Агульны і выдзелены IP для VPN: што сапраўды змяняецца
Закрэплены выхад і агульны пул праходзяць праз адну і тую ж перапіс. Розніца ў тым, які блок портаў вы атрымаеце, колькі трывае прывязка і хто дзеліць яе гісторыю.
Агульны выхад і выдзелены праходзяць праз адну і тую ж перапіс: шлюз замяняе ваш адрас крыніцы на публічны адрас са свайго пула і выбірае порт. Розніца ў тым, як пабудаваны гэты пул і колькі часу жыве ваша прывязка. Гэта рашэнне аб размеркаванні, а не паляпшэнне шыфравання.
Такая пастаноўка адразу адказвае на большасць практычных пытанняў. Спіс дазволаў клапоціцца пра стабільнасць прывязкі, праверка махлярства на сайце — пра гісторыю адраса, і ніводнаму не цікава, як называецца план.
Абодва варыянты — гэта адлюстраванне портаў на адным адрасе
Калі кліент адкрывае злучэнне праз выхад, шлюз перапісвае адрас крыніцы на той публічны адрас, які выдае пул, і выбірае порт крыніцы з вольнага дыяпазону гэтага адраса. Два падпісчыкі на адным выхадзе становяцца двума блокамі портаў на адным адрасе IPv4. Аддалены сервер бачыць адзін хост з мноствам адначасовых злучэнняў, і нішто ў карыснай нагрузцы не паказвае, які блок належыць якому падпісчыку. Менавіта гэтае адлюстраванне портаў робіць сумеснае выкарыстанне адраса магчымым.
Выдзеленае прызначэнне скарачае гэтую гісторыю, не змяняючы яе формы: пул трымае аднаго ўдзельніка для вашага ўліковага запісу, і аператар замацоўвае яго замест таго, каб круціць вас па коле. Парты ўсё яшчэ дзеляцца паміж вашымі сесіямі, а адрас па-ранейшаму пераўтвараецца на выхадзе, а не маршрутызуецца на вашу прыладу.
Такім чынам, паводзіны ў сетцы аднолькавыя, адрозніваецца толькі ўлік.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Спісы дазволаў сочаць за прывязкай, а не за назвай
Правіла доступу на аснове IP для бізнес-сэрвісу правярае адно поле ў загалоўку пакета. Калі гэтае поле павінна адпавядаць фіксаванаму значэнню, пул з ратацыяй — няправільны інструмент, незалежна ад колькасці адрасоў у ім. Закрэпленае прызначэнне задавальняе правіла, пакуль абслугоўванне не перанясе адрас, і менавіта таму палітыка абслугоўвання належыць да той жа размовы, што і спіс функцый.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Запусціце абодва радкі з паднятым тунелем. Першы пацвердзіць выхад IPv4, які ўбачыць ваш спіс дазволаў; другі выкрые ўцечку падвойнага стэка, калі трафік IPv6 выходзіць праз правайдэра, а IPv4 ідзе праз тунель. Сэрвіс, які прымае абодва сямействы, можа не прайсці праверку спісу дазволаў па прычыне, якую вынік IPv4 ніколі не пакажа.
Затым пераканайцеся, што менавіта праграма, якой патрэбны спіс дазволаў, выкарыстоўвае тунель: раздвоенае тунеляванне, выключаны маршрут або налада проксі могуць адправіць гэтую праграму напрамую, пакуль тэст у браўзеры выглядае правільным. Перамыкач аварыйнага адключэння, які блакуе трафік пры падзенні тунеля, лепш за ціхі адкат на ваш хатні адрас, і гэта якраз той выпадак, калі дазволены працоўны працэс ламаецца ў няправільным кірунку.
Рэпутацыя падарожнічае разам з адрасам
Агульны выхад нясе назапашаную паводзіны ўсіх, хто ім карыстаўся, таму ацэнка з боку прызначэння, абмежаванні хуткасці і старонкі-выклікі рэагуюць на гэтую гісторыю. Звычайнае блуканне можа тады сутыкнуцца з дадатковай праверкай па прычынах, якіх вы не бачыце. Закрэплены адрас звужае кола ўдзельнікаў да вашага ўласнага ўліковага запісу. Ён усё роўна не прыходзіць чыстым, бо закрэпленыя адрасы перапрацоўваюцца, і дыяпазон цэнтра даных можа ўспрымацца інакш, чым жылы, хто б ім цяпер ні валодаў.
Уліковыя запісы, кукі і адбіткі браўзера ўсё яшчэ вызначаюць большасць гэтых рашэнняў.
Разглядайце рэпутацыю як уласцівасць усяго шляху, а не лік, прывязаны да назвы плана. Два кліенты ў аднаго правайдэра могуць атрымаць рознае стаўленне з-за падсеткі, уласнай палітыкі прызначэння або ўліковага запісу за запытам.
Што застаецца нязменным у абодвух выпадках
Тунель шыфруе гэтак жа. WireGuard па-ранейшаму ўзгадняе рукапоціск тымі ж ключамі, OpenVPN па-ранейшаму дамаўляецца пра той жа набор шыфраў, і адрас выхаду ніколі не ўваходзіць у гэтыя перамовы. Плата за закрэплены адрас купляе паводзіны размеркавання, а не больш моцны транспарт.
Бачнасць для аператара таксама не змяняецца. Злучэнні крыніцы, часовыя пазнакі і ідэнтыфікатары ўліковых запісаў застаюцца назіральнымі на выхадзе пры абодвух парадках, і сумеснае выкарыстанне адраса з незнаёмымі не стварае палітыку журналавання. Закрэплены адрас нават можа служыць больш устойлівым ідэнтыфікатарам паміж сесіямі, што супярэчыць здагадцы, нібы выдзелены азначае больш прыватны.
Выбірайце закрэплены адрас, калі прызначэнне патрабуе стабільнай крыніцы, калі працоўны працэс не церпіць ратацыі або калі агульная гісторыя ўвесь час перарывае легітымны трафік. Заставайцеся на пуле, калі адзінае патрабаванне — іншы выхад, а ратацыя нічога не каштуе. Праверце вынік двума камандамі вышэй, перш чым давяраць любой з здагадак. Выхад, які вы думаеце, што маеце, і той, які бачыць сервер, — гэта адно поле толькі тады, калі нішто паміж імі яго не перапісвае.