IP VPN condiviso o dedicato: cosa cambia davvero
Un’uscita bloccata e un pool condiviso passano per la stessa riscrittura. A cambiare è il blocco di porte che ottieni, quanto dura il binding e chi ne condivide la cronologia.
Un’uscita condivisa e una dedicata passano per la stessa riscrittura: il gateway sostituisce il tuo indirizzo di origine con un indirizzo pubblico del suo pool e sceglie una porta. La differenza sta in come è costruito quel pool e in quanto sopravvive il tuo binding. È una decisione di allocazione, non un potenziamento della crittografia.
Questa impostazione risponde in una volta alla maggior parte delle domande pratiche. A una lista di autorizzazione interessa la stabilità del binding, al controllo antifrode di un sito interessa la cronologia dell’indirizzo, e a nessuno dei due interessa come si chiama il piano.
Entrambe le opzioni sono mappature di porte su un indirizzo
Quando un client apre una connessione attraverso un’uscita, il gateway riscrive l’indirizzo di origine nell’indirizzo pubblico che il pool assegna e sceglie una porta di origine dall’intervallo libero di quell’indirizzo. Due abbonati sulla stessa uscita diventano due blocchi di porte su un unico indirizzo IPv4. Il server remoto vede un host con molte connessioni simultanee, e nulla nel payload dice quale blocco appartenga a quale abbonato. Quella mappatura di porte è il meccanismo che rende possibile la condivisione dell’indirizzo.
Un’assegnazione dedicata accorcia quella storia senza cambiarne la forma: il pool tiene un membro per il tuo account e l’operatore lo blocca invece di farti ruotare in un anello. Le porte restano condivise tra le tue sessioni, e l’indirizzo resta tradotto all’uscita invece di essere instradato al tuo dispositivo.
Quindi il comportamento sul filo è identico, e cambia solo la contabilità.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Le liste di autorizzazione seguono il binding, non l’etichetta
Una regola di accesso basata sull’IP su un servizio aziendale controlla un campo nell’intestazione del pacchetto. Se quel campo deve corrispondere a un valore fisso, un pool rotante è lo strumento sbagliato per quanti indirizzi contenga. Un’assegnazione bloccata soddisfa la regola finché la manutenzione non sposta l’indirizzo, ed è per questo che la politica di manutenzione appartiene alla stessa conversazione dell’elenco delle funzioni.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Esegui entrambe le righe con il tunnel attivo. La prima conferma l’uscita IPv4 che vedrà la tua lista di autorizzazione; la seconda intercetta una fuga a doppio stack in cui il traffico IPv6 esce dal provider mentre l’IPv4 passa dal tunnel. Un servizio che accetta entrambe le famiglie può fallire un controllo della lista per un motivo che il risultato IPv4 non mostra mai.
Poi verifica che l’applicazione che ha bisogno della lista di autorizzazione sia quella che usa il tunnel: un tunnel diviso, una rotta esclusa o un’impostazione proxy possono far uscire quell’app direttamente mentre il test del browser sembra corretto. Un interruttore di sicurezza che blocca il traffico quando il tunnel cade è meglio di un ritorno silenzioso al tuo indirizzo di casa, ed è esattamente così che un flusso di lavoro con lista di autorizzazione si rompe nella direzione sbagliata.
La reputazione viaggia con l’indirizzo
Un’uscita condivisa porta con sé il comportamento accumulato di tutti quelli che l’hanno usata, quindi il punteggio lato destinazione, i limiti di velocità e le pagine di verifica reagiscono a quella cronologia. La navigazione ordinaria può quindi incontrare verifiche extra per motivi che non vedi. Un indirizzo bloccato restringe l’insieme dei contributori al tuo account. Non arriva comunque pulito, perché gli indirizzi bloccati vengono riciclati e un intervallo di data center può essere trattato diversamente da uno residenziale, chiunque lo possieda ora.
Account, cookie e impronte del browser guidano ancora la maggior parte di quelle decisioni.
Tratta la reputazione come una proprietà dell’intero percorso anziché un numero attaccato al nome di un piano. Due clienti dello stesso provider possono ricevere un trattamento diverso per la sottorete, per la politica della destinazione stessa o per l’account dietro la richiesta.
Cosa resta uguale in entrambi i casi
Il tunnel cifra allo stesso modo. WireGuard esegue ancora l’handshake con le stesse chiavi, OpenVPN negozia ancora la stessa suite di cifratura, e l’indirizzo di uscita non entra mai in quella negoziazione. Pagare per un indirizzo bloccato compra un comportamento di allocazione, non un trasporto più forte.
Anche la visibilità dell’operatore resta la stessa. Connessioni di origine, timestamp e identificatori di account restano osservabili all’uscita in entrambe le configurazioni, e condividere un indirizzo con estranei non crea una politica di registrazione. Un indirizzo bloccato può persino fungere da identificatore più stabile tra sessioni, il che contraddice l’ipotesi che dedicato significhi più privato.
Scegli il bloccato quando una destinazione richiede un’origine stabile, quando un flusso di lavoro non tollera la rotazione o quando la cronologia condivisa interrompe ripetutamente traffico legittimo. Resta su un pool quando l’unico requisito è un’uscita diversa e la rotazione non costa nulla. Verifica il risultato con i due comandi qui sopra prima di fidarti di una delle due ipotesi. L’uscita che pensi di avere e quella che vede il server sono lo stesso campo solo quando nulla in mezzo la riscrive.