¿Qué impide que alguien configure su red con direcciones IP que no posee?

Aquí está el escenario. Estaba imaginando una universidad que compró una variedad de direcciones IP. Creo que todavía estarían dentro de un ISP (¿verdad?), Pero tendrían libertad para configurar las cosas como quisieran.

¿Qué les impide atribuir sus enrutadores y hosts que ya usan direcciones IP?

¿Y qué pasaría si de hecho alguien hiciera esto?

Lo más probable es que si son una gran universidad, sean su propio ISP, y usen BGP para conectar su red a Internet a través de varias redes ascendentes.

Nada les impide usar direcciones IP que no deberían usar, y funcionaría en su red local. Sin embargo, no funcionará en Internet. Sus redes ascendentes que les proporcionan conectividad deben tener filtros que solo permitan a la universidad anunciar las direcciones IP asignadas a ellos. Si las aguas arriba directas no los filtraran, las aguas arriba de las aguas arriba lo harán. Y si la universidad usara las direcciones IP, que están en uso por otra red, esa otra red quedaría inalcanzable desde la red de la universidad.

Además, hay una serie de proyectos (por ejemplo, RIPE RIS y BGPmon ) que monitorean las tablas de enrutamiento y alertan sobre cualquier anuncio de IP "ilegal" ( secuestros de BGP y anomalías de enrutamiento).

¿Qué les impide atribuir sus enrutadores y hosts que ya usan direcciones IP?

Nada. A lo largo de los años, he visto a ambas organizaciones de todos los tamaños, tanto públicas como privadas, hacer esto, incluida una empresa de "marca" reconocida mundialmente. De hecho, he visto esto más a menudo en entornos empresariales que en entornos universitarios (en gran parte debido al hecho de que más universidades estuvieron involucradas en Internet anteriormente y ayudaron a definir los estándares y las mejores prácticas utilizadas hoy en día).

¿Y qué pasaría si de hecho alguien hiciera esto?

Hoy, probablemente nada más que la organización no puede llegar a partes de Internet que se superponen. En el pasado, este tipo de cosas ha causado serios problemas, incluyendo "romper Internet" para algunos o muchos usuarios (en un caso, un solo ISP propagó accidentalmente una ruta predeterminada a Internet sobrecargando su propia red tanto como el tráfico de Internet trató de enrutarlos).

Los incidentes pasados ​​como los que usted propone se convirtieron en oportunidades de aprendizaje y dieron como resultado mejores prácticas que incluyen protecciones contra este tipo de configuración incorrecta. Hoy en día, los proveedores implementan BCP38 / RFC2827 para filtrar el tráfico a las organizaciones conectadas solo a la dirección IP que deberían anunciar.

Algunos proveedores también implementan el filtrado de bogones que, cuando se mantiene adecuadamente, ayuda a evitar el tráfico del espacio IP del que no debería proceder un tráfico válido (es decir, rangos de direcciones privadas, espacio IP no asignado, etc.). Si bien la lista de bogones de IPv4 es mucho más pequeña hoy que en el pasado (es decir, la mayoría de las direcciones de IPv4 ahora están asignadas), la lista de bogones de IPv6 puede ser bastante útil, especialmente en grandes proveedores para limitar el alcance de la ocupación de IP (es decir, usar IP sin asignar) espacio).

Nada los detendrá utilizando las direcciones en sus propias máquinas.

Lo que sucede si intentan publicitarlos en Internet depende de cuán descuidados sean sus proveedores. Si sus proveedores siguen las mejores prácticas, habrá filtros y los anuncios no superarán los límites del secuestrador.

OTOH, si sus proveedores y sus proveedores son descuidados, entonces un anuncio falso puede ir mucho más lejos y provocar una interrupción significativa para los legítimos propietarios del espacio IP.

Es casi seguro que tales acontecimientos se notarán y probablemente habrá algunas discusiones acaloradas y algunos filtros adicionales agregados.

Supongamos que tengo dos máquinas. Asigno la dirección 1.2.3.4 a una y 1.2.3.5 a la otra. No soy dueño de estas direcciones.

Mientras no intente acceder a Internet, estas dos máquinas pueden comunicarse entre sí sin ningún problema.

Ahora me conecto a internet. Las otras respuestas hablan de filtros que bloquean cosas, pero ignoremos eso por un momento.

