使用 VPN 后还会被追踪吗？

很多人打开 VPN 时，以为互联网从此不会再“盯着”自己。对于“使用 VPN 后还会被追踪吗”这个问题，诚实的回答是：会，而且有好几种方式。VPN 擅长做一件事：把你的流量放进加密隧道，本地网络读不到内容，网站看到的是 VPN 的 IP 地址而不是你的。但现代的追踪手段大多并不依赖 IP 地址，而是依赖浏览器里保存的 Cookie、设备本身的独特特征、手机里的定位传感器、广告标识符，以及最重要的一点：你登录的各种账号。

本文逐一介绍这些方法，说明 VPN 改变了什么、没有改变什么，最后给出一份可以照做的清单。如果你想了解“匿名”这个更大的话题，可以对照阅读VPN 能让你匿名吗。本文的重点是追踪，也就是日常生活中对你上网行为的数据收集。

VPN 改变了什么，没有改变什么

想一想有哪些人和系统能观察到你的上网活动。VPN 对其中一些影响很大，对另一些则毫无影响。

对象	没有 VPN	使用 VPN
咖啡店、酒店或办公室网络	能看到你连接了哪些网站（未加密流量的内容也能看到）	只看到一条通向 VPN 服务器的加密连接
你的网络运营商	能看到你连接的网站和服务	只知道你在使用 VPN，看不到隧道里的网站
你访问的网站	看到你真实的公网 IP 地址	看到的是 VPN 的 IP 地址
浏览器里已有的 Cookie	能认出你	仍然能认出你
浏览器指纹	能识别你的设备配置	同样能识别
手机的 GPS 与 Wi-Fi 定位	获得权限的应用可以读取	获得权限的应用仍然可以读取
已登录的账号	把活动与你本人关联	同样把活动与你本人关联

规律很清楚：VPN 保护的是设备到互联网之间的路径，并替换网站看到的 IP 地址。表格里其余部分，也就是存在于你设备上或账号里的标识信息，VPN 完全不会触及。文章VPN 能隐藏你的 IP 吗详细讲了前半部分，下面各节则讲后半部分。

Cookie 与其他浏览器存储

Cookie 是网站请求浏览器保存的一小段数据，比如登录状态、语言选择或购物车内容。Cookie 很有用，但也让网站能认出再次访问的人。第一方 Cookie 属于你正在访问的网站；第三方 Cookie 则由嵌入页面的其他公司设置，例如广告网络和统计分析服务。当同一家第三方嵌入在成千上万个网站里时，它就能在所有这些网站上认出你的浏览器，并逐步拼出你的兴趣画像。

VPN 对此毫无作用。如果浏览器里已经有追踪用的 Cookie，无论是否通过 VPN 连接，它都会被发送出去。你打开 VPN 后用同一个浏览器再逛同一家商店，商店的广告方看到的仍是昨天那个 Cookie，只是 IP 地址变了。现代追踪系统正是为这种情形设计的，因为家庭宽带的 IP 会变，手机一天里也会不断切换网络。

Cookie 也不是唯一的存储方式。网站还可以利用本地存储、缓存文件等浏览器功能保存标识符，所以只清除 Cookie 未必能清干净。

有帮助的做法：

• 在浏览器设置中屏蔽第三方 Cookie，或者选用默认就这样做的浏览器。
• 定期清除网站数据，或设置浏览器在关闭时自动清除。
• 使用不同的浏览器配置文件，例如一个用于网银和购物，另一个用于日常浏览，让追踪者难以把两者拼在一起。
• 记住隐私窗口只是在你关闭后忘掉本机上的数据。VPN 与无痕模式一文解释了为什么它与 VPN 是两种不同的工具。

浏览器指纹识别

指纹识别不需要在你的设备上保存任何东西。网站只是向浏览器提出许多细小的问题，然后把答案组合起来：浏览器版本、操作系统、屏幕尺寸、已安装的字体、语言、时区、显卡硬件、支持的媒体格式等等。单看每一项都很常见，合在一起却可能非常罕见，有时独特到不用 Cookie 也能在之后再次认出你的浏览器。

VPN 不会改变这些答案。屏幕尺寸、字体和显卡在隧道内外都一样。在某种意义上，VPN 甚至可能让指纹更显眼：IP 地址说你在某个地方，而浏览器的时区和语言却说你在另一个地方。这种不一致本身就是一种少见的组合，有些系统会把它当作信号。

