Approfondimento tecnico

Cambiare IP: DHCP, PPP, IPv6 temporanei e MAC casuale

L'indirizzo pubblico IPv4 di una linea domestica cambia quando l'operatore chiude la sessione della WAN e ne apre una nuova: con PPPoE alla rinegoziazione della sessione, con IPoE al rinnovo del lease DHCP. Quanto spesso succeda, e se cambi davvero, dipende da come l'operatore lega l'indirizzo alla linea. Per le basi c'è la guida introduttiva.

PPPoE e IPoE: due modi di ricevere l'indirizzo

• PPPoE: il router apre una sessione PPP autenticata con l'apparato dell'operatore (il BNG), che assegna l'indirizzo con IPCP. Ogni nuova sessione è una nuova assegnazione: per forzarla basta disconnettere la WAN dal pannello del router, senza spegnere il modem. Dal lato dell'operatore la sessione precedente può restare attiva per qualche minuto, finché non scadono i keepalive, ed è per questo che i riavvii troppo rapidi spesso restituiscono lo stesso indirizzo
• IPoE con DHCP: il router riceve l'indirizzo come un qualsiasi client DHCP, con un lease che si rinnova da solo a metà della durata. Se il router si ripresenta prima della scadenza del lease, il server tende a rinnovare lo stesso indirizzo: per cambiarlo bisogna di solito aspettare che il lease scada davvero, oppure rilasciarlo esplicitamente

In entrambi i casi molti operatori applicano una persistenza: l'indirizzo è associato alla linea, all'identificativo del circuito (DHCP option 82 o le credenziali PPP) o al MAC della WAN, e viene riassegnato uguale finché è libero. È una scelta deliberata, che riduce i problemi a chi usa accessi remoti. Su queste linee l'indirizzo cambia di rado, e non c'è comando lato cliente che lo forzi.

Con il CGNAT le due cose si separano: la sessione assegna al router un indirizzo in 100.64.0.0/10, mentre l'indirizzo pubblico è quello del pool del CGN, che sceglie lui come mappare i clienti. Riavviare cambia l'indirizzo della WAN, non necessariamente quello con cui si esce.

Verificare prima e dopo

• curl -s -4 mioip.org/ip — l'indirizzo IPv4 con cui esci
• curl -s mioip.org/json — indirizzo, provider e AS: utile per capire se dopo una VPN o un cambio di rete sei davvero in un'altra rete

IPv6: gli indirizzi temporanei cambiano da soli

Con IPv6 di solito l'operatore delega al router un prefisso (spesso un /56 o un /64), e ogni dispositivo si costruisce l'indirizzo completo aggiungendo un identificativo di interfaccia. Le privacy extensions, definite nella RFC 8981 che ha sostituito la RFC 4941, fanno generare ai sistemi operativi anche indirizzi temporanei casuali, usati per le connessioni in uscita:

• un nuovo indirizzo temporaneo viene preferito ogni giorno circa (valore predefinito di TEMP_PREFERRED_LIFETIME: 1 giorno)
• quelli vecchi restano validi per le connessioni già aperte fino a 2 giorni (TEMP_VALID_LIFETIME; la RFC 4941 prevedeva una settimana)
• Windows, macOS, iOS e Android le attivano di serie; su Linux dipende dalla distribuzione (net.ipv6.conf.*.use_tempaddr)

Quello che resta stabile è il prefisso, che identifica la linea come l'IPv4. Se l'operatore lo assegna in modo persistente, cambiare la parte finale dell'indirizzo non ti rende meno riconoscibile a livello di linea. I dettagli su prefissi e notazione sono nella guida su IPv6 in pratica.

Rinnovare l'IP privato

L'indirizzo privato si rinnova chiedendo al router un nuovo lease DHCP. Utile quando un dispositivo ha un conflitto di indirizzo o non si collega dopo un cambio di configurazione:

• Windows: ipconfig /release e poi ipconfig /renew dal Prompt dei comandi; per IPv6 ipconfig /release6 e /renew6
• macOS: Impostazioni di Sistema > Rete > connessione attiva > Dettagli > TCP/IP > Rinnova lease DHCP; da terminale sudo ipconfig set en0 DHCP, con il nome dell'interfaccia giusto (en0 non è sempre il Wi-Fi)
• Linux: con NetworkManager nmcli connection down e up della connessione; dove si usa ancora dhclient, sudo dhclient -r e poi sudo dhclient

Il router, di norma, restituisce lo stesso indirizzo allo stesso dispositivo: riconosce il MAC e rinnova la sua prenotazione. Per ottenerne uno diverso bisogna cancellare il lease dal pannello del router o cambiare il MAC.

MAC casuale sul Wi-Fi

iPhone (da iOS 14), Android (da Android 10) e Windows possono usare un indirizzo MAC diverso per ogni rete Wi-Fi, e alcuni sistemi lo ruotano anche nel tempo. Per il router è un dispositivo nuovo, quindi riceve un nuovo lease e spesso un nuovo IP privato. È il motivo per cui le prenotazioni DHCP e i filtri MAC smettono di funzionare con i telefoni: per quella rete va disattivata l'opzione dell'indirizzo privato o casuale. Sull'IP pubblico non ha alcun effetto.

VPN, proxy e Tor a confronto

• VPN: tutto il traffico del dispositivo esce dal server del servizio. I siti vedono il suo indirizzo; restano da controllare le richieste DNS fuori dal tunnel e WebRTC, che può esporre gli indirizzi locali. Sono spiegati nell'approfondimento sulle VPN
• Proxy: cambia l'indirizzo solo per le applicazioni configurate per usarlo, spesso il solo browser, e un proxy HTTP semplice non cifra nulla fra te e lui. Alcuni proxy aggiungono intestazioni come X-Forwarded-For con l'indirizzo originale
• Tor: il traffico attraversa tre nodi gestiti da volontari, e il sito vede solo l'ultimo. Separa chi sei da cosa fai molto meglio di una VPN, al prezzo di velocità ridotta e di molti siti che bloccano o mettono alla prova gli indirizzi di uscita di Tor, che sono pubblici

Nessuno dei tre cambia il comportamento del browser: account, cookie e impronta del dispositivo restano gli stessi, ed è da lì che passa la maggior parte del tracciamento.