Wspólny i dedykowany adres IP VPN: co naprawdę się zmienia
Przypięte wyjście i wspólna pula przechodzą tę samą procedurę przepisywania. Różni się blok portów, który otrzymujesz, czas trwania powiązania i to, kto dzieli jego historię.
Wspólne wyjście i dedykowane wyjście przechodzą tę samą procedurę przepisywania: brama zastępuje twój adres źródłowy publicznym adresem ze swojej puli i wybiera port. Różnica polega na tym, jak zbudowana jest ta pula i jak długo przetrwa twoje powiązanie. To decyzja o przydziale, a nie aktualizacja szyfrowania.
To ujęcie odpowiada od razu na większość praktycznych pytań. Listę dozwolonych interesuje stabilność powiązania, kontrolę oszustw w witrynie interesuje historia adresu, a żadnej z nich nie interesuje nazwa planu.
Oba warianty to mapowanie portów na jednym adresie
Gdy klient otwiera połączenie przez wyjście, brama przepisuje adres źródłowy na publiczny adres przydzielony przez pulę i wybiera port źródłowy z wolnego zakresu tego adresu. Dwaj abonenci na tym samym wyjściu stają się dwoma blokami portów na jednym adresie IPv4. Zdalny serwer widzi jeden host z wieloma równoczesnymi połączeniami, a nic w ładunku nie mówi, który blok należy do którego abonenta. To mapowanie portów jest mechanizmem, który w ogóle umożliwia współdzielenie adresu.
Dedykowany przydział skraca tę historię bez zmiany jej kształtu: pula trzyma jednego członka dla twojego konta, a operator przypina go, zamiast obracać cię w pierścieniu. Porty nadal są współdzielone między twoimi sesjami, a adres nadal jest tłumaczony na wyjściu, a nie kierowany do twojego urządzenia.
Zachowanie na łączu jest więc identyczne, a różni się tylko księgowość.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Listy dozwolonych śledzą powiązanie, nie etykietę
Reguła dostępu oparta na IP w usłudze biznesowej sprawdza jedno pole w nagłówku pakietu. Jeśli to pole musi odpowiadać stałej wartości, rotująca pula jest złym narzędziem, niezależnie od liczby adresów. Przypięty przydział spełnia regułę, dopóki konserwacja nie przeniesie adresu, dlatego polityka konserwacji należy do tej samej rozmowy co lista funkcji.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Uruchom obie linie z aktywnym tunelem. Pierwsza potwierdza wyjście IPv4, które zobaczy twoja lista dozwolonych; druga wychwytuje wyciek podwójnego stosu, gdy ruch IPv6 wychodzi przez dostawcę, a IPv4 idzie przez tunel. Usługa akceptująca obie rodziny może nie przejść kontroli listy z powodu, którego wynik IPv4 nigdy nie pokazuje.
Następnie potwierdź, że aplikacja potrzebująca listy dozwolonych to ta, która korzysta z tunelu: tunel dzielony, wykluczona trasa lub ustawienie proxy mogą wysłać tę aplikację bezpośrednio na zewnątrz, podczas gdy test przeglądarki wygląda poprawnie. Wyłącznik, który blokuje ruch, gdy tunel padnie, jest lepszy od cichego powrotu do domowego adresu, i właśnie tak przepływ pracy z listą dozwolonych psuje się w złą stronę.
Reputacja podróżuje z adresem
Wspólne wyjście niesie zgromadzone zachowanie wszystkich, którzy go używali, więc ocenianie po stronie celu, limity szybkości i strony wyzwań reagują na tę historię. Zwykłe przeglądanie może wtedy napotkać dodatkową weryfikację z powodów, których nie widzisz. Przypięty adres zawęża zbiór współtwórców do twojego konta. Mimo to nie przychodzi czysty, bo przypięte adresy są poddawane recyklingowi, a zakres centrum danych może być traktowany inaczej niż zakres domowy, niezależnie od tego, kto go teraz ma.
Konta, pliki cookie i odciski palców przeglądarki nadal kierują większością tych decyzji.
Traktuj reputację jako właściwość całej ścieżki, a nie liczbę przyklejoną do nazwy planu. Dwaj klienci u tego samego dostawcy mogą otrzymać różne traktowanie z powodu podsieci, własnej polityki celu lub konta stojącego za żądaniem.
Co pozostaje takie samo w obu przypadkach
Tunel szyfruje w ten sam sposób. WireGuard nadal wykonuje uścisk dłoni na tych samych kluczach, OpenVPN nadal negocjuje ten sam zestaw szyfrów, a adres wyjściowy nigdy nie wchodzi do tej negocjacji. Płacenie za przypięty adres kupuje zachowanie przydziału, a nie mocniejszy transport.
Widoczność operatora również się nie zmienia. Połączenia źródłowe, znaczniki czasu i identyfikatory kont pozostają obserwowalne na wyjściu w obu układach, a dzielenie adresu z obcymi nie tworzy polityki rejestrowania. Przypięty adres może nawet działać jako stabilniejszy identyfikator między sesjami, co przeczy założeniu, że dedykowany oznacza bardziej prywatny.
Wybierz przypięty, gdy cel wymaga stabilnego źródła, gdy przepływ pracy nie toleruje rotacji lub gdy wspólna historia stale przerywa legalny ruch. Zostań przy puli, gdy jedynym wymaganiem jest inne wyjście, a rotacja nic nie kosztuje. Zweryfikuj wynik dwiema powyższymi komendami, zanim zaufasz któremukolwiek założeniu. Wyjście, które uważasz, że masz, i to, które widzi serwer, to to samo pole tylko wtedy, gdy nic pomiędzy go nie przepisuje.