Блог ДоверьсяСервису

IP-адрес: как устроена адресация IPv4 и IPv6

IP-адрес — числовой идентификатор сетевого интерфейса в Internet Protocol. Он помогает источнику и маршрутизаторам доставить пакет в нужную сеть и на нужный узел. Адрес не равен доменному имени, человеку или физическому устройству: у одного устройства бывает несколько адресов, а один публичный адрес может обслуживать множество пользователей и сайтов.

02.09.2026 Обновлено 02.09.2026 11 мин чтения Редакция ДоверьсяСервису

Главная идея: IP-адрес имеет смысл вместе с префиксом сети и маршрутом. Запись 192.168.10.37/24 сообщает не только номер интерфейса, но и то, какие первые 24 бита относятся к сетевой части.

Как пакет использует IP-адрес

Приложение формирует данные, транспортный протокол добавляет порты, а IP — адреса источника и назначения. Узел сравнивает адрес назначения со своими маршрутами. Если получатель находится в локальной сети, кадр отправляется ему напрямую через канальный уровень; иначе пакет идет следующему маршрутизатору, обычно default gateway.

Каждый маршрутизатор выбирает следующий hop по своей таблице. IP не гарантирует доставку, порядок или отсутствие дубликатов — эти свойства при необходимости обеспечивают другие уровни. Маршрут туда и обратно также может различаться.

IPv4: четыре октета

IPv4 использует 32 бита. Для чтения адрес записывают четырьмя десятичными числами от 0 до 255, например 203.0.113.25. Каждое число представляет восемь бит, поэтому его называют octet.

Теоретическое пространство содержит 2³² комбинаций, но не все доступны как публичные unicast-адреса: существуют частные, multicast, loopback, link-local, документационные и другие специальные блоки. Актуальное назначение проверяют по реестру IANA, а не по случайному списку.

IPv6: восемь групп

IPv6 использует 128 бит. Адрес записывается восемью группами hexadecimal-чисел, разделенными двоеточиями:

2001:0db8:0000:0000:0210:5aff:fe00:0025

В каждой группе можно убрать ведущие нули. Одну непрерывную последовательность нулевых групп разрешается сократить как :::

2001:db8::210:5aff:fe00:25

:: используют только один раз, иначе восстановить число пропущенных групп невозможно. Пример из блока 2001:db8::/32 предназначен для документации, а не для рабочего публичного назначения.

IPv4 и IPv6: основные различия

Свойство	IPv4	IPv6
Длина	32 бита	128 бит
Запись	Десятичные octets	Hexadecimal-группы
Broadcast	Поддерживается	Заменен multicast и другими механизмами
Автоконфигурация	Часто DHCP	SLAAC и/или DHCPv6
Соседи	ARP	Neighbor Discovery
Типичный домашний доступ	Частный адрес плюс NAT	Глобальные адреса с firewall, иногда переходные механизмы

IPv6 не делает сеть безопасной автоматически. Глобально уникальный адрес не означает, что входящий трафик разрешен: доступ определяют firewall, маршруты и политика. NAT также не следует считать самостоятельным firewall.

Публичный и частный IPv4

Публичный адрес должен быть глобально уникальным в своем контексте назначения и может маршрутизироваться в интернете согласно политике операторов. Частные блоки RFC 1918 предназначены для внутренних сетей и повторно используются разными организациями.

Частный блок	Диапазон
`10.0.0.0/8`	10.0.0.0–10.255.255.255
`172.16.0.0/12`	172.16.0.0–172.31.255.255
`192.168.0.0/16`	192.168.0.0–192.168.255.255

Не весь диапазон 172.x.x.x является частным — только указанный /12. Частный адрес не выходит напрямую в глобальную сеть; обычно пограничное устройство переводит его через NAT в публичный адрес.

Специальные IPv4-адреса

Блок	Назначение
`127.0.0.0/8`	Loopback; часто используется 127.0.0.1
`169.254.0.0/16`	Link-local при локальной автоконфигурации
`100.64.0.0/10`	Shared space для операторского CGN
`192.0.2.0/24`	Документация TEST-NET-1
`198.51.100.0/24`	Документация TEST-NET-2
`203.0.113.0/24`	Документация TEST-NET-3
`224.0.0.0/4`	Multicast

100.64.0.0/10 не относится к RFC 1918. Если WAN-интерфейс роутера получает такой адрес, провайдер может использовать CGNAT, из-за чего обычный входящий port forwarding на домашнем роутере не дает публичной доступности.

Важные диапазоны IPv6

Префикс	Назначение
`::1/128`	Loopback
`::/128`	Unspecified address
`fe80::/10`	Link-local
`fc00::/7`	Unique-local space
`2001:db8::/32`	Документация
`ff00::/8`	Multicast

Link-local IPv6 действует на конкретном канале. При обращении к такому адресу операционной системе может понадобиться zone identifier интерфейса, например %eth0. Нельзя делать вывод о глобальной доступности только по наличию IPv6 на интерфейсе.

