Gedeelde en dedicated VPN-IP: wat er echt verandert
Een vastgezette uitgang en een gedeelde pool doorlopen dezelfde herschrijving. Wat verschilt is het poortblok dat je krijgt, hoe lang de binding standhoudt en wie de geschiedenis deelt.
Een gedeelde uitgang en een dedicated uitgang doorlopen dezelfde herschrijving: de gateway vervangt je bronadres door een openbaar adres uit zijn pool en kiest een poort. Het verschil zit in hoe die pool is opgebouwd en hoe lang je binding overleeft. Het is een toewijzingsbeslissing, geen versleutelingsupgrade.
Die manier van kijken beantwoordt de meeste praktische vragen in één keer. Een allowlist geeft om de stabiliteit van de binding, de fraudcontrole van een website om de geschiedenis van het adres, en geen van beide geeft om hoe het abonnement heet.
Beide opties zijn poorttoewijzingen op één adres
Wanneer een client een verbinding opent via een uitgang, herschrijft de gateway het bronadres naar het openbare adres dat de pool uitgeeft en kiest een bronpoort uit het vrije bereik van dat adres. Twee abonnees op dezelfde uitgang worden twee poortblokken op één IPv4-adres. De externe server ziet één host met veel gelijktijdige verbindingen, en niets in de payload zegt welk blok bij welke abonnee hoort. Die poorttoewijzing is het mechanisme dat adressen delen in de eerste plaats mogelijk maakt.
Een dedicated toewijzing maakt dat verhaal korter zonder de vorm te veranderen: de pool houdt één lid voor je account en de operator zet dat vast in plaats van je door een ring te roteren. Poorten worden nog steeds gedeeld over je eigen sessies, en het adres wordt nog steeds bij de uitgang vertaald in plaats van naar je apparaat gerouteerd.
Dus het gedrag op de kabel is identiek, en alleen de boekhouding verschilt.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Allowlijsten volgen de binding, niet het label
Een op IP gebaseerde toegangsregel op een zakelijke dienst controleert één veld in de pakketkop. Als dat veld met een vaste waarde moet overeenkomen, is een roterende pool het verkeerde hulpmiddel hoeveel adressen hij ook bevat. Een vastgezette toewijzing voldoet aan de regel tot het onderhoud het adres verplaatst, en daarom hoort het onderhoudsbeleid in hetzelfde gesprek als de functielijst.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Voer beide regels uit met de tunnel actief. De eerste bevestigt de IPv4-uitgang die je allowlist zal zien; de tweede vangt een dual-stack-lek waarbij IPv6-verkeer via de provider naar buiten gaat terwijl IPv4 door de tunnel loopt. Een dienst die beide families accepteert, kan een allowlist-controle falen om een reden die het IPv4-resultaat nooit laat zien.
Bevestig daarna dat de applicatie die de allowlist nodig heeft degene is die de tunnel gebruikt: split tunneling, een uitgesloten route of een proxy-instelling kan die app rechtstreeks naar buiten sturen terwijl de browsertest er correct uitziet. Een kill switch die verkeer blokkeert wanneer de tunnel wegvalt, is beter dan een stille terugval naar je thuisadres, en dat is precies hoe een werkstroom met allowlist in de verkeerde richting breekt.
Reputatie reist mee met het adres
Een gedeelde uitgang draagt het opgebouwde gedrag van iedereen die hem heeft gebruikt, dus scoring aan de bestemmingskant, snelheidslimieten en uitdagingspagina's reageren op die geschiedenis. Gewoon browsen kan dan extra verificatie tegenkomen om redenen die je niet ziet. Een vastgezet adres vernauwt de groep bijdragers tot je eigen account. Het komt toch niet schoon aan, want vaste adressen worden gerecycled en een datacenterbereik kan anders worden behandeld dan een woonbereik, wie het nu ook heeft.
Accounts, cookies en browser-vingerafdrukken bepalen nog steeds de meeste van die beslissingen.
Behandel reputatie als een eigenschap van het hele pad in plaats van een nummer dat aan een abonnementsnaam hangt. Twee klanten bij dezelfde provider kunnen anders worden behandeld vanwege het subnet, het eigen beleid van de bestemming of het account achter het verzoek.
Wat in beide gevallen hetzelfde blijft
De tunnel versleutelt op dezelfde manier. WireGuard doet nog steeds de handshake met dezelfde sleutels, OpenVPN onderhandelt nog steeds over dezelfde ciphersuite, en het uitgangsadres komt nooit in die onderhandeling. Betalen voor een vastgezet adres koopt toewijzingsgedrag, geen sterker transport.
De zichtbaarheid van de operator blijft ook hetzelfde. Bronverbindingen, tijdstempels en accountidentificaties blijven bij de uitgang waarneembaar in beide opstellingen, en een adres met vreemden delen creëert geen loggingbeleid. Een vastgezet adres kan zelfs als een stabielere identificatie tussen sessies werken, wat indruist tegen de aanname dat dedicated meer privacy betekent.
Kies vastgezet wanneer een bestemming een stabiele bron eist, wanneer een werkstroom rotatie niet verdraagt of wanneer gedeelde geschiedenis legitiem verkeer steeds onderbreekt. Blijf bij een pool wanneer de enige eis een andere uitgang is en rotatie niets kost. Controleer het resultaat met de twee opdrachten hierboven voordat je een van beide aannames vertrouwt. De uitgang waarvan je denkt dat je hem hebt en degene die de server ziet, zijn alleen hetzelfde veld als niets ertussen hem herschrijft.