Sdílená versus vyhrazená IP adresa VPN: co se skutečně mění
Připnutý výstup a sdílený fond procházejí stejným přepisem. Liší se blok portů, který dostanete, jak dlouho vazba vydrží a kdo sdílí její historii.
Sdílený výstup a vyhrazený procházejí stejným přepisem: brána nahradí vaši zdrojovou adresu veřejnou adresou ze svého fondu a vybere port. Rozdíl je v tom, jak je fond postaven a jak dlouho vaše vazba přežije. Je to rozhodnutí o přidělení, ne vylepšení šifrování.
Tento rámec odpovídá na většinu praktických otázek najednou. Seznam povolených adres se zajímá o stabilitu vazby, kontrola podvodů na webu o historii adresy, a ani jedno se nezajímá o to, jak se plán jmenuje.
Obě možnosti jsou mapování portů na jedné adrese
Když klient otevře spojení přes výstup, brána přepíše zdrojovou adresu na veřejnou adresu, kterou fond přidělí, a vybere zdrojový port z volného rozsahu této adresy. Dva odběratelé na stejném výstupu se stanou dvěma bloky portů na jedné adrese IPv4. Vzdálený server vidí jeden hostitel s mnoha souběžnými spojeními a nic v užitečném zatížení neříká, který blok patří kterému odběrateli. Právě toto mapování portů umožňuje sdílení adresy.
Vyhrazené přidělení ten příběh zkracuje, aniž by měnilo jeho tvar: fond drží jednoho člena pro váš účet a operátor ho připne, místo aby vás točil v kruhu. Porty se stále sdílejí mezi vašimi vlastními relacemi a adresa se stále překládá na výstupu, nikoli směruje do vašeho zařízení.
Chování v síti je tedy totožné a liší se jen evidence.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Seznamy povolených adres sledují vazbu, ne označení
Pravidlo přístupu založené na IP pro podnikovou službu kontroluje jedno pole v hlavičce paketu. Pokud se toto pole musí shodovat s pevnou hodnotou, je rotující fond nesprávný nástroj bez ohledu na počet adres. Připnuté přidělení pravidlo splňuje, dokud údržba adresu nepřesune, a proto politika údržby patří do stejné konverzace jako seznam funkcí.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Spusťte oba řádky se zapnutým tunelem. První potvrdí výstup IPv4, který váš seznam uvidí; druhý zachytí únik duálního zásobníku, kdy provoz IPv6 odchází přes poskytovatele, zatímco IPv4 jde tunelem. Služba, která přijímá obě rodiny, může selhat v kontrole seznamu z důvodu, který výsledek IPv4 nikdy neukáže.
Potom ověřte, že aplikace, která seznam potřebuje, je ta, která tunel používá: rozdělené tunelování, vyloučená trasa nebo nastavení proxy mohou tu aplikaci poslat přímo ven, zatímco test v prohlížeči vypadá správně. Přepínač, který při pádu tunelu zablokuje provoz, je lepší než tiché vrácení na vaši domácí adresu, a přesně tak se povolený pracovní postup láme špatným směrem.
Reputace cestuje s adresou
Sdílený výstup nese nahromaděné chování všech, kdo ho použili, takže hodnocení na straně cíle, limity rychlosti a stránky s výzvou reagují na tuto historii. Běžné prohlížení pak může narazit na dodatečné ověření z důvodů, které nevidíte. Připnutá adresa zužuje okruh přispěvatelů na váš účet. Přesto nepřichází čistá, protože připnuté adresy se recyklují a rozsah datového centra může být posuzován jinak než rezidenční, ať ho nyní drží kdokoli.
Účty, soubory cookie a otisky prohlížeče stále řídí většinu těchto rozhodnutí.
Berte reputaci jako vlastnost celé cesty, ne jako číslo přišpendlené k názvu plánu. Dva zákazníci u stejného poskytovatele mohou dostat jiné zacházení kvůli podsíti, vlastní politice cíle nebo účtu za požadavkem.
Co zůstává v obou případech stejné
Tunel šifruje stejně. WireGuard stále provádí handshake se stejnými klíči, OpenVPN stále vyjednává stejnou sadu šifer a adresa výstupu do tohoto vyjednávání nikdy nevstupuje. Platba za připnutou adresu kupuje chování při přidělování, ne silnější přenos.
Viditelnost pro operátora zůstává také stejná. Zdrojová spojení, časová razítka a identifikátory účtů zůstávají na výstupu pozorovatelné v obou uspořádáních a sdílení adresy s cizími lidmi nevytváří politiku protokolování. Připnutá adresa může dokonce sloužit jako stabilnější identifikátor napříč relacemi, což jde proti předpokladu, že vyhrazené znamená soukromější.
Zvolte připnutou adresu, když cíl vyžaduje stabilní zdroj, když pracovní postup nesnese rotaci nebo když sdílená historie stále přerušuje legitimní provoz. Zůstaňte u fondu, když je jediným požadavkem jiný výstup a rotace nic nestojí. Ověřte výsledek dvěma příkazy výše, než uvěříte kterémukoli předpokladu. Výstup, o kterém si myslíte, že ho máte, a ten, který vidí server, jsou stejné pole jen tehdy, když ho nic mezi tím nepřepisuje.