Статический и динамический IP

Статический адрес закрепляется согласно конфигурации или услуге и ожидаемо сохраняется. Динамический выдается на время через DHCP, PPP или механизм провайдера и может измениться. «Белый» или публичный адрес не обязательно статический, а статический адрес может быть частным.

Для сервера постоянный адрес упрощает DNS, allowlist и внешние интеграции. Но жестко прописывать IP во всех клиентах не стоит: доменное имя и автоматизированный DNS облегчают смену. В каталоге хостингов проверяйте, входит ли адрес в тариф, сохраняется ли после пересоздания и как тарифицируются дополнительные IPv4.

Маска и CIDR

CIDR-запись /n показывает число начальных бит префикса. В IPv4 /24 соответствует маске 255.255.255.0. Оставшиеся 8 бит дают 256 адресных комбинаций в блоке.

Для 192.168.10.37/24 сетевой адрес — 192.168.10.0, а традиционный broadcast — 192.168.10.255. В обычной LAN адреса между ними назначают интерфейсам, но конкретные правила зависят от типа сети и протокола.

Калькулятор IPv4-подсети

Расчет размера блока

Всего адресов = 2^{(32 − prefix)}. Для /26 остается 6 бит: 2⁶ = 64 адреса. Размер шага в последнем octet равен 64, поэтому сети начинаются с 0, 64, 128 и 192.

Адрес 192.168.10.77/26 попадает в блок 64–127. Сетевой адрес — 192.168.10.64, broadcast — 192.168.10.127, а традиционный диапазон host — 65–126. Формула «минус два» применима не ко всем специальным сценариям, поэтому назначение подтверждают документацией сети.

Префикс IPv4	Всего адресов	Маска
/24	256	255.255.255.0
/25	128	255.255.255.128
/26	64	255.255.255.192
/27	32	255.255.255.224
/28	16	255.255.255.240

Почему в IPv6 часто используют /64

В IPv6 префикс LAN часто имеет длину /64, оставляя 64 бита для interface identifier и механизмов автоконфигурации. Это не аналог «неэкономно большой IPv4-подсети»: адресный план IPv6 строится по другим правилам и предполагает иерархическое выделение префиксов.

Не назначайте более длинные LAN-префиксы только ради визуальной экономии без проверки используемых механизмов. Размер делегируемого блока и разбиение сети согласуют с оператором и актуальными рекомендациями.

DHCP, SLAAC и ручная настройка

DHCPv4 выдает адрес, маску, default gateway, DNS и другие параметры на срок lease. DHCP reservation связывает ожидаемый адрес с идентификатором клиента, но остается централизованной выдачей, а не ручной статической настройкой интерфейса.

IPv6 может использовать SLAAC на основе Router Advertisement, DHCPv6 или сочетание механизмов. У интерфейса одновременно бывают link-local, global и временные privacy-адреса. Диагностируя связь, уточняйте, какой адрес выбран источником.

DNS и IP

DNS сопоставляет имя с данными, включая A-запись для IPv4 и AAAA для IPv6. Один домен может возвращать несколько адресов для балансировки и отказоустойчивости, а один адрес — обслуживать множество доменов.

При смене DNS учитывайте TTL и кэши. Ответ resolver не доказывает доступность сервера, а успешное подключение по IP не доказывает корректность виртуального host, TLS-сертификата или HTTP-заголовка Host.

NAT и PAT

NAT изменяет адреса пакетов на границе. Домашний роутер обычно выполняет source NAT и различает соединения по портам, позволяя многим частным узлам использовать один публичный IPv4. Такой вариант часто называют PAT или NAPT.

Для входящего соединения нужна явная публикация порта и разрешение firewall. При CGNAT управляемый пользователем роутер не владеет публичным адресом, поэтому может понадобиться публичная услуга провайдера, IPv6, reverse tunnel или посредник.

IP-адрес и порт

IP доставляет пакет до интерфейса, а transport port помогает операционной системе выбрать приложение. Пара 203.0.113.25:443 означает адрес и TCP- или UDP-порт в зависимости от протокола. Один IP может одновременно обслуживать веб, SSH, почту и другие сервисы на разных портах.

Порт не является частью IP-адреса. В IPv6 адрес с портом заключают в квадратные скобки: [2001:db8::25]:443, чтобы двоеточия адреса не смешивались с разделителем порта.

Anycast и общий адрес

Один и тот же адрес может объявляться из нескольких точек сети, а маршрутизация направляет клиента к доступному маршруту. Такой anycast применяется в DNS, CDN и защитных сервисах. Поэтому IP не всегда указывает на единственную физическую машину или город.

Карточка Cloudflare показывает пример пограничной платформы. Когда домен проксируется, публичный DNS может указывать на адрес сети посредника, а origin остается скрытым или доступным по другому адресу.

IP в облаке

Облачная VM обычно имеет внутренний адрес, а публичный IP может быть привязан отдельно через NAT или виртуальный интерфейс. После остановки, удаления или пересоздания правила сохранения адреса зависят от типа ресурса.

