Todo mundo tem dois endereços na internet ao mesmo tempo, e confundir os dois é a origem de metade das dúvidas sobre rede. Um é o número que a internet enxerga, emprestado pela sua operadora. O outro é o 192.168 que o roteador distribui dentro de casa e que nenhum site vê. Este guia explica a diferença, o que dá e o que não dá para descobrir a partir de um endereço, por que ele muda sozinho e o que uma VPN realmente faz. Para ver o seu agora, com a criptografia e o protocolo da conexão, use a ferramenta Meu IP.
Resposta rápida
- O IP público é da operadora e a internet toda enxerga. O IP privado (10.x, 172.16 a 172.31, 192.168.x) só vale dentro da sua rede.
- Pelo IP dá para estimar país e operadora. Não dá para saber nome, CPF nem o endereço da sua casa.
- Ele muda porque quase toda conexão residencial usa IP dinâmico, e muitas usam CGNAT, em que vários clientes dividem o mesmo endereço.
- VPN troca o endereço que os sites veem. Ela não deixa você anônimo: você passa a confiar no provedor da VPN.
O que é um endereço IP
IP é a sigla de Internet Protocol, e o endereço IP é o número que identifica um ponto na rede. A analogia do endereço postal funciona bem: se você pede uma entrega, precisa informar para onde ela vai, senão o pacote não tem como chegar. Na internet acontece o mesmo. Quando o seu navegador pede uma página, o pedido sai com o endereço de origem, e é por ele que a resposta sabe voltar.
A diferença é que esse endereço não é seu de forma permanente. Ele é emprestado, e a rede é organizada em camadas: um endereço para o mundo externo, outro para dentro da sua casa.
IP público: o que a internet vê
O IP público é o endereço que a sua operadora atribuiu à sua conexão. É ele que aparece nos registros de qualquer site que você visita, e é ele que a ferramenta Meu IP mostra. Ele pertence a um bloco que a operadora recebeu de um registro regional (no Brasil, o LACNIC), e por isso é possível saber a operadora e o país a partir dele.
Um detalhe que costuma surpreender: sua casa inteira usa um único IP público. O celular, a TV, o notebook e a geladeira conectada saem todos com o mesmo endereço. Do lado de fora, não há como distinguir um aparelho do outro só pelo IP.
IP privado: o endereço de dentro de casa
Dentro da sua rede, cada aparelho precisa de um identificador próprio para o roteador saber para quem entregar cada resposta. Esses são os IPs privados, e eles vêm de faixas reservadas justamente para não conflitarem com endereços reais da internet. A RFC 1918 define três:
- 10.0.0.0 a 10.255.255.255, a maior delas, comum em empresa e em rede grande.
- 172.16.0.0 a 172.31.255.255, a que mais gera erro, porque 172.15 e 172.32 ficam de fora.
- 192.168.0.0 a 192.168.255.255, a que quase todo roteador doméstico usa.
Esses números se repetem no mundo inteiro. Existem milhões de aparelhos com o endereço 192.168.0.10 neste momento, e isso não causa problema nenhum, porque nenhum deles é alcançável de fora. Se você vir um 169.254.x.x, é outra história: significa que o aparelho não conseguiu falar com o roteador e atribuiu um endereço a si mesmo. Costuma ser sinal de DHCP com problema ou cabo solto.
O NAT, que costura os dois mundos
A tradução entre o endereço de dentro e o de fora se chama NAT. Quando o seu celular pede uma página, o roteador troca o endereço de origem pelo IP público, anota numa tabela qual aparelho fez aquele pedido e, quando a resposta chega, consulta a tabela e entrega ao celular certo. É por isso que conexões iniciadas de dentro funcionam sem configuração, e conexões vindas de fora não funcionam: o roteador recebe um pacote sem correspondência na tabela e simplesmente descarta.
Isso tem um efeito colateral de segurança que quase ninguém percebe: o NAT funciona como um firewall acidental. Um aparelho da sua rede não é alcançável da internet a não ser que alguém abra a porta de propósito, com redirecionamento de porta. Foi assim que muita câmera com senha de fábrica acabou exposta.
Por que o seu IP muda
Quase toda conexão residencial no Brasil usa IP dinâmico. A operadora empresta um endereço por um período, e ao fim dele pode renovar o mesmo ou entregar outro. Reiniciar o modem costuma provocar a troca. Para navegar, isso é indiferente. Para quem quer acessar a própria casa de fora, é um transtorno, e a saída habitual é um serviço de DNS dinâmico, que aponta um nome fixo para o endereço da vez.
Existe uma camada a mais de complicação: o CGNAT. Como os endereços IPv4 acabaram, muitas operadoras colocam vários clientes atrás do mesmo IP público e entregam a cada um endereço da faixa 100.64.x.x. Navegar continua normal, mas receber conexão de fora deixa de ser possível, porque o redirecionamento de porta no seu roteador não tem efeito nenhum: quem manda é o equipamento da operadora. Se o acesso remoto à sua casa parou de funcionar sem explicação, esse costuma ser o motivo. Dá para pedir a saída do CGNAT no suporte, e a maioria das operadoras atende.