Mi máquina 1.2.3.4 intenta conectarse a alguna dirección legítima, como 12.34.56.78. Suponga que esta dirección existe y está controlada por su propietario.

Entonces, mi máquina envía un paquete:

Desde 1.2.3.4, Hasta: 12.34.56.78, Contenido: ¿Quieres ser amigos? (Traducido al humano)

Los enrutadores miran la parte Para: y la entregan correctamente a 12.34.56.78. Esta máquina no sospecha nada y cumple una respuesta.

De: 12.34.56.78, Para: 1.2.3.4, Contenido: ¡Claro, seamos amigos!

Ahora viene al problema. Esta respuesta nunca te será entregada. En cambio, se entregará al 1.2.3.4 real , que se confundirá mucho.

Entonces, si usa una dirección incorrecta, puede hablar con Internet, pero Internet nunca le responderá.

Internamente oscurecería grandes muestras de Internet

Seguro. Digamos que hacen lo común al usar direcciones IP privadas internamente en su red, como 10.xxx .. Conoces la traducción de direcciones de red en el borde de su red, al igual que tu red doméstica.

Excepto que decidieron que 10.xxx es demasiado restrictivo para ellos, y comienzan a asignar direcciones IP públicas internamente. Funcionará, al principio. Pero entonces los problemas comenzarán a aparecer.

Es cuestión de tiempo antes de que alguien use 172.217.15.68 para una máquina de laboratorio. Es una de las direcciones IP que DNS resuelve para www.google.com. Ahora, a veces, cuando alguien dentro de la universidad intenta hacer una búsqueda en Google, su navegador web va a esa máquina de laboratorio . Debido a que los enrutadores internos no tendrían la capacidad de concebir que hay dos 172.217.15.68, uno interno y otro externo; lo harían simplemente encaminar los paquetes a la interna.

Los bloques de IP asignados internamente no se pueden enrutar externamente

Pero es peor que eso. Asignaron un bloque de red completo, por lo que 172.217.xx / 16 se enrutará a ese laboratorio. Probablemente no golpearía cada IP de Google, pero muchas búsquedas fallarían. Para equipos más pequeños como Craigslist donde todas sus direcciones están en el mismo bloque de red, si la universidad asigna ese bloque de red internamente, todo el sitio quedaría bloqueado en frío.

Esto no afectará a nadie fuera de la red interna de la universidad. Los proveedores externos no aceptarán la reasignación de la universidad del espacio de IP de Google. El único tráfico dirigido a la universidad serán las direcciones IP públicas que posee la universidad.

Simplemente use IPv6 en su lugar

Si te registras en Comcast, te darán un / 64 propio. Si preguntas amablemente, he oído que te entregarán un / 48. Pero supongamos que solo obtiene un / 64, y luego, haga exactamente la trama de RevOlution y cree nanites autorreplicantes que consuman electricidad, en la misma cantidad que se discutió en el programa. ¿Tiene suficientes direcciones IPv6 para que cada nanito tenga la suya propia?

Sí. Y suficientes repuestos para hacer esto en 2 millones de tierras paralelas.

Entonces, si está realmente preocupado por quedarse sin direcciones IP, ese es el camino a seguir.

Como han dicho muchos otros, nada impide que nadie lo haga, pero en general, esto no tendrá ningún efecto fuera de la organización e incluso causará problemas internos.

Ahora, si usted es un ISP y comienza a decirles a los demás que usted es el que debe usar para enrutar estas IP (utilizando un protocolo de enrutamiento como BGP), esas IP serán "parcialmente" suyas, por un tiempo. En parte, porque cuando se note el problema, se tomarán medidas para detenerlo. "Por un tiempo", bueno, hasta que se tomen medidas.

Los incidentes con BGP han ocurrido en el pasado, causando que el tráfico se enrute a lugares equivocados. Aquí hay un enlace a un incidente reciente: https://hub.packtpub.com/mondays-google-outage-was-a-bgp-route-leak-traffic-redirected-through-nigeria-china-and-russia/ Puede busque "fuga de ruta BGP" para obtener más información.

Internet funciona mucho en la confianza. Las cosas están cambiando lentamente, pero en muchos casos, los ISP simplemente confían en otros ISP.