Спільна та виділена IP-адреса VPN: що насправді змінюється
Закріплений вихід і спільний пул проходять через те саме перезаписування. Відрізняються блок портів, який ви отримуєте, тривалість прив'язки та те, хто ділить її історію.
Спільний вихід і виділений вихід проходять через те саме перезаписування: шлюз замінює вашу вихідну адресу публічною адресою зі свого пулу й обирає порт. Різниця в тому, як побудований цей пул і як довго живе ваша прив'язка. Це рішення про розподіл, а не оновлення шифрування.
Такий погляд одразу відповідає на більшість практичних питань. Списку дозволених важлива стабільність прив'язки, перевірці шахрайства на сайті — історія адреси, і жодній із них не важливо, як називається тариф.
Обидва варіанти — це відображення портів на одній адресі
Коли клієнт відкриває з'єднання через вихід, шлюз перезаписує вихідну адресу на публічну адресу, яку видає пул, і обирає вихідний порт із вільного діапазону цієї адреси. Два абоненти на одному виході стають двома блоками портів на одній адресі IPv4. Віддалений сервер бачить один хост із багатьма одночасними з'єднаннями, і ніщо в корисному навантаженні не каже, який блок належить якому абоненту. Саме це відображення портів і робить спільне використання адреси взагалі можливим.
Виділене призначення скорочує цю історію, не змінюючи її форми: пул тримає одного учасника для вашого облікового запису, а оператор закріплює його замість того, щоб обертати вас по кільцю. Порти й далі діляться між вашими власними сеансами, а адреса й далі транслюється на виході, а не маршрутизується на ваш пристрій.
Отже, поведінка на дроті однакова, і різниться лише облік.
| Property | Shared pool | Pinned assignment |
|---|---|---|
| Address selected at connect | Any free member of the pool | The one address bound to the account |
| Other subscribers on it | Present, unknown to you | Usually none, though the operator may oversubscribe |
| Stability across reconnects | Depends on pool size and rotation policy | Holds until the operator changes the assignment |
Списки дозволених стежать за прив'язкою, а не за ярликом
Правило доступу на основі IP у бізнес-сервісі перевіряє одне поле в заголовку пакета. Якщо це поле має збігатися з фіксованим значенням, ротаційний пул — неправильний інструмент, скільки б адрес у ньому не було. Закріплене призначення задовольняє правило, доки обслуговування не перемістить адресу, і тому політика обслуговування належить до тієї самої розмови, що й список функцій.
curl -4 -s https://api.ipify.org; echo curl -6 -s https://ifconfig.co; echo
Запустіть обидва рядки з увімкненим тунелем. Перший підтверджує вихід IPv4, який побачить ваш список дозволених; другий ловить витік подвійного стека, коли трафік IPv6 виходить через провайдера, а IPv4 іде через тунель. Сервіс, що приймає обидві родини, може не пройти перевірку списку з причини, якої результат IPv4 ніколи не показує.
Потім переконайтеся, що застосунок, якому потрібен список дозволених, — це той, що використовує тунель: розділений тунель, виключений маршрут або налаштування проксі можуть відправити цей застосунок прямо назовні, поки тест у браузері виглядає правильно. Вимикач, що блокує трафік при падінні тунелю, кращий за тихе повернення на вашу домашню адресу, і саме так робочий процес зі списком дозволених ламається в неправильний бік.
Репутація подорожує разом з адресою
Спільний вихід несе накопичену поведінку всіх, хто ним користувався, тож оцінювання на боці призначення, обмеження швидкості та сторінки викликів реагують на цю історію. Звичайний перегляд може тоді натрапити на додаткову перевірку з причин, яких ви не бачите. Закріплена адреса звужує коло дописувачів до вашого власного облікового запису. Утім, вона не приходить чистою, бо закріплені адреси перевикористовуються, а діапазон дата-центру може оброблятися інакше, ніж домашній, хто б ним зараз не володів.
Облікові записи, cookie та відбитки браузера й далі визначають більшість таких рішень.
Ставтеся до репутації як до властивості всього шляху, а не як до числа, приклеєного до назви тарифу. Два клієнти в одного провайдера можуть отримати різне ставлення через підмережу, власну політику призначення або обліковий запис за запитом.
Що залишається однаковим в обох випадках
Тунель шифрує однаково. WireGuard і далі виконує рукостискання тими самими ключами, OpenVPN і далі узгоджує той самий набір шифрів, і адреса виходу ніколи не входить у ці переговори. Плата за закріплену адресу купує поведінку розподілу, а не сильніше передавання.
Видимість оператора теж не змінюється. Вихідні з'єднання, часові позначки та ідентифікатори облікових записів залишаються спостережуваними на виході в обох варіантах, і спільне використання адреси з незнайомцями не створює політики журналювання. Закріплена адреса може навіть слугувати стабільнішим ідентифікатором між сеансами, що суперечить припущенню, ніби виділена означає більш приватну.
Виберіть закріплену, коли призначення вимагає стабільного джерела, коли робочий процес не терпить ротації або коли спільна історія постійно перериває легітимний трафік. Залишайтеся на пулі, коли єдина вимога — інший вихід, а ротація нічого не коштує. Перевірте результат двома командами вище, перш ніж довіряти будь-якому з двох припущень. Вихід, який, на вашу думку, у вас є, і той, який бачить сервер, — це те саме поле лише тоді, коли ніщо між ними його не перезаписує.