プライベートIPアドレスはプロキシをバイパスすべきか？

プライベートアドレスは「このノートPCのローカルネットワーク上」という場所のラベルではありません。プロキシからしか到達できないネットワークに属することもあります。

オフィスネットワーク内の承認済みプロキシを想像してください。そのクライアントはプロキシに 10.20.0.15 への到達を求めます。プロキシには必要なルートがあり、そのネットワークの外にいるクライアントにはありません。プライベート範囲全体をクライアントのバイパスリストに追加すると、サービスを到達可能にしていた唯一の経路が失われます。

プライベートアドレス空間は再利用も可能です。同じ数値アドレスが、クライアントの自宅ネットワークではあるものを、プロキシのネットワークではまったく別のものを指すことがあります。したがって、直接ルーティングとプロキシ経由のどちらを選ぶかは、同じマシンへの速い経路ではなく、異なる宛先コンテキストを選ぶことになり得ます。

呼び出し元の視点でイントラネットを定義する

範囲の例外を追加する前に、アプリケーションがどこで動作し、どのネットワークに宛先が含まれるべきか、どのコンポーネントが最終的な接続を開くべきかを特定します。コンテナ、リモートブラウザ、デスクトップツールでは答えが異なる場合があります。

その意図した構成に合う、範囲を狭く限定した名前またはアドレスのルールを使います。すべてのプライベート範囲の一般的なリストは、ネットワークポリシーの代わりにはなりません。

直接ルートが本当に意図されているなら、そこに通常の到達性とアクセス許可が存在しなければなりません。プロキシが意図されているなら、その宛先制限と認可を維持します。プライベートアドレスだけでは、どちらの問いにも答えません。