IP VPN partagée ou dédiée : ce qui change vraiment
Une sortie épinglée et un pool partagé passent par la même réécriture. Ce qui change, c’est le bloc de ports obtenu, la durée de l’attachement et qui partage son historique.
Une sortie partagée et une sortie dédiée passent par la même réécriture : la passerelle remplace votre adresse source par une adresse publique de son pool et choisit un port. La différence tient à la construction de ce pool et à la durée de vie de votre attachement. C’est une décision d’allocation, pas une montée en gamme du chiffrement.
Ce cadrage répond d’un coup à la plupart des questions pratiques. Une liste d’autorisation se soucie de la stabilité de l’attachement, le contrôle anti-fraude d’un site se soucie de l’historique de l’adresse, et ni l’un ni l’autre ne se soucie du nom du forfait.
Les deux options sont des mappages de ports sur une adresse
Quand un client ouvre une connexion via une sortie, la passerelle réécrit l’adresse source vers l’adresse publique que le pool attribue et choisit un port source dans la plage libre de cette adresse. Deux abonnés sur la même sortie deviennent deux blocs de ports sur une seule adresse IPv4. Le serveur distant voit un hôte avec de nombreuses connexions simultanées, et rien dans la charge utile n’indique quel bloc appartient à quel abonné. Ce mappage de ports est le mécanisme qui rend le partage d’adresse possible.
Une attribution dédiée raccourcit cette histoire sans en changer la forme : le pool garde un membre pour votre compte et l’opérateur l’épingle au lieu de vous faire tourner dans un anneau. Les ports restent partagés entre vos propres sessions, et l’adresse est toujours traduite à la sortie plutôt que routée vers votre appareil.
Le comportement sur le fil est donc identique, seule la comptabilité diffère.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Les listes d’autorisation suivent l’attachement, pas l’étiquette
Une règle d’accès basée sur l’IP sur un service professionnel vérifie un champ de l’en-tête du paquet. Si ce champ doit correspondre à une valeur fixe, un pool rotatif est le mauvais outil, quel que soit le nombre d’adresses qu’il contient. Une attribution épinglée satisfait la règle jusqu’à ce que la maintenance déplace l’adresse, et c’est pourquoi la politique de maintenance appartient à la même discussion que la liste des fonctionnalités.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Lancez les deux lignes avec le tunnel actif. La première confirme la sortie IPv4 que verra votre liste d’autorisation ; la seconde détecte une fuite de double pile où le trafic IPv6 sort par le fournisseur pendant que l’IPv4 passe par le tunnel. Un service qui accepte les deux familles peut échouer à un contrôle de liste pour une raison que le résultat IPv4 ne montre jamais.
Vérifiez ensuite que l’application qui a besoin de la liste d’autorisation est bien celle qui utilise le tunnel : un tunnel divisé, une route exclue ou un réglage de proxy peuvent faire sortir cette application directement pendant que le test du navigateur semble correct. Un coupe-circuit qui bloque le trafic à la chute du tunnel vaut mieux qu’un retour silencieux à votre adresse domestique, et c’est exactement ainsi qu’un flux de travail avec liste d’autorisation casse dans la mauvaise direction.
La réputation voyage avec l’adresse
Une sortie partagée porte le comportement accumulé de tous ceux qui l’ont utilisée, si bien que la notation côté destination, les limites de débit et les pages de défi réagissent à cet historique. La navigation ordinaire peut alors rencontrer une vérification supplémentaire pour des raisons invisibles. Une adresse épinglée réduit l’ensemble des contributeurs à votre propre compte. Elle n’arrive pas propre pour autant, car les adresses épinglées sont recyclées et une plage de centre de données peut être traitée différemment d’une plage résidentielle, quel que soit son détenteur actuel.
Les comptes, les cookies et les empreintes de navigateur dictent encore la plupart de ces décisions.
Traitez la réputation comme une propriété de tout le chemin plutôt que comme un nombre attaché à un nom de forfait. Deux clients du même fournisseur peuvent recevoir un traitement différent à cause du sous-réseau, de la politique de la destination ou du compte derrière la requête.
Ce qui reste identique dans les deux cas
Le tunnel chiffre de la même façon. WireGuard effectue toujours sa poignée de main avec les mêmes clés, OpenVPN négocie toujours la même suite de chiffrement, et l’adresse de sortie n’entre jamais dans cette négociation. Payer pour une adresse épinglée achète un comportement d’allocation, pas un transport plus fort.
La visibilité de l’opérateur reste identique elle aussi. Les connexions sources, les horodatages et les identifiants de compte restent observables à la sortie dans les deux arrangements, et partager une adresse avec des inconnus ne crée pas de politique de journalisation. Une adresse épinglée peut même servir d’identifiant plus stable d’une session à l’autre, ce qui contredit l’idée que dédiée signifie plus privée.
Choisissez l’adresse épinglée quand une destination exige une source stable, quand un flux de travail ne tolère pas la rotation ou quand l’historique partagé interrompt sans cesse du trafic légitime. Restez sur un pool quand la seule exigence est une sortie différente et que la rotation ne coûte rien. Vérifiez le résultat avec les deux commandes ci-dessus avant de faire confiance à l’une ou l’autre hypothèse. La sortie que vous croyez avoir et celle que voit le serveur ne sont le même champ que si rien entre les deux ne le réécrit.