Карточка Yandex Cloud иллюстрирует облачную платформу. До запуска сервиса определите subnet, статичность публичного адреса, security groups, маршруты, стоимость и восстановление привязки после аварии.

Как узнать адрес устройства

Локальные адреса и маршруты смотрят средствами операционной системы:

# Linux
ip address
ip route

# Windows
ipconfig /all
route print

Эти команды показывают интерфейсы, но не обязательно публичный адрес после NAT. Его можно увидеть в панели провайдера, на пограничном устройстве или через доверенный внешний диагностический endpoint. Не отправляйте сетевой вывод в публичный чат без удаления внутренних имен, адресов и маршрутов.

Паспорт адреса

Восемь полей для диагностики

Для проблемного соединения запишите: IP-версию, полный адрес с prefix, интерфейс, источник назначения, default gateway, DNS-имя, наличие NAT и ожидаемый port/protocol. Отдельно укажите, с какой точки выполняется тест.

Пример: IPv4; 10.20.4.17/24; eth0; DHCP reservation; gateway 10.20.4.1; имя app.internal; source NAT на выходе; TCP 443 из подсети пользователей. Такой паспорт быстрее отделяет DNS, route, firewall и приложение.

Что можно узнать по публичному IP

Реестры показывают организацию и блок, которому выделен адрес. Геолокационные базы могут приблизительно определить страну, регион или сеть, но не гарантируют точный дом, человека или текущее устройство. VPN, мобильная сеть, корпоративный gateway и anycast меняют интерпретацию.

IP в журнале — технический признак, а не достаточное доказательство личности. Для расследования связывайте его со временем, портом, учетной записью, идентификатором события и часовым поясом, соблюдая правила обработки данных.

Безопасность адресации

закрывайте неиспользуемые входящие порты;
ограничивайте management-доступ доверенными сетями и ролями;
не считайте private IP или NAT полноценной защитой;
фильтруйте spoofed source согласно сетевой архитектуре;
разделяйте публичные, пользовательские и управляющие подсети;
проверяйте firewall отдельно для IPv4 и IPv6;
не публикуйте origin в обход proxy без необходимости;
ведите inventory адресов, DNS и владельцев;
удаляйте устаревшие allowlist и маршруты;
журналируйте изменения сетевой конфигурации.

Типичные ошибки

считать весь 172.0.0.0/8 частным;
путать публичный адрес со статическим;
принимать 100.64.0.0/10 за обычный RFC 1918;
называть порт частью IP-адреса;
забывать префикс при диагностике;
использовать адрес Pod или VM как постоянное имя сервиса;
проверять firewall только для IPv4;
ожидать входящий port forwarding за CGNAT;
считать NAT средством аутентификации;
определять личность и точный адрес по IP;
копировать production-адреса в документацию;
менять DNS без учета TTL и rollback.

Чек-лист сетевого адреса

IP-версия и prefix записаны;
адрес не относится к неожиданному special-purpose блоку;
локальная сеть и gateway рассчитаны правильно;
источник назначения — DHCP, SLAAC или static — понятен;
DNS A/AAAA соответствуют целевому сервису;
NAT и CGNAT нанесены на схему;
route существует в обе стороны;
port и transport protocol указаны;
firewall проверен для IPv4 и IPv6;
владелец адреса и срок использования известны;
логи содержат время и контекст;
изменение имеет план отката.

Частые вопросы

Меняется ли IP при перезагрузке роутера?

Может измениться, если провайдер выдает динамический адрес, но это не гарантировано. Правила lease и привязки определяет оператор.

Может ли один сайт иметь несколько IP?

Да. DNS может возвращать несколько IPv4 и IPv6, а CDN и балансировщики распределяют трафик между точками.

Почему сайт открывается по имени, но не по IP?

Сервер может выбирать virtual host по имени, TLS требует подходящий SNI и сертификат, а proxy — корректный Host. Прямой запрос по адресу является другим сценарием.

IPv6 отменяет необходимость firewall?

Нет. Отсутствие привычного NAT не означает разрешение входящих соединений. Нужна явная политика на узле и сетевой границе.

Можно ли скрыть IP полностью?

Для связи сторона должна видеть адрес следующего сетевого endpoint. Proxy или VPN меняет видимый адрес и доверенную границу, но не устраняет адресацию.

Вывод

IP-адрес определяет сетевую точку, но только вместе с prefix, route, DNS, NAT, port и политикой доступа объясняет реальное соединение. Различайте IPv4 и IPv6, публичные и специальные диапазоны, считайте CIDR, фиксируйте источник назначения и проверяйте путь в обе стороны. Такой адресный паспорт превращает набор цифр в управляемую схему сети и ускоряет диагностику.

Редакция ДоверьсяСервису

Эксперты по онлайн-сервисам. Команда проекта проверяет материалы о сервисах, тарифах и задачах, обновляет данные и помогает сравнивать сервисы по фактам.