带流量混淆的 VPN：到底是什么、怎么选

搜索“带混淆的最佳 VPN”，你会看到许多响亮的说法：检测不到、封不掉、完全隐形。说得越满，越值得先放慢脚步。流量混淆是一项真实的技术，用途很窄，它的局限和代价，宣传页面往往略过不提。这篇文章讲清它做什么、不能做什么，以及怎样判断服务商对它的说法。

先划一条界线。这是一篇针对某项功能的选购指南，不是教你绕过任何网络或政府规定的指南。文中不会讲如何避开封锁，也不认为混淆是无视你已同意的规定的办法。如果你不确定所在之处能否使用 VPN，请先读 VPN 合法吗，并查阅最新的官方信息。

为什么 VPN 流量一开始就可能被认出来

要理解混淆，先看它解决的问题。加密的 VPN 隧道隐藏了流量内容，但隧道本身仍可能有可辨认的形状。简单的检查工具不需要读取你的数据，就能猜出某个连接是 VPN，它们看的是规律。

• 握手阶段。 许多 VPN 协议最初几个数据包的结构是固定的。总是以同一种方式开头的协议，凭开头就能被认出。
• 数据包大小与时间间隔。 有些协议产生的包大小节奏，与普通网页浏览不同。
• 端口。 许多 VPN 默认使用众所周知的端口，连到这些端口就容易被猜到。
• 目的地。 如果某个地址已知属于 VPN 服务，仅凭目的地就暴露了。

出于政策或性能的考虑，想区别对待 VPN 流量的网络，可以利用这些线索。酒店可能限速，公司可能在访客网络里屏蔽，学校可能不允许。混淆正是为这类情形设计的：改变外在样子，让那些简单线索不那么明显。如果握手、端口这些词还不熟悉，可以读 VPN 协议是什么。

混淆的大致原理

服务商用的思路有好几种，常常组合使用。具体做法因实现而异，你不需要评审代码，但了解大致类型会有帮助。

1. 包上一层看起来熟悉的外衣。 VPN 流量被装进一种类似普通加密网页流量的连接里。TLS 是安全网站背后的技术，RFC 8446 对它有说明，因为互联网上大量流量已经在用它，所以常被当作模仿的对象。
2. 打乱规律。 开头的字节和数据包的结构被掩盖或随机化，不再有固定的特征可供匹配。
3. 填充与时间调整。 加入随机的多余数据或调整时间间隔，掩盖典型的包大小节奏。
4. 使用常见端口。 在与普通网页流量相同的端口上运行，让连接看起来和该端口上的其他流量一样。
5. 可插拔的附加层。 有些工具允许在已有协议之上再加一层变换，所以同一个 VPN 可以带着或不带这一层运行。

以上做法都不会改变数据本身的加密。隧道在此之前是加密的，之后依然是加密的。混淆是外在的伪装。

混淆做不到的事

宣传与现实在这里分道扬镳。读功能页面时，请记住下面这张表。

你可能看到的说法	实际情况
向所有人隐藏你在用 VPN	它让简单分类更难，但无法向 VPN 服务商隐藏，也不能可靠地对付认真观察的一方
让你的流量匿名	你的账号、cookie 和应用仍然标识着你
提供更强的加密	加密强度是另一回事
在所有网络上都有效	结果因网络和方法而异，没有任何功能能保证
对 VPN 服务商隐藏你的活动	服务商就是隧道的另一端，能看到的比中间任何网络都多
总是更快或更安全	通常会增加开销
推翻网络的规定	它不改变什么被允许，规定依然有效

实际的要点是：混淆是一种窄用途的工具，只改变某一层的外观，它不是一件隐身斗篷。网络运营方仍然可以看到你的设备与某个地址交换了一定量的数据；资源充足、有决心的一方也可以使用比简单检查更先进的分析手段。谁要是告诉你不是这样，就是在夸大其词。关于网络服务商能看到什么，可以读 运营商能看到你的 VPN 流量吗。

代价：速度、电量与兼容性

任何额外的包装都有成本。比较服务商时，想想这三项。

速度。 额外的处理和更大的数据包意味着更多开销。有的方法只增加一点点，有的则明显降低吞吐量或增加延迟。效果还取决于你离服务器多远、服务器有多忙，以及你自己网络的质量。为什么用 VPN 后网速会变化 讲了如何区分这些原因。

电量。 在手机和笔记本上，更多的处理会耗更多电。差别通常不大，但在不能充电的一整天里可能有影响。

兼容性。 混淆模式可能需要特定的应用版本、特定的协议或特定类型的服务器，未必在每个平台、每台设备上都有。路由器、电视和手机的表现也可能各不相同。

有的服务商把混淆服务器与普通服务器分开，这可能限制你可选的位置，或缩小可用的服务器范围。在假设自己能到处使用之前，先问清楚取舍是什么。

这项功能何时才真正相关

大多数人永远用不上混淆，对此应该坦率。

• 家庭、移动网络以及大多数咖啡馆或酒店网络。 普通的 VPN 连接通常就能工作。此时混淆只增加成本，没有收益。
• 把 VPN 流量当作政策问题的受管理网络。 一些工作场所、学校或场馆的网络会有意限制 VPN 协议。这时正确的第一步，是阅读该网络的使用规定并询问管理员。如果那里不允许使用 VPN，混淆设置就不是无视规定的许可证。如果允许使用但网络处理得笨拙，管理员也许能以尊重双方的方式帮上忙。
• 无意中限速或误处理 VPN 流量的网络。 有时网络的过滤只是顺带误伤了 VPN 连接。试试换一种协议或端口，往往是比专用混淆模式更简单的第一步。

