VPN 用户该了解的静态 IP 与动态 IP

很多人在已经用着 VPN 的时候搜索"静态 IP 与动态 IP"，但搜到的答案往往没说清楚在讲哪个地址。问题就在这里：用了 VPN 之后，涉及的地址不止一个，"静态"或"动态"可能指其中任何一个。搞混了，就会买错东西、设错选项，或者遇到一个总是要求验证的登录。

本文关注的是对 VPN 用户真正有意义的内容：有哪些地址，如何判断家里的类型，VPN 连接或重连时会改变什么，以及哪些任务确实需要固定地址。关于共享与独享 VPN 地址的选择，已有专门文章 共享与独享 VPN IP 详细讲过，这里只简单涉及。

每套 VPN 设置里都有三个地址

使用 VPN 时涉及三种地址。在做任何决定前，先把它们区分开。

1. 家里的内网地址。 手机或笔记本通常从路由器获得形如 192.168.x.x 的私有地址。这类范围由 RFC 1918 保留，无法从公网直接访问。这个地址几乎不影响 VPN 的决定。
2. 运营商给你的公网地址。 不使用 VPN 时，网站看到的就是它。它可能是静态（固定）的，也可能是动态的（分配一段时间，之后可能被更换）。想了解这个地址是什么，可读 什么是公网 IP 地址。
3. VPN 的出口地址。 连接期间，网站看到的是 VPN 服务器对外的地址，而不是你运营商给的那个。这个地址属于 VPN 运营方，可能由许多客户共用，如果服务提供，也可以为一位客户保留。

静态与动态可以分别用于第 2 项和第 3 项，而且是两个不同的问题。一个家庭可以有动态的家庭地址，同时使用出口固定的 VPN；另一个家庭可能有固定的家庭地址，却使用出口每次会话都变的 VPN。每种组合的表现都不一样，下文逐一说明。

怎样查出你家里是哪种

不需要专业工具，几天里查几次就知道了。

1. 记下你的公网地址。 关闭 VPN，打开任意"我的 IP"网页，记下地址。
2. 与路由器的 WAN 地址对比。 登录路由器管理页面，找到互联网或 WAN 状态。如果路由器显示的地址与网页一致，说明你的线路有正常的公网地址。如果路由器显示的是以 10. 或 192.168. 开头，或在 100.64.0.0 到 100.127.255.255 范围内的地址，你很可能处在运营商级别的地址共享之后，见 RFC 6598。这种情况下很多客户共用一个公网地址，你无法在家里架设能从外部访问的服务。
3. 重启路由器再查一次。 关掉路由器一分钟再打开。许多运营商在重启后会给新地址，也有的会保持几周不变。
4. 几天后再次检查。 经历重启和长时间间隔仍不变的地址，可能是固定的，也可能只是租期很长。
5. 读你的套餐说明。 固定地址通常是单独命名并收费的附加项。如果套餐没提，就按动态处理。

大多数家庭宽带是动态的。动态地址在实际中也可能很少变化，所以"几个月没变"并不能证明它是静态的，只有运营商的条款才能说明。

"动态"在实际中意味着什么

动态地址是租来的，不是属于你的。运营商的设备把一个地址分给你的路由器，使用期限称为租期；租期结束或连接重启时，你可能拿到另一个地址。会触发变化的情况有：

• 路由器重启或断电。
• 线路中断，例如光纤或线缆故障。
• 运营商维护或调整网络。
• 租期到期。

日常浏览时你根本察觉不到。变化只对那些依赖别人事先知道你地址的任务有影响，比如把你的地址放进白名单的服务、需要从外部访问的设备，或期望每次来源一致的监控工具。对这些任务，地址一变就可能无法访问，直到更新为止。

VPN 连接或重连时地址会怎样

这一部分最容易被误判。VPN 开启时，你家里的地址对所访问的网站是隐藏的，它们看到的是 VPN 出口地址。但 VPN 客户端仍需通过你的家庭网络连到 VPN 服务器，所以 VPN 运营方和你的宽带运营商仍然看得到家里的地址。

重连会带来一些有益也有意外的变化。

• 出口地址可能不同。 如果运营方把客户分散在一个地址池里，新会话可能分到另一个。如果你选了别的位置，肯定不同。
• 会话可能被质疑。 有些服务把登录与开启它的地址绑定。地址突然变化时，可能让你退出登录或要求验证。常见于连接中断后 VPN 应用自动重连的时候。
• 家里的地址也可能变。 如果路由器在夜里重启，早上你连上 VPN，VPN 会看到新的家庭地址。这与出口地址无关，但可能打断家里一侧长时间运行的会话。

