静态还是动态 VPN IP？先把地址和工作对上

打开服务商的套餐页面，每个选项看起来都是关于同一个号码的不同承诺。一条 VPN 连接实际上同时携带多个地址，而套餐通常只固定其中一个。在点名那一个之前就在静态与动态之间做选择，等于给一个需要固定隧道地址的任务买了一个固定出口。

从客户端界面往外走一遍连接。你遇到的每个地址回答的都是另一个问题。

先点名地址，再比较套餐

服务器端点是客户端拨号的对端主机。隧道地址是客户端在整个会话期间持有的内网地址。公网出口是流量离开服务商之后网站记录到的那个地址。你本地的 Wi-Fi 或以太网地址是第四个值，它从不出现在上述任何对话里。四个地址，其中一个变动时就对应四种不同的故障模式。

看一下客户端里的连接详情界面，记下它显示的是哪个值，然后再看远端服务记录的是什么。两者很少是同一个字符串，而它们之间的差距正是这类判断最容易出错的地方。

一个稳定地址能买到什么

持久不变的隧道地址让内部规则和书签始终指向同一台客户端，这在管理小型私有网络时很重要。持久不变的公网出口让外部白名单无需改动就继续有效，这在合作方应用只接受已知来源时很重要。这是两种不同的购买，却用着相似的说法在卖。去支持页面问清楚：套餐真正保证的到底是哪一种。

服务商可以在每次连接时都下发同一个私有隧道地址，同时把上网流量送进一组轮换的出口。账号在客户端里看起来是静态的，在互联网上却是动态的。要从执行规则的那一侧去验证，而不是从描述规则的那一侧。

持久与独占是两种不同的承诺

共享出口可以在数百个账号同时使用的情况下多年保持不变，所以持久与独占是两种分开的承诺。专用分配会在明文政策下预留地址，就像弹性 IP 地址那样，而即便是那种政策，通常也允许服务商在基础设施变更时把它移走。

动态并不意味着每次重连都变。分配结果会在一段时间内被复用，所以三次看到同一个值只是关于那三次观测的证据，仅此而已，因为复发率是关于一个池子的统计，而不是承诺。要问清楚替换是如何公告的，以及隧道中断期间应用该怎么做。

动态 DNS 适合什么、到哪里为止

动态 DNS 让域名始终指向一个会变的地址，这在你家宽带重新分配号码之后帮你找到家里的服务器。它不创建分配，不为你预留任何东西，也修不好防火墙和上游可达性的缺失。一个解析正确的域名，如果端口在20 厘米之外被挡住，照样失败。

对私有 VPN 网络来说，稳定的客户端地址能简化路由规则，直到两个站点下发互相重叠的子网为止。协调网段范围属于同一个决定，而且必须在第一台客户端接入之前完成。

确认对端看到的到底是哪个地址

内核会告诉你它打算为某个目的地使用哪个源地址，隧道接口会告诉你它持有什么地址。在改动任何套餐之前，把两者和远端应用记录下来的内容对照一遍。

ip -4 addr show dev tun0
ip route get 198.51.100.10
dig +short vpn.example.net

如果记录下来的源地址与隧道接口上的地址不一致，说明中间某处发生了转换。在购买一个对此毫无改变的静态选项之前，先找到那一跳。