举个例子：丹娜用同一台笔记本和同一个浏览器做工作调研和私人购物。调研时她连上了 VPN。某购物网站早已建立了她浏览器的指纹，通过 VPN 看到同样的指纹，就把两次访问关联起来，尽管 IP 地址不同。

你可以用 EFF 的 Cover Your Tracks 测试自己的浏览器有多容易被识别。它会显示你的指纹看起来有多独特，以及浏览器是否屏蔽了常见的追踪器。

有帮助的做法：

• 使用提供指纹防护的浏览器，并保持更新。主流配置比高度个性化的配置更容易“混进人群”。
• 少装扩展程序，每多一个都可能让浏览器更与众不同。
• 要明白让浏览器和成千上万的其他浏览器看起来完全一样很难，没有任何设置能够保证做到。

IP 地址之外的位置追踪

当网站说“我们发现你在清迈”时，多半是根据 IP 地址猜的。VPN 会改变这个猜测，所以能改变网站认为你所在的城市或国家。但你的设备有好得多的办法知道你在哪里：

• GPS 与手机定位服务。 地图、天气、外卖和社交类应用可能请求精确位置。如果你允许了，VPN 对这些应用就不起作用。
• Wi-Fi 与蓝牙定位。 手机可以根据附近的 Wi-Fi 网络和蓝牙信标估算位置，即使在 GPS 信号弱的室内也行。
• 浏览器地理位置。 网站可以向浏览器索取位置。如果你点了“允许”，浏览器会用设备的传感器回答，而不是用 IP 地址。
• 照片。 开启定位标记时拍的照片，元数据里可能含有坐标。许多平台在上传时会去掉，但并非全部。
• 时区与语言。 设备设置会悄悄暴露你平时生活的地区。

实际的结论很简单：如果某个应用有定位权限，连上 VPN 并不能向它隐藏你的真实位置。打开手机的隐私设置，看看哪些应用可以使用位置，以及是否只在使用应用时才能用。把大多数应用从“始终”改成“使用期间”，是一个很快见效的改进。

广告追踪与广告标识符

广告业使用多层标识符，其中很少是你的 IP 地址。

• 广告标识符。 手机给每台设备一个可重置的广告标识符，应用可读取它来关联你在不同应用中的活动。两大主流手机系统都允许你在隐私设置中重置或限制其使用。
• 应用内的追踪代码。 许多免费应用内置统计与广告类的代码库，这些代码从应用内部把数据发给代码库背后的公司，如果 VPN 开着，数据也是走 VPN 发出的。
• 已登录的广告账号。 如果你登录了出售广告的大型平台，你在其服务和合作网站上的活动都可能与账号绑定。
• 邮箱和手机号。 广告商可以跨服务匹配经过哈希处理的邮箱地址。你在所有地方都用同一个邮箱注册，就等于给了他们一把长期有效的钥匙。
• 再营销。 看过商品后跟着你的那条广告，来自 Cookie 或标识符，而不是你的 IP 地址。

VPN 从这个体系中去掉了一项输入，也就是你的网络位置。它不会阻止应用发送广告标识符，也不会阻止登录把多次会话关联起来。对付广告追踪，有效的办法是改设置：重置或限制广告标识符，对手机上出现的“允许应用跟踪”提示选择拒绝，注册时使用单独的邮箱，并启用浏览器的追踪防护功能。

社交账号、登录身份与人肉搜索

互联网上最强的标识符就是登录。只要你登录了社交网络、邮箱服务或购物账号，该服务就知道你是谁，不管你从哪个 IP 地址连接。VPN 无法让已登录的会话变得匿名，因为你已经把名字告诉了网站。

社交平台还会暴露与网络追踪无关的信息：

• 公开的帖子、照片和标签可能显示你住在哪里、在哪工作或上学。
• 在多个服务上使用同一个用户名，别人就能把你的各个主页对应起来。
• 朋友和关注者可能通过标记你而泄露你的位置。
• 照片背景、路牌和店面往往足以判断出一个地点。

这就是人肉搜索（doxxing）的现实，也就是收集并公布他人的个人信息。VPN 在一个很窄的场景里有帮助：当别人能看到你的连接时，比如在会暴露 IP 地址的游戏房间或聊天工具里，VPN 可以让对方无法得知你家的 IP 地址和大致位置。这种保护是真实的。但大多数人肉搜索是把你自己发布的零碎信息拼起来，例如用户名、照片、工作单位和旧帖子，这些 VPN 没法收回。

