开了 VPN，网络运营商还能看到什么？

开启 VPN 之后，网络运营商（ISP）就无法再读到你访问了哪些网站。这是多数人听到的结论，也是对的，但它不是全部。运营商仍然负责传送你发出的每一个数据包，所以它依旧能看到一些东西：你连接了 VPN 服务器、你何时连接，以及大致传输了多少数据。弄清这条界线落在哪里，有助于你建立符合实际的预期。

本文依次说明：没有 VPN 时运营商能看到什么，有 VPN 时能看到什么，哪些信息无论如何都看得到，VPN 与带宽限速（throttling）有什么关系，以及哪些失误会悄悄让你重新暴露在运营商眼前。如果想先了解整体情况，请从 VPN 究竟能保护什么开始。

没有 VPN 时，运营商能看到什么

要理解 VPN 改变了什么，先看起点。你的每台设备都通过运营商的网络上网，无论是家里的光纤、手机流量还是公司网络。没有 VPN 时，运营商可以在好几个层面观察你的活动。

• 你的公网 IP 地址和你联系的目标地址。 每个数据包都带有目的地址，运营商需要它才能把包送到。
• DNS 查询。 浏览器加载网站之前，要先向 DNS 服务器询问，把名称换成地址。如果你使用的是运营商自己的 DNS 服务器（很多线路的默认设置），这台服务器就会收到你查询过的名称清单。这个过程可以参考介绍 DNS 工作原理的文章。
• 加密连接里的域名。 多数网站使用 HTTPS，页面内容是加密的，但网站名称在建立连接的阶段往往仍然可见，所以运营商常常能判断你访问了某个域名，即使读不到页面内容。
• 普通的未加密流量。 通过普通 HTTP 或其他未加密协议发送的内容可以被完整读取。
• 时间和流量。 你何时在线、传输了多少数据、方向如何。

注意，HTTPS 已经隐藏了很多东西：页面内容、表单字段、具体的 URL 路径。HTTPS 留下来的主要是目的地。这一点很重要，因为它说明了 VPN 真正增加的是什么。更深入的对比见 HTTPS 与 VPN。

VPN 正常工作时，什么变了

VPN 在你的设备和 VPN 服务器之间建立一条加密隧道。你发送的一切在离开设备之前就被包进隧道。在运营商看来，你的全部流量现在都去往同一个地方。

在正常工作的隧道内，运营商不再能看到：

• 你联系的网站和服务。 它看到的是一个目的地，即 VPN 服务器，而不是几十个域名。
• 你的 DNS 查询，前提是 VPN 按预期把它们送进了隧道。
• 未加密流量的内容。 即使是普通 HTTP，在设备到 VPN 服务器这一段也被隐藏了。
• 哪个应用发出了哪个请求。 视频、聊天、软件更新和网页，看起来都是同一条加密数据流。

这就是它真正的价值。如果你不希望运营商保存一份你查过的所有东西的清单，正常工作的 VPN 就把这份清单从它的视野里拿走了。举个简单的例子：你在家里的网络上浏览一个健康论坛。没有 VPN 时，运营商可以记录下这个论坛的域名；有 VPN 时，它只能记录那段时间你在和 VPN 服务器通信。

运营商仍然能看到什么

这一部分往往出乎人们的意料。VPN 不会让你在自己的运营商面前完全隐形。下面这些仍然可见。

运营商仍可见的内容	原因
你连接了 VPN 服务器	隧道必须从你的线路发起，而服务器有地址
VPN 服务器的地址	数据包需要目的地
你何时连接、何时断开	流量会开始和停止
大致收发了多少数据	运营商传送每一个包
这些流量很可能是 VPN	隧道流量常有可辨认的特征
你的账户与计费身份	这是你和运营商之间的合同，与 VPN 无关

这些都不会泄露你访问了哪些网站，但也不是毫无意义。如果有人查看你的连接记录，他们能看到你使用了 VPN、在什么时间、数据量多大。对多数人来说这可以接受，因为在大多数地方使用 VPN 是普通而合法的事。但如果有人希望连 VPN 的存在本身都不被看到，仅靠 VPN 并不是为此设计的。

流量特征与流量分析

即使是加密流量也有“形状”。持续稳定的大数据流，与许多短促的小突发，看起来是不同的。安全研究者已经证明，数据包大小和时间间隔等特征有时能暗示活动的类型，比如看视频还是聊天，这被称为流量分析（traffic analysis）。它不会直接揭示你读了哪个页面，普通运营商也不会例行地对个人用户这样做，但它提醒我们：“加密”不等于“看不见”。EFF 的 Surveillance Self-Defense 是了解这类技术能做到什么程度的一份中立资料。

信任转移了，并没有消失

有一个权衡需要你对自己诚实。VPN 服务器位于流量离开隧道、到达目的地的位置。这意味着 VPN 的运营者在技术上处在能看到你流量去向的位置，就像此前的运营商一样。

所以，VPN 并没有消除观察者，只是换了谁坐在观察者的位置上。你依赖的从运营商变成了 VPN 服务商。这可以是个不错的选择：很多人更信任自己挑选并付费的服务商，而不是一个从未选择过的默认网络，而且靠出售 VPN 通行证为生的企业也有理由规范行事。但你应该阅读任何服务商对自身做法的实际说明，不要假定某种没有声明过的政策。这也是为什么购买前读一读“付费购买 VPN 前要检查什么”之类的文章是值得的。

