Adresses IP non routables : réseaux privés et loopback expliqués
Une adresse IP non routable ne peut pas traverser l'internet public. Les routeurs rejettent les paquets portant ces adresses, les confinant ainsi aux réseaux locaux. Cet isolement est une fonctionnalité de sécurité, pas une limitation.
Deux catégories principales
1. Plages IP privées (RFC 1918)
Réservées à un usage interne — toute organisation peut les utiliser sans coordination :
| Plage | CIDR | Adresses | Usage typique |
|---|---|---|---|
| 10.0.0.0 – 10.255.255.255 | 10.0.0.0/8 | 16 777 216 | Grandes entreprises, VPC cloud |
| 172.16.0.0 – 172.31.255.255 | 172.16.0.0/12 | 1 048 576 | Réseaux moyens, Docker/K8s par défaut |
| 192.168.0.0 – 192.168.255.255 | 192.168.0.0/16 | 65 536 | Box internet domestiques, petites entreprises |
2. Adresses de loopback
- 127.0.0.1 (IPv4) / ::1 (IPv6)
- L'hôte communique avec lui-même — les paquets ne quittent jamais la pile réseau
- Utilisé pour : tests de services locaux, communication inter-processus, développement
- Tout le bloc 127.0.0.0/8 est réservé (127.x.x.x sont tous des loopback)
Comment elles restent locales
- L'hôte envoie un paquet avec une IP source/destination privée
- Le routeur local voit une destination privée → transmet dans le LAN
- Si la destination est externe, le routeur effectue du NAT (Network Address Translation)
- Le NAT remplace l'IP privée par l'IP publique du routeur
- Trafic de retour : le routeur traduit à l'envers via la table de connexion
Pourquoi c'est important
- Sécurité : Les attaquants externes ne peuvent pas adresser directement les hôtes internes
- Économie d'adresses : Des millions d'appareils partagent quelques IPs publiques
- Flexibilité : Réutilisation des mêmes plages privées partout
- Note IPv6 : Les Unique Local Addresses (ULA, fc00::/7) jouent le même rôle
Idées reçues courantes
- ❌ « Les IPs privées sont cachées » → Elles sont visibles dans les captures de paquets, simplement non routables
- ❌ « NAT = pare-feu » → Le NAT fournit un blocage incidentel ; un vrai pare-feu est nécessaire
- ❌ « Le loopback c'est seulement 127.0.0.1 » → Tout le bloc 127/8 fonctionne