能降低风险的步骤：

1. 对不想被关联的账号，使用不同的用户名和头像。
2. 检查每个社交账号的隐私设置：谁能看到帖子、谁能标记你、谁能通过手机号或邮箱找到你。
3. 关闭照片和帖子的位置标记，或在分享前删除。
4. 偶尔搜索一下自己的姓名和用户名，看看公开网络上能找到什么。
5. 使用不重复的强密码并开启两步验证，让账号更难被接管。

浏览器隐私设置与 VPN 的比较

浏览器的隐私工具和 VPN 解决的是不同的问题，谁也不能取代谁。

工具	能帮助什么	帮不了什么
VPN	向本地网络和网络运营商隐藏流量，改变网站看到的 IP 地址	Cookie、指纹、登录、GPS、广告标识符
追踪器与第三方 Cookie 屏蔽	阻止许多广告与统计追踪器认出你的浏览器	网络运营商对连接的了解、你的 IP 地址
隐私或无痕窗口	关闭后在本机忘掉历史记录和 Cookie	会话期间网络或网站能看到的内容
独立的浏览器配置文件	把不同用途的 Cookie 与登录分开	你的 IP 地址、指纹的基本特征
手机隐私设置	限制定位、广告标识符和应用权限	不可信 Wi-Fi 上的流量内容
退出登录	避免活动与账号绑定	仍能识别浏览器的 Cookie 和指纹

如果不确定先做什么，就追踪这个问题而言，浏览器和手机设置往往带来更多隐私，因为它们针对的正是广告商实际使用的标识符。当本地网络是主要顾虑时，比如公共 Wi-Fi，或者你不想让网络运营商或网站看到家里的 IP 地址，VPN 才能发挥价值。

减少追踪的实用清单

可以当作一次性设置，再加上简短的日常习惯：

1. 更新浏览器和手机。 更新往往会增加防追踪保护。
2. 开启追踪器与第三方 Cookie 屏蔽。 在浏览器的隐私设置中操作。
3. 检测你的指纹。 用测试工具看看你的浏览器是否很显眼。
4. 审查应用权限。 取消不需要的应用的定位、相机、麦克风和通讯录权限，优先选择“仅在使用期间”。
5. 重置或限制广告标识符。 在手机的隐私设置里完成。
6. 分开使用浏览器。 一个配置文件或浏览器用于要登录的账号，另一个用于一般浏览。
7. 使用不同的邮箱。 重要账号一个，订阅邮件或一次性注册另一个。
8. 当网络是顾虑时再开 VPN。 比如酒店、机场或咖啡店的 Wi-Fi，并确认它真的在工作。帮助指南如何检查 VPN 是否在工作讲了具体做法。
9. 每隔几个月查看账号的隐私页面。 因为默认设置会变。
10. 发布前先想一想。 你自己发布的内容，往往是最容易被追踪的东西。

局限与常见误区

• 以为 VPN 让你隐形了。 它改变了 IP 地址，并保护了网络上的流量，但并没有让你退出任何账号。
• 所有账号都保持登录。 开着 VPN 却登录着社交账号，那仍是一个带着你名字的社交账号。
• 授予定位权限却期待隐私。 有权限的应用会直接使用 GPS。
• 忽视浏览器。 Cookie 与指纹在隧道里和隧道外一样起作用。
• 以为“隐私模式”等于“无法追踪”。 它只是停止记录本机历史，并不能向网络或所访问的网站隐藏你的活动。
• 使用来历不明的免费工具。 运营不善的 VPN 或浏览器扩展本身可能变成追踪者。VPN 无法保护你的方面一文进一步介绍了这类局限。
• 忽略基础。 强而不重复的密码加两步验证，能避免的伤害远比任何防追踪设置多。

这一切并不意味着 VPN 没有用。它的意思是，VPN 是为特定工作准备的工具：保护你的连接，并向路径上的网站和网络隐藏你家的 IP 地址。对于追踪问题，把它看作多层防护中的一层，其余几层包括浏览器设置、手机权限和你自己的习惯。

总结

使用 VPN 后仍然可能被追踪。VPN 改变你的 IP 地址，并让本地网络看不到你的流量，但 Cookie、浏览器指纹、定位传感器、广告标识符和已登录的账号依然在起作用。要减少追踪，可以屏蔽第三方 Cookie、测试自己的指纹、限制应用权限、重置广告标识符并把账号分开。把 VPN 用在它真正能解决的问题上。

如果你想把 VPN 用于这些场景，可以看看XPASS 预付通行证，它提供固定时长的使用期，不会自动续费。