Fast IP-adress för företag: när ni behöver den och vad som ska stå i beställningen

De flesta som begär offert på företagsinternet jämför hastighet, och ibland avtalstid. Adresseringen — vilken publik IP-adress förbindelsen får, om den är fast eller rörlig, och om ni över huvud taget får en egen — står längre ner i underlaget och läses sällan lika noga. Ändå är det oftare den raden som avgör om saker faktiskt fungerar när de ska.

En förbindelse på tusen megabit hjälper inte en VPN-tunnel som inte går att etablera, en larmcentral som inte når kameran, eller en integration där motparten har låst upp er på ett IP-nummer som plötsligt inte är ert längre. Den sortens fel ser sällan ut som nätverksfel. De ser ut som att ett enskilt system har gått sönder, och de felsöks därför på fel ställe, ofta i flera dagar, innan någon kommer på att titta på adressen.

Den här genomgången förklarar vad en publik IP-adress är, när ni behöver en fast, när ni behöver flera, varför den kan vara något ni får betala extra för, och vad som ska stå i beställningen så att frågan är avklarad före driftsättning i stället för efter.

Publik adress, privat adress och NAT

Varje enhet i ert nät har en privat IP-adress — typiskt något som börjar på 192.168, 10. eller 172.16. Privata adresser är återanvändbara: samma serie används i tiotusentals kontor samtidigt, och de fungerar bara innanför er egen brandvägg. För att nå ut på internet översätts de till en publik adress i routern eller brandväggen. Den funktionen kallas NAT, och den gör att all trafik från ert kontor ser ut att komma från en och samma adress när den lämnar huset.

NAT fungerar utmärkt för trafik som ni själva startar. Ni surfar, hämtar e-post, kopplar upp mot molntjänster — svaret hittar tillbaka eftersom routern minns vem som frågade. Det fungerar sämre i andra riktningen. När ett paket kommer utifrån utan att någon innanför har frågat efter det finns inget självklart svar på vilken maskin det ska till, och det är därför inkommande trafik alltid kräver att någon medvetet har öppnat en väg. Det är också därför frågan om vilken publik adress ni har är viktigare än den ser ut på papperet.

Dynamisk, fast — och "fast tills den ändras"

En dynamisk adress delas ut av operatören när utrustningen kopplar upp sig, och kan bytas ut. Den kan sitta kvar i ett år och sedan ändras vid ett strömavbrott, en firmwareuppdatering, ett byte av utrustning eller en ombyggnad i operatörens nät. Det är just därför den är svår att upptäcka: väldigt många företag tror att de har en fast adress därför att den inte har ändrats, inte därför att någon har lovat att den inte ska ändras.

Skilj också på två ord som ofta blandas ihop. Att en adress är statisk betyder att den är manuellt konfigurerad i er utrustning i stället för att hämtas automatiskt. Att den är fast betyder att operatören har reserverat den åt er. Det är bara det andra som är värt något, och den enda intressanta frågan är därför inte hur adressen är inställd hos er, utan om det står i avtalet att den är er.

Om något hos er är beroende av att adressen ligger still — och det är fler saker än man tror — ska den vara fast, och det ska vara skriftligt. "Normalt sett fast" är inte en teknisk egenskap utan en observation.

CGNAT: när ni inte har någon egen publik adress alls

Det finns ett läge som är vanligare än de flesta tror, och som ställer till mer: att ni inte har någon publik adress alls. Vid carrier grade NAT, CGNAT, ligger flera kunder bakom samma publika adress hos operatören, som gör ytterligare en omgång översättning i sitt eget nät. Upplägget är vanligt på mobila abonnemang och förekommer även på en del fasta produkter som ursprungligen är byggda för konsumentmarknaden.

Det går att kontrollera. Titta på vilken adress er router eller brandvägg har fått på utsidan. Ser den ut som en privat adress, eller ligger den i serien 100.64 till 100.127, sitter ni bakom operatörens NAT. Ser adressen på utsidan likadan ut som den adress omvärlden ser er komma ifrån har ni däremot en egen publik adress.

Konsekvenserna är konkreta. Ni kan inte öppna en port in till er. Inkommande VPN fungerar inte. System som ska nås utifrån går inte att nå. Och ni delar dessutom adress med okända andra, vilket betyder att ni kan hamna på spärrlistor eller mötas av extra kontroller hos tjänster ni försöker använda, på grund av något som någon annan har gjort. Om något i er verksamhet behöver nås utifrån är CGNAT inte en inställning att justera, utan en produktegenskap som måste bort.

När fast IP faktiskt är ett krav

Det finns ungefär sex situationer där en fast publik adress är ett verkligt krav, och inte en vana.