IPv4 e IPv6
O IPv4 é o formato clássico, com quatro números de 0 a 255 separados por ponto. Ele comporta cerca de 4,3 bilhões de endereços, o que parecia infinito nos anos 1980 e ficou pequeno com o celular. O IPv6 resolve isso com endereços muito maiores, escritos em hexadecimal e separados por dois-pontos, como 2804:14d:1::1.
Na prática, a maioria das redes hoje fala os dois, e o navegador escolhe um deles a cada conexão. Por isso a ferramenta pode mostrar IPv6 numa visita e IPv4 na seguinte, no mesmo computador e na mesma rede. Não é erro. No IPv6 também existe o equivalente às faixas privadas: endereços que começam com fc ou fd são de uso local, e os que começam com fe80 valem só dentro do segmento de rede.
O que dá para descobrir a partir de um IP
Bem menos do que a cultura popular sugere. A partir de um endereço público é possível identificar a operadora com confiança e o país com boa precisão. A cidade é chute calibrado: bases de geolocalização associam faixas a pontos de presença da operadora, então é comum aparecer a capital do estado para quem mora longe dela, ou até outra unidade da federação. Rua, número, nome e documento não estão no IP e não são acessíveis a um site.
O único caminho para ligar um IP a uma pessoa passa pela operadora, que guarda o registro de qual cliente usava qual endereço em qual horário. Esse dado sai por ordem judicial, e o Marco Civil da Internet trata do prazo de guarda e das condições. Nem investigador nem site conseguem isso sozinhos.
O que a sua conexão entrega além do endereço
O IP é só o começo. Toda conexão carrega também a versão do TLS negociada, que é a camada de criptografia, e a versão do protocolo HTTP. Ver TLS 1.3 e HTTP/3 indica navegador e rede modernos. Ver TLS 1.2 não é falha de segurança, apenas uma versão anterior, ainda considerada segura quando bem configurada.
Há também o SNI, o campo em que o navegador informa com qual site quer falar. Ele viaja legível no início da conexão, antes da criptografia estar pronta. O conteúdo da página continua protegido, mas quem observa a rede consegue ver o domínio que você acessou. Isso vale para a sua operadora e para o Wi-Fi do aeroporto. A versão criptografada dessa etapa existe e se chama Encrypted Client Hello, mas ainda depende de suporte dos dois lados.
O que uma VPN faz e o que ela não faz
A VPN cria um túnel criptografado até um servidor e faz todo o seu tráfego sair de lá. O efeito é concreto: os sites passam a ver o endereço do servidor da VPN, e quem observa a sua rede local deixa de ver quais sites você acessa. Isso é útil no Wi-Fi público e para acessar conteúdo restrito por região.
O que a propaganda costuma omitir é o outro lado. Todo o tráfego passa a atravessar o provedor da VPN, que vê exatamente o que a sua operadora via antes. Você não removeu um observador, trocou de observador. E o rastreamento por cookie, por conta logada e pelas características do navegador continua funcionando igual, porque nada disso depende do IP. VPN é boa ferramenta para o que ela faz. Ela não entrega anonimato.
Como usar a ferramenta do ValorFinal
A ferramenta Meu IP mostra o seu endereço público, a versão do IP, o país do acesso, a criptografia e o protocolo negociados, e explica o que cada item significa. A leitura vem de um recurso do próprio valorfinal.com.br, sem consultar serviço de terceiro e sem registrar a consulta. Para calcular faixas, máscara, broadcast e quantidade de hosts de uma rede, use a calculadora de sub-rede IPv4. Para montar permissões de arquivo e conferir ARN da AWS, veja as ferramentas DevOps, e conheça as demais ferramentas de tecnologia.
Fontes oficiais
- RFC 1918 (IETF): define as faixas de endereço reservadas para redes privadas.
- RFC 6598 (IETF): reserva a faixa 100.64.0.0/10 para o CGNAT das operadoras.
- RFC 8446 (IETF): especificação do TLS 1.3, a versão atual da camada de criptografia.
- Lei 12.965/2014 (Marco Civil da Internet): trata da guarda de registros de conexão e das condições de acesso a eles.
Conclusão
O endereço que a internet enxerga é da operadora e diz pouco sobre você: país, provedor e não muito mais. O 192.168 da sua casa nunca sai de lá. Ele muda porque a concessão é temporária, e some atrás do CGNAT quando a operadora precisa economizar endereços. Se o objetivo é reduzir rastreamento, trocar o IP resolve pouco, porque cookie e conta logada seguem funcionando. Se o objetivo é proteger o tráfego num Wi-Fi público, aí sim a VPN cumpre o papel. Para ver os seus números agora, abra o Meu IP e confira também as demais ferramentas de tecnologia.