VPN 与链式代理

VPN（虚拟专用网络）会在您的设备与 VPN 服务器之间创建加密隧道。您的流量从 VPN 服务器的 IP 进入互联网，从而向目标隐藏真实 IP。

您与 VPN 服务器之间的所有内容都会加密，防止本地网络和 ISP 看到流量内容。

这些工具有相似之处，但各不相同：

• 代理：转发特定应用的流量，通常不提供加密。
• VPN：将设备的全部流量加密后发送到一个您必须信任的服务器。
• Tor：通过志愿者中继实现多跳匿名，但速度较慢。

使用 VPN，意味着您将对许多 Tor 中继的信任，换成对一家服务提供商的信任。

您的 VPN 提供商可以看到真实 IP 和所有目标地址（但看不到加密内容）。您只是把对 ISP 的信任转移到了 VPN 公司。

“不记录日志”的声明，是否可信取决于提供商的诚信和其所在司法管辖区。VPN 可以减少本地观察者获取的隐私信息，但单独使用时无法提供强匿名性。

常见的 VPN 协议包括：

• WireGuard：现代、快速、代码量小，并采用强加密算法。
• OpenVPN：成熟、灵活，支持范围广。
• IPsec/IKEv2：移动设备上常见，重新连接能力强。

请避免使用已在密码学上被攻破的旧式 PPTP。

链式连接是指依次通过多个匿名层转发流量，使任何单个位置都无法看到完整路径。其理念是：即使某一层遭到攻破，其他层仍能提供保护。

两种著名的组合是Tor over VPN和VPN over Tor。顺序非常重要，并且会改变不同参与者能够看到的信息。

您 -> VPN -> Tor -> 目标。

• 您的 ISP 只能看到您连接了 VPN，看不到您在使用 Tor。
• Tor 守卫节点看到的是 VPN 的 IP，而不是您的真实 IP。
• 但您仍然需要信任 VPN，不让其暴露您正在使用 Tor。

这种方式可以向 ISP 隐藏 Tor 的使用情况，适合 Tor 被屏蔽或被视为可疑的环境。

您 -> Tor -> VPN -> 目标。

• Tor 出口节点只能看到 VPN，而看不到最终目标。
• 目标看到的是 VPN IP，因此您拥有稳定的出口 IP。
• VPN 可以关联您的活动，而且您必须匿名支付其费用。

这种方式更复杂，很少有必要，而且容易配置错误。

如果 VPN 断开，流量可能会通过真实连接泄露。终止开关会在隧道未建立时阻止所有流量，防止 IP 意外暴露。

没有终止开关时，短暂的重新连接也可能暴露您的身份。依赖它之前，请务必确认它确实有效。

即使使用 VPN，也可能存在泄露问题：

• DNS 泄露：DNS 查询发送给 ISP，而不是通过隧道发送，从而暴露您访问的网站。
• WebRTC 泄露：即使处于 VPN 保护下，浏览器也可能通过 WebRTC 暴露真实 IP。

请检测这些泄露，并禁用 WebRTC 或使用防泄露配置。

叠加许多层会增加延迟和复杂性，而且每增加一层，就多出一个可能配置错误的环节。跳点更多并不一定更安全。

最大的风险通常是操作失误，而不是跳点数量不足。正确使用的单层方案，胜过配置错误的链式方案。

有一种隐蔽的泄露：如果您使用个人信用卡支付 VPN 费用，提供商就能将账户与您的身份关联起来。一旦提供商被要求披露记录，您的匿名性便会受到破坏。

对于敏感工作，运营者倾向于选择接受匿名支付、在有利司法管辖区内运营，并拥有清晰且经过审计的不记录日志政策的提供商。支付记录也是 OPSEC 的一部分。

请思考谁能看到您对 Tor 的使用情况。

您已经了解了 VPN 和链式连接：

• VPN会将全部流量加密后发送到一个受信任的服务器；单独使用并不能实现匿名。
• 请使用现代协议（WireGuard、OpenVPN），绝不要使用 PPTP。
• Tor over VPN可以向 ISP 隐藏 Tor；VPN over Tor可以提供稳定的出口 IP。
• 请使用终止开关，并检测 DNS/WebRTC 泄露。
• 层数越多，复杂性越高；真正的危险是操作失误。

下一节：伪造 MAC 地址和设备身份。