Den första är inkommande VPN till kontoret — anställda eller partners som kopplar upp sig hemifrån mot er brandvägg måste ha något att peka på. Den andra är system som ska nås utifrån: kameraövervakning, larm, passersystem, fastighetsstyrning, en filserver eller ett ärendesystem som står lokalt. Den tredje, och i praktiken den vanligaste, är IP-låsta integrationer: en bank, en myndighet, en större kund, en EDI-motpart eller en betalväxel som bara accepterar trafik från ett visst nummer. Den fjärde är egen e-postserver eller utskick från egen server, som vi återkommer till. Den femte är telefoni: SIP-trunkar där operatören filtrerar på avsändaradress. Den sjätte är plats-till-plats-VPN mellan kontor, där åtminstone ena änden behöver ligga still.

Lika viktigt är motsatsen. Om allt ni gör är webbaserat, om era system står i molnet och om er fjärråtkomst bygger på en lösning där klienten ringer ut i stället för in, behöver ni sannolikt ingen fast adress alls. Att fråga efter fast IP av gammal vana är ungefär lika vanligt som att inte fråga om saken över huvud taget, och kostar i slutänden lika mycket i onödig komplexitet.

En adress eller ett helt nät

Nästa fråga är hur många. En enskild publik adress räcker längre än många tror, eftersom brandväggen kan styra olika portar till olika maskiner innanför. Det finns däremot lägen där ett block är rätt.

Ett litet block skrivs ofta som ett /29. Det innehåller åtta adresser, varav en är nätadress, en är broadcast och en används av operatörens gateway — kvar blir fem användbara. Ett /28 innehåller sexton adresser med tretton användbara. Räkna på det innan ni beställer, för skillnaden mellan åtta och fem är precis den sortens detalj som upptäcks i fel skede.

Ett block behövs framför allt när flera tjänster ska nås separat utifrån på var sin adress, när ni vill lägga något i en DMZ som är tydligt avskild från det interna nätet, när ni kör en-till-en-översättning för enskilda servrar, eller när ni har flera avtalsmotparter som var och en vill låsa upp er på olika nummer. Behöver ni inget av det räcker en adress.

IPv4 är slut, och det märks i offerten

Adresserna i IPv4 tog slut på riktigt. RIPE NCC, som fördelar adresser i Europa och Mellanöstern, delar sedan 2019 bara ut från en väntelista, i takt med att adresser återlämnas. Konsekvensen för er är inte teknisk utan praktisk: publika IPv4-adresser är en resurs som operatörer numera hanterar restriktivt, ofta tar betalt för per adress och ibland vill ha en motivering till.

Två slutsatser följer. Begär det ni behöver redan i beställningen — att lägga till ett block i efterhand kan innebära att ni får en helt annan serie och behöver numrera om det som redan är konfigurerat. Men begär inte mer än ni behöver, av samma skäl som gör att det kostar.

IPv6, och varför det dyker upp i offerten

IPv6 löser bristen på adresser genom att det finns oändligt fler av dem, och de flesta seriösa företagsleverantörer levererar i dag både IPv4 och IPv6 parallellt, så kallad dual stack. Det är bra, och det är värt att ta emot.

Men det löser inte det problem som oftast är anledningen till att ni läser om saken. En motpart som har låst upp er på ett IPv4-nummer bryr sig inte om att ni också har IPv6, och de flesta IP-låsningar hos banker, myndigheter och större kunder är fortfarande IPv4. Räkna därför med IPv6 som ett tillskott, inte som en ersättning. Fråga om det levereras, om prefixet är fast, och hur stort det är — ett företag som ska segmentera sitt nät vill ha ett prefix som räcker till flera subnät, inte ett enda.

Reverse DNS: den post bara operatören kan sätta

Skickar ni e-post från en egen server är det här avsnittet det viktigaste i hela texten. Mottagande e-postservrar kontrollerar rutinmässigt att avsändarens IP-adress har en så kallad PTR-post — en omvänd uppslagning som pekar tillbaka från adressen till ett värdnamn — och att det namnet hänger ihop med domänen som skickar. Saknas posten, eller pekar den på något generiskt som operatören satt automatiskt, ökar risken markant att mejlen hamnar i skräpposten eller avvisas helt.

Det speciella med PTR-posten är att ni inte kan sätta den själva. Den ligger i den omvända zonen för adressblocket, och blocket tillhör operatören. Det betyder att den måste begäras, och att den begäran är enklare att få igenom i samband med beställningen än sex månader senare. Se samtidigt till att adressen finns med i er SPF-post, annars faller det ändå.

Adressen är lånad, inte er

En publik IP-adress följer operatören, inte kunden. Byter ni leverantör får ni en ny adress. Det är en av de mest förbisedda punkterna i ett operatörsbyte, och den är också en av de få som har ledtider hos någon annan än er själva: om en bank eller en myndighet ska ändra en brandväggsregel hos sig tar det den tid det tar, och den tiden styr ni inte över.