指南 VPN 断线后如何重新连接 说明了如何顺利恢复隧道，而关于 kill switch 的文章则解释了如何避免这段空档里流量外泄。

什么时候稳定的地址才重要

固定地址只对少数任务值回成本。请诚实判断你的任务是否属于其中。

任务	需要固定地址吗	哪个地址
出行时浏览、看视频、收邮件	不需要	无关
登录银行或商店时少被反复验证	有帮助	一致的出口或家庭地址
公司对远程服务器的白名单	需要	公司看到的地址
从外面访问家里的摄像头或文件服务器	需要，或用动态域名	家庭地址
搭建游戏服务器或网站	需要	家庭地址
通过 VPN 做端口转发	取决于服务	VPN 出口地址
自由职业者按客户的访问规则工作	常常需要	出口或家庭，按客户要求
避免简单的按 IP 追踪	不需要，变化反而有利	会变的地址

其中三项值得多说几句。

白名单。 如果雇主或客户要求你从某个地址连接，你得知道对方看到的是哪个地址：关闭 VPN 时是家庭地址，开启时是出口地址。如果出口地址是共享的，许多客户看起来就是同一个来源。如果出口地址会变，你需要询问运营方是否有固定或保留的地址，条件如何。远程办公 VPN 的建议里还有其他值得询问的问题。

访问家里的设备。 想从外面看家里的摄像头或文件服务器，地址一变，链接就断。固定地址是一种办法，下文的动态域名是另一种。如果你处在运营商共享地址之后，两种办法都行不通，这种情况下 mesh VPN 之类的工具往往更合适。

端口转发。 把互联网上的某个端口接到你的设备上，取决于外界用什么地址找到你。工作原理和风险见 VPN 端口转发详解。

动态域名及其他应对变化的办法

想访问家里的东西但地址会变时，固定地址并不是唯一的选择。

• 动态域名（DDNS）。 路由器或电脑上的小程序会在地址变化时通知域名服务，这样你选定的名字总是指向当前地址。你用名字而不是数字访问家里。它只在你拥有真正公网地址时有效，共享地址不行。
• Mesh 或中继。 有些工具通过会合服务把两台设备连起来，双方都不需要固定地址。
• 服务商提供的保留出口地址。 如果 VPN 服务提供，保留地址能为白名单提供一致的来源。
• 路由器上的 VPN。 把 VPN 连接放在路由器上，所有设备都从同一个出口出去，这种做法的利弊见 VPN 路由器与 VPN 应用的对比。

在围绕某种承诺搭建工作流程之前，先确认服务商到底承诺了什么。如果服务没有清楚说明固定或保留地址，就不要想当然地认为有。

隐私与安全的取舍

固定地址是一个稳定的标签。时间一长，广告商和分析工具可以把它与同一个家庭或设备关联起来，使按地址追踪更容易；而典型家庭宽带会变的地址只带来轻微的保护。cookie、登录状态和设备指纹仍然能识别你，变化的地址并不会让你匿名。想知道 VPN 究竟改变了网站所见地址的哪些方面，请读 VPN 会隐藏你的 IP 吗。

安全方面是双向的。固定地址有利于白名单，这是一项真正的控制手段，但暴露在固定地址上的服务，任何扫描互联网的人都可能发现并探测它，所以要保持所有可访问的服务及时更新，并用强认证保护。动态地址不能保护对外开放的服务，只是让再次找到它变得更难一些。

付费之前先回答这些问题

1. 我真正需要控制的是哪个地址，家庭地址还是 VPN 出口？
2. 谁会看到它，对方是否要求固定地址？
3. 能否用动态域名、mesh 工具或放行整段地址来解决？
4. 出口地址是共享的吗？其他客户的行为会影响我在网站上的信誉吗？
5. 地址变化后我的会话会怎样？我能接受额外验证吗？
6. 服务商是否以书面形式说明了保留地址？

如果第一个问题的答案是"都不是"，你多半什么特殊的东西都不需要。在动态家庭地址上用标准 VPN 连接浏览网页，是最常见的情况。

常见错误

• 把动态家庭地址当成隐私功能。它只是服务计费上的细节，不是保护。
• 明明动态域名就能解决，却花钱买固定地址。
• 忘了运营商级别的地址共享，然后纳闷为什么从外面访问不了家里的任何东西。
• 以为出口地址每次会话都完全相同。
• 把地址变化引起的额外验证怪到 VPN 头上。
• 把家里的服务放在固定地址上，却不更新也没有强认证。

总结

使用 VPN 时有三个地址：家里的内网地址、运营商给的公网地址，以及 VPN 出口地址。静态与动态可以描述第二个和第三个，并且需要分别回答。大多数家庭地址是动态的，这对浏览网页和使用 VPN 没有问题。固定地址只对白名单、从外部访问家里设备或自建服务才值得；对其他大多数任务，正确的做法是什么都不改。先查清你自己的线路是什么情况，并在依赖任何关于地址稳定性的承诺之前，向服务商索取书面说明。

如果你只是想要一个日常使用的 VPN，可以在价格页面了解可选的通行证。