Общий и выделенный IP VPN: что на самом деле меняется
Закреплённый выход и общий пул проходят через одну и ту же перезапись. Отличаются блок портов, срок жизни привязки и то, кто делит её историю.
Общий выход и выделенный выход проходят через одну и ту же перезапись: шлюз заменяет ваш исходный адрес публичным адресом из своего пула и выбирает порт. Разница в том, как устроен этот пул и как долго живёт ваша привязка. Это решение о распределении, а не обновление шифрования.
Такой взгляд сразу отвечает на большинство практических вопросов. Списку разрешённых важна стабильность привязки, проверке мошенничества на сайте — история адреса, и ни одной из них не важно, как называется тариф.
Оба варианта — это отображение портов на одном адресе
Когда клиент открывает соединение через выход, шлюз перезаписывает исходный адрес в публичный адрес, который выдаёт пул, и выбирает исходный порт из свободного диапазона этого адреса. Два абонента на одном выходе становятся двумя блоками портов на одном адресе IPv4. Удалённый сервер видит один хост с множеством одновременных соединений, и ничто в полезной нагрузке не говорит, какой блок принадлежит какому абоненту. Именно это отображение портов и делает совместное использование адреса вообще возможным.
Выделенное назначение сокращает эту историю, не меняя её формы: пул держит одного участника для вашей учётной записи, а оператор закрепляет его вместо того, чтобы вращать вас по кольцу. Порты по-прежнему делятся между вашими собственными сеансами, а адрес по-прежнему транслируется на выходе, а не маршрутизируется на ваше устройство.
Так что поведение на проводе одинаковое, и различается только учёт.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Списки разрешённых следят за привязкой, а не за ярлыком
Правило доступа по IP в деловом сервисе проверяет одно поле в заголовке пакета. Если это поле должно совпадать с фиксированным значением, вращающийся пул — неподходящий инструмент, сколько бы адресов в нём ни было. Закреплённое назначение удовлетворяет правилу, пока обслуживание не переместит адрес, и поэтому политика обслуживания относится к тому же разговору, что и список функций.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Запустите обе строки при включённом туннеле. Первая подтверждает выход IPv4, который увидит ваш список разрешённых; вторая ловит утечку двойного стека, когда трафик IPv6 уходит через провайдера, а IPv4 идёт через туннель. Сервис, принимающий оба семейства, может не пройти проверку списка по причине, которую результат IPv4 никогда не показывает.
Затем убедитесь, что приложение, которому нужен список разрешённых, — это то, которое использует туннель: раздельный туннель, исключённый маршрут или настройка прокси могут отправить это приложение напрямую наружу, пока тест в браузере выглядит правильным. Выключатель, блокирующий трафик при падении туннеля, лучше тихого возврата на ваш домашний адрес, и именно так рабочий процесс со списком разрешённых ломается в неверную сторону.
Репутация путешествует вместе с адресом
Общий выход несёт накопленное поведение всех, кто им пользовался, поэтому оценка на стороне назначения, ограничения скорости и страницы проверок реагируют на эту историю. Обычный просмотр может тогда встретить дополнительную проверку по причинам, которых вы не видите. Закреплённый адрес сужает круг вкладчиков до вашей собственной учётной записи. Чистым он всё равно не приходит, потому что закреплённые адреса переиспользуются, а диапазон дата-центра может обрабатываться иначе, чем домашний, кто бы им сейчас ни владел.
Учётные записи, cookie и отпечатки браузера по-прежнему определяют большинство таких решений.
Относитесь к репутации как к свойству всего пути, а не как к числу, приклеенному к названию тарифа. Два клиента у одного провайдера могут получить разное обращение из-за подсети, собственной политики назначения или учётной записи за запросом.
Что остаётся одинаковым в обоих случаях
Туннель шифрует одинаково. WireGuard по-прежнему выполняет рукопожатие теми же ключами, OpenVPN по-прежнему согласует тот же набор шифров, и адрес выхода никогда не входит в эти переговоры. Плата за закреплённый адрес покупает поведение распределения, а не более сильную передачу.
Видимость оператора тоже не меняется. Исходные соединения, метки времени и идентификаторы учётных записей остаются наблюдаемыми на выходе при обоих вариантах, и совместное использование адреса с незнакомцами не создаёт политику журналирования. Закреплённый адрес может даже служить более устойчивым идентификатором между сеансами, что противоречит допущению, будто выделенный означает более приватный.
Выбирайте закреплённый, когда назначение требует стабильного источника, когда рабочий процесс не терпит ротации или когда общая история постоянно прерывает легитимный трафик. Оставайтесь на пуле, когда единственное требование — другой выход, а ротация ничего не стоит. Проверьте результат двумя командами выше, прежде чем доверять любому из двух допущений. Выход, который, как вы думаете, у вас есть, и тот, который видит сервер, — одно и то же поле только тогда, когда ничто между ними его не перезаписывает.