Inventera därför IP-beroendena innan ni byter, inte under bytet. Samma sak gäller vid en kontorsflytt, och vid byte av teknik hos samma operatör — även det kan ge en ny adress. Frågan att ställa är enkel: vad i vår miljö slutar fungera den dag adressen ändras? Listan brukar vara längre än den första gissningen, och den innehåller nästan alltid minst en sak som ingen längre minns att någon satte upp.

Egen adressrymd och BGP — när det lönar sig

Det finns en väg runt hela problemet: att skaffa egen adressrymd, ett eget AS-nummer och annonsera adresserna själv med BGP mot två operatörer. Då är adressen er, inte operatörens, och den är densamma oavsett vilken väg trafiken tar. Vid ett operatörsbyte behöver ingenting numreras om.

Det kräver samtidigt medlemskap hos RIPE, utrustning som klarar BGP och någon som förstår vad den gör. För de flesta företag är det överarbete. Men för den som har tjänster som måste nås utifrån på en adress som aldrig ändras, och som redan har två separata vägar ut, är det en fullt rimlig konstruktion och ofta enklare än den låter. Har ni inte den profilen är ett mer praktiskt upplägg en fast adress hos den primära operatören, plus en reservväg där ni accepterar att inkommande trafik når er på ett annat sätt — och har en plan för hur det sker.

En fast adress är en synlig adress

Den som har en fast publik adress blir automatiskt skannad, dygnet runt, av automatik som letar efter öppna portar och kända svagheter. Det är inget skäl att avstå, men det är ett skäl att göra två saker samtidigt.

Öppna bara det som måste vara öppet, och vet varför varje öppning finns — gamla portöppningar som blev kvar efter ett projekt är en av de vanligaste vägarna in. Lägg aldrig administrationsgränssnitt till brandvägg, router eller kamerasystem direkt mot internet. Kräv flerfaktor på allt som är exponerat. Håll exponerade system i ett eget segment så att en lyckad attack inte landar mitt i kontorsnätet. Och logga trafiken mot den publika adressen, så att ni kan se skillnad på en incident och en känsla.

Det här ska stå i beställningen

Skriv in punkterna i underlaget och begär att de besvaras skriftligt, så att svaren går att hålla någon till.

Antal publika IPv4-adresser, och om det är enskilda adresser eller ett sammanhängande block. Att adresserna är fasta och reserverade för er, uttryckt som ett åtagande och inte som en beskrivning av hur det brukar vara. Att förbindelsen inte ligger bakom operatörens NAT. Om PTR-post sätts på begäran, och hur den begäran görs. Om IPv6 levereras, om prefixet är fast och hur stort det är. Vem som konfigurerar brandväggen och vem som äger utrustningen efteråt. Vad som händer med adresserna vid flytt, vid uppsägning och vid byte av accessteknik. Och, om ni har en reservväg: om den har samma adress eller en annan, och vad det i så fall innebär för inkommande trafik.

Frågorna att ställa till leverantören

Ingår en fast publik IPv4-adress, eller är det ett tillval? Hur många adresser kan vi få, och vad krävs för att få fler? Ligger produkten bakom CGNAT? Kan ni sätta en PTR-post åt oss? Levereras IPv6, och i så fall hur? Behåller vi adressen om vi byter kapacitet eller teknik hos er? Vad händer med adressen om vi flyttar kontoret? Vem kontaktar vi för att öppna en port, och hur snabbt sker den ändringen i praktiken? Kan vi annonsera egen adressrymd via er om vi vill det längre fram?

Den näst sista frågan är den som märks mest i vardagen. En fast adress är värd desto mindre om varje ändring i brandväggen ska gå via ett formulär och en kö.

Så jobbar vi

Bredband3 äger inget eget nät. Vi är operatörsoberoende och sätter ihop lösningen utifrån vad som faktiskt går att leverera på er adress, vilket innebär att adresseringen kan se olika ut beroende på vilken operatör och vilken teknik som blir aktuell. Därför hanterar vi frågan i beställningen i stället för efteråt: vad ni behöver för fast adress, hur många, och vad som ska fungera utifrån.

Kundtjänst och support är vår egen och sitter i Sverige, så ni har samma kontaktväg oavsett vilket underliggande nät som används. Vad som går att leverera, hur adresseringen ser ut och vilka åtaganden som gäller beror på adress och teknik, och skrivs in i avtalet.

Har ni en lista över vad som måste nås utifrån — VPN, larm, kameror, terminaler, integrationer — skicka den tillsammans med adressen, så tar vi med adresseringen i förslaget från början. Begär offert så återkommer vi.

Vill ni gå vidare hittar ni mer om nätverkslösningar på plats, cybersäkerhet i nätverkslagret, dedikerad företagsfiber, SD-WAN mellan flera siter, nät för butik och retail och företagsbredband i Stockholm.