如果你所在的地方或网络，在法律上或由运营方限制使用 VPN，这篇文章不是破解该限制的指南，我们也不建议你违反自己应当遵守的规定。

如何判断服务商对混淆的说法

你无法像安全研究员那样测试一项伪装技术，但可以判断服务商描述它时是否诚实。

看有没有具体说明。 好的描述会用平实的话讲清功能做什么（例如把连接装进一层类似普通加密网页流量的外衣里），而不是只用“隐身”“看不见”这类含糊的词却不加解释。

看服务商有没有自己说明局限。 写着“在某些网络上可能无效”的页面，比保证成功的页面更可信。诚实的服务商会提到速度代价，以及结果因环境而异。

查清在哪里可用。 哪些应用、哪些平台、哪些协议支持？它是一个设置、一份特殊的服务器列表，还是一个单独的应用？

看没有承诺什么。 对声称混淆能让你匿名、对服务商隐藏一切或破解任何封锁的说法要警惕。没有任何技术能做到。

阅读条款。 服务商的条款可能限制服务的使用方式。条款比口号重要。

测试客服。 发一个售前问题：这项功能做什么、代价是什么、能否在我的设备上使用？回答的质量反映产品的质量。

公平的测试方法

不管是什么功能，在自己的网络上做一次短测试，胜过任何评测。用一两天时间做以下几步。

1. 不开 VPN 的基线。 测速，记下下载、上传和延迟。
2. 标准 VPN 模式。 正常连接，重复测试，每次使用同一个服务器位置。
3. 混淆模式。 开启后重新连接，再测一遍，记下变化。
4. 在不同时间重复。 网络一天里会变化，早晚各测一次。
5. 在每种模式下检查泄漏。 按照 如何测试 VPN 的步骤确认地址和 DNS 看起来正确。
6. 记录电量。 在手机上，对比相近使用情形下一小时的耗电。
7. 记录结果。 如果混淆模式更慢，而你也没得到什么，就用标准模式。

如果服务商提供试用期或退款保证，请在期限结束之前完成这些测试。

三个日常场景

抽象的描述很容易点头略过，下面三个普通情形说明这项功能何时重要、何时不重要。

遇到卡顿酒店网络的旅行者。 小蕾发现，只在某一家酒店，关闭 VPN 时视频通话正常，开启后就卡顿。她没有急着去找特殊模式，而是按顺序试了几件简单的事：换服务器位置、改变应用里的协议设置、用移动数据做对比。其中两项解决了问题。她根本不需要混淆。这个例子说明，VPN 变慢有很多原因，伪装很少是第一个、也不是最好的解释。

公司访客网络上的员工。 小唐想在客户现场的访客 Wi-Fi 上使用 VPN，却连不上。他没有开始乱改设置，而是读了访客网络的公告，上面禁止使用 VPN，于是去问前台。对方给他提供了另一个供访客使用的网络。混淆模式也许在技术上行得通，但会违反他连入网络时接受的规定，还可能给他的雇主带来麻烦。

注重隐私、正在挑选套餐的读者。 小雅比较了两家服务商。一家把“混淆”写得很大，并承诺没人能知道她在用 VPN；另一家用两句朴实的话描述这项功能，说它可能降低速度、也可能并非处处可用，并把它放在设置里。她更相信第二个页面，因为它的说法与这项技术的实际运作相符。

常见错误

• 主要为了混淆而买 VPN，可是你的网络从来用不上。
• 相信“检测不到”“封不掉”之类的说法。
• 以为混淆能对 VPN 服务商隐藏你的活动。
• 一直开着，然后奇怪为什么连接变慢了。
• 在禁止使用 VPN 的工作或学校网络上使用。
• 把它当作法律上的保护，它不是。
• 因为模式看起来能用，就跳过泄漏测试。
• 忽略更简单的办法，比如换协议或换一台服务器。

总结

混淆改变的是 VPN 连接在简单流量检查眼中的样子。它不会让你匿名，不会对 VPN 服务商隐藏你，不会增强加密，也不能保证在每个网络上都有效。它通常要付出一些速度和电量的代价。多数人在家庭、移动和普通公共网络上并不需要它。如果你确实考虑，就看服务商描述这项功能及其局限是否坦率，在自己的网络上实测，并遵守你所使用的网络和所在国家的规定。

如果你想先看看标准的预付选项，再决定是否需要额外功能，价格页面 列出了现有的通行证。