VPN 与带宽限速

限速（throttling）是指运营商有意放慢某些流量。有人搜索“VPN bandwidth throttling”，希望得到明确的答案。老实的回答是：这取决于变慢的原因。

情形一：运营商减速某一类流量。 有些网络对不同类型的流量区别对待，比如在高峰期放慢大型视频流或文件传输。要这样做，运营商必须能识别类型，通常是根据目的地址或域名。如果 VPN 隐藏了目的地，运营商就无法把那一类单独挑出来减速。在这个很窄的情形下，你可能看到差别。

情形二：用量超额后整体降速。 许多手机套餐和部分家庭套餐在超过每月额度后会降速。这种降速针对账户下的所有流量，VPN 改变不了。

情形三：网络拥堵。 高峰时段，共用的网络就是会拥挤。没有谁在针对你的流量，VPN 也无法增加网络本来没有的容量。

情形四：运营商直接减速 VPN 流量。 个别运营商可能降低看起来像隧道的流量的优先级。若如此，VPN 反而可能让情况更糟。

此外，VPN 本身也有成本。额外的加密和更长的路径可能降低速度，影响程度取决于到 VPN 服务器的距离和服务器的负载。为什么使用 VPN 后网速会变化一文对此有说明。务实的做法是测量而不是假设：在一天中的同一时段，先关闭 VPN 测速，再开启 VPN 测速，然后比较。不要仅仅为了对付限速而购买 VPN，因为没有任何 VPN 能保证这个结果。另外请记住，你与运营商的合同可能包含网络管理方面的条款，VPN 并不会改变这些条款。

VPN 是怎样没能隐藏信息的

VPN 只保护真正通过隧道的内容。下面是流量重新变得可见的常见原因。

DNS 泄漏

如果你的设备把 DNS 查询发给了运营商的 DNS 服务器，而不是送进隧道，运营商就会看到你查过的每一个名称，哪怕页面内容是被隐藏的。这叫 DNS 泄漏，可能由操作系统设置、IPv6 或配置不当的应用造成。

隧道中断

如果 VPN 连接断了，而设备继续使用，流量就会不受保护地直接流向运营商，直到你发现为止。kill switch，或平台支持时的“始终开启 VPN”设置，会在隧道中断时阻断流量。什么是 kill switch一文说明了它的原理。

分应用代理（split tunneling）

有些应用允许你只让选定的流量走 VPN。这很有用，但你排除在外的内容会直接经过运营商，并像平常一样可见。请检查设置，弄清哪些应用在 VPN 内、哪些在外。

忘记连接

听起来很明显，但运营商能看到你活动的一个常见原因，就是 VPN 没有开启，或设备从休眠中唤醒后没有重新连接。开始敏感操作之前，先看一眼应用的状态。

一份简短的核对清单

想确认运营商看不到隧道内部时，可以按这个流程做。

1. 连接 VPN，等应用显示已连接。
2. 查看你的可见 IP 地址，在任意 IP 查询页面上看。它应该是 VPN 服务器的地址，而不是你家或手机的地址。
3. 做一次 DNS 泄漏测试。 显示的解析器不应属于你平时的运营商。
4. 测试隧道中断的情形。 如果应用有 kill switch，确认它已开启。
5. 检查分应用代理的设置，确保没有重要的内容被排除。
6. 换网络后重复一遍，例如从家里 Wi-Fi 换到手机热点。

帮助中心有一篇逐步说明如何检查 VPN 是否正常工作的指南，前三步在其中有更详细的讲解。

现实中的几个场景

合租公寓里的学生。 房东或楼宇管理者运营 Wi-Fi，能看到域名。使用 VPN 后，他们只看到通往 VPN 服务器的连接。学生仍需记住，现在是 VPN 服务商能看到目的地。

在国外使用手机流量的旅行者。 运营商的网络能看到数据去向。VPN 把它缩减为一条加密数据流，这在咖啡馆或酒店 Wi-Fi 上同样有帮助，因为那里路径上还有另一方。出行场景下的相关习惯与此类似。

在家办公的人。 公司自己的 VPN（如果有）是另一回事，公司政策优先。对于个人浏览，个人 VPN 可以让家里的运营商无法保留域名级别的记录。

担心晚上看视频变卡的人。 他们在有和没有 VPN 时各测一次速。如果某个服务在开了 VPN 时更快，说明可能存在按类型的减速；如果更慢或没有变化，原因多半是拥堵或套餐，VPN 并不是解决办法。

常见误区

• 以为“开了 VPN 就什么都看不到”。 运营商仍能看到连接本身。
• 跳过泄漏测试。 看起来已连接的 VPN 仍可能泄漏 DNS。
• 相信 VPN 能治好网速慢。 在很窄的情形下可能有效，但更常见的是略微变慢。
• 忘了 VPN 服务商才是新的观察者。 信任只是转移，并没有消失。
• 把 VPN 当作法律上的护身符。 VPN 不会改变法律、合同或网站条款。

小结

VPN 正常工作时，运营商读不到你访问的网站、DNS 查询和流量内容，但仍能看到你连接了 VPN 服务器、何时连接，以及大致传输的数据量。只有当运营商是靠识别流量类型来减速时，VPN 才可能对限速有帮助，它解决不了拥堵和流量额度。泄漏、隧道中断和忘记连接，往往是让你重新暴露的原因，而 VPN 服务商则接过了运营商失去的那个观察位置。

如果你想要一个按固定期限使用、不会自动续费的 VPN，定价页面列出了可选的通行证，帮助中心会带你完成各设备上的设置。