網(wǎng)絡(luò)）或 20 位塊（B 類(lèi)網(wǎng)絡(luò)）。
人們可能會(huì)想在同一物理介質(zhì)上同時(shí)擁有公共地址和私有地址。雖然這是可能的，但這種設(shè)計(jì)存在缺陷（請(qǐng)注意，缺陷與私有地址的使用無(wú)關(guān)，而是由于公共數(shù)據(jù)鏈路子網(wǎng)上存在多個(gè) IP 子網(wǎng)）。我們建議在此區(qū)域進(jìn)行操作時(shí)要謹(jǐn)慎。
強(qiáng)烈建議連接企業(yè)與外部網(wǎng)絡(luò)的路由器在鏈路兩端設(shè)置適當(dāng)?shù)臄?shù)據(jù)包和路由過(guò)濾器，以防止數(shù)據(jù)包和路由信息泄漏。企業(yè)還應(yīng)從入站路由信息中過(guò)濾任何專(zhuān)用網(wǎng)絡(luò)，以保護(hù)自己免受路由到企業(yè)外部專(zhuān)用地址空間點(diǎn)時(shí)可能發(fā)生的模糊路由情況的影響。
兩個(gè)站點(diǎn)都可以通過(guò)公共網(wǎng)絡(luò)相互通信，這兩個(gè)站點(diǎn)都協(xié)調(diào)其私有地址空間。為此，他們必須在其邊界使用某種方法將其封裝到公共網(wǎng)絡(luò)，從而使他們的私有地址保密。
如果兩個(gè)（或更多）組織遵循本文檔中指定的地址分配，然后希望彼此建立 IP 連接，則存在違反地址唯一性的風(fēng)險(xiǎn)。為了最大限度地降低風(fēng)險(xiǎn)，強(qiáng)烈建議使用私有 IP 地址的組織在為其內(nèi)部分配分配子塊時(shí)從私有地址的保留池中隨機(jī)選擇。
如果企業(yè)使用私有地址空間，或私有地址空間和公共地址空間的混合，那么企業(yè)外部的 DNS 客戶(hù)端不應(yīng)看到企業(yè)使用的私有地址空間中的地址，因?yàn)檫@些地址將是不明確的。確保這一點(diǎn)的一種方法是為每個(gè)包含公共和私人尋址主機(jī)的 DNS 區(qū)域運(yùn)行兩個(gè)授權(quán)服務(wù)器。一臺(tái)服務(wù)器將從公共地址空間可見(jiàn)，并且僅包含使用公共地址可訪(fǎng)問(wèn)的企業(yè)地址子集。另一臺(tái)服務(wù)器只能從專(zhuān)用網(wǎng)絡(luò)訪(fǎng)問(wèn)，并且將包含完整的數(shù)據(jù)集，包括專(zhuān)用地址和專(zhuān)用網(wǎng)絡(luò)可訪(fǎng)問(wèn)的任何公共地址。為了保證一致性，兩臺(tái)服務(wù)器都應(yīng)該使用相同的數(shù)據(jù)進(jìn)行配置，其中公開(kāi)可見(jiàn)的區(qū)域只包含一個(gè)過(guò)濾版本。提供這些功能會(huì)帶來(lái)一定程度的額外復(fù)雜性。
本備忘錄不涉及安全問(wèn)題。
使用所描述的方案，許多大型企業(yè)將只需要來(lái)自全球唯一 IP 地址空間的相對(duì)較小的地址塊?；ヂ?lián)網(wǎng)通過(guò)保護(hù)全球唯一的地址空間而受益匪淺，這將有效地延長(zhǎng) IP 地址空間的生命周期。企業(yè)受益于相對(duì)較大的私有地址空間提供的增加的靈活性。然而，使用私有尋址要求組織對(duì)其部分或全部企業(yè)網(wǎng)絡(luò)重新編號(hào)，因?yàn)槠溥B接要求隨時(shí)間而變化。
我們要感謝 Tony Bates (MCI)、Jordan Becker (ANS)、Hans-Werner Braun (SDSC)、Ross Callon (BayNetworks)、John Curran (BBN Planet)、Vince Fuller (BBN Planet)、Tony Li (cisco Systems) )，Anne Lord (RIPE NCC)，Milo Medin (NSI)，Marten Terpstra (BayNetworks)，Geza Turchanyi (RIPE NCC)，Christophe Wolfhugel (Pasteur Institute)，Andy Linton (connect.com.au)，Brian Carpenter (CERN)，Randy Bush (PSG)，Erik Fair (Apple Computer)，Dave Crocker (Brandenburg Consulting)，Tom Kessler (SGI)，Dave Piscitello (Core Competence)，Matt Crawford (FNAL)，Michael Patton (BBN)，and Paul Vixie ( Internet Software Consortium) 的審查和建設(shè)性意見(jiàn)。
[RFC1466] Gerich, E., 'Guidelines for Management of IP Address Space', RFC 1466, Merit Network, Inc., May 1993.[RFC1518] Rekhter, Y., and T. Li, 'An Architecture for IP Address Allocation with CIDR', RFC 1518, September 1993.[RFC1519] Fuller, V., Li, T., Yu, J., and K. Varadhan, 'Classless Inter-Domain Routing (CIDR): an Address Assignment and Aggregation Strategy', RFC 1519, September 1993.聯(lián)系客服
