Chrome 代理与 VPN 扩展有何不同

如果你打开过 Chrome 的网络设置，会看到一个填写代理服务器的框；如果你逛过 Chrome 网上应用店，会看到几十个自称“VPN”的扩展。两者看起来都在隐藏你的地址，都改变了网站看到的内容，几秒钟就能打开。那么，在 Chrome 代理与 VPN 的比较中，真正的区别是什么？

简单说：代理是针对特定请求的中转站，而 VPN 是为网络流量建立的加密隧道。浏览器扩展则处于两者之间，具体做什么取决于它是怎么构建的。本文从 Chrome 的角度出发：代理设置在哪里、扩展如何使用它们、哪些地方仍然暴露，以及如何为具体任务选择。想了解浏览器之外这两种技术的整体差别，可以看 VPN 与代理的区别。

Chrome 里的代理做什么

代理是替你发出请求的服务器。浏览器不再直接与网站对话，而是与代理对话，再由代理与网站对话。网站看到的是代理的地址，而不是你的。

在大多数系统上，Chrome 自己并没有独立的代理引擎。它会遵循操作系统的代理设置，或遵循扩展提供的规则。常见类型有：

• HTTP 或 HTTPS 代理。 理解网页请求，适合浏览网页，也是许多企业环境的基本思路。请求如何被转发，HTTP 规范里有详细描述。
• SOCKS 代理。 更通用的连接中转，也能承载其他类型的流量，但它自己同样不加密任何内容。
• PAC 文件。 一段小脚本，告诉浏览器哪些网站走代理、哪些直连。公司用它让内部网站和外部网站走不同的路线。

代理默认不做的事，是对你的设备与代理之间这一段加密。如果代理地址是普通 HTTP，这段路程上的任何人都有可能读到内容。HTTPS 网站从浏览器到网站仍然是加密的，这在 HTTPS 与 VPN 一文中有说明，但代理仍然知道你请求了哪个网站。

VPN 扩展做什么

标着 VPN 的扩展，通常以下列三种方式之一工作。

作为代理控制器。 扩展通过浏览器的代理接口，让 Chrome 把浏览器请求发往远程服务器。有些版本会给这条连接套上加密，有些不会。无论哪种，受影响的都只有 Chrome 的流量。

作为完整应用的开关。 扩展与同一台电脑上安装的 VPN 应用通信。隧道由应用在系统层面建立，扩展只是遥控器。

完全是别的东西。 有些标着 VPN 的附加组件只是屏蔽广告、修改几个请求头，或者只对选定网站改道。它们的说明很少直白地讲清楚这一点。

第一种最让人困惑。从外面看，工具栏按钮像 VPN，状态显示已连接，IP 检测页面上的地址也变了。但浏览器之外的一切，包括邮件客户端、聊天应用和系统更新，仍然使用你的普通连接。关于这道缺口的详细说明，见 VPN 浏览器扩展与 VPN 应用。

并排对比

	在 Chrome 中设置的代理	浏览器 VPN 扩展	完整 VPN 应用
所在层	应用请求层	浏览器，经代理接口	操作系统网络层
覆盖其他应用	否	否	是
加密到服务器的链路	默认不加密	取决于扩展	隧道内加密
对网站隐藏你的地址	是，限经代理的请求	是，限浏览器请求	是，限所有被转发的流量
按网站设规则	容易，用 PAC 文件	通常内置	取决于应用
常见泄漏点	WebRTC、被排除的网站	WebRTC、其他配置文件	少见，但仍应测试
典型用途	工作工具、测试	仅浏览器的快速任务	日常保护

这张表只是粗略的参考。不同产品差异很大，所以请测试你手上的那一个，而不是想当然。

Chrome 代理会在哪里泄漏

即使代理已经打开，地址仍可能漏出去。常见原因如下。

1. WebRTC。 这个用于通话和文件传输的浏览器功能，可能建立绕开代理的直连。WebRTC 泄漏一文 说明了如何识别。管理隐私设置的 Chrome 扩展可以减轻这一问题，但效果取决于具体配置。
2. 被排除的网站。 PAC 文件或“绕过列表”可能让某些地址直连，例如局域网名称，或你或单位列出的特定域名。
3. 其他配置文件和窗口。 访客窗口或另一个 Chrome 配置文件，可能没有同样的扩展或设置。
4. 非浏览器流量。 软件更新、邮件客户端和聊天工具根本不读取 Chrome 的设置。
5. DNS 请求。 视代理类型和设置不同，域名查询可能发生在你这一侧，而不是代理那一侧。SOCKS 代理两种方式都可以配置。
6. IPv6。 如果代理只处理 IPv4，通过 IPv6 访问的网站可能看到你的真实地址。

这些都不意味着代理没用，而是说明代理是一把窄工具，你应当清楚它的边界。

举个实际的例子。假设一位学生在 Chrome 里设置了代理，想在家访问学校图书馆的门户网站。门户能打开，她便以为一切都已走代理。接着她在同一个浏览器里发起视频通话，WebRTC 测试却显示出另一个地址。而她的邮件客户端并不读取 Chrome 的设置，依旧在直连。代理完成了它唯一的任务，但它从来就不是整台电脑的护盾。记住这一区别，就能避免大多数失望。

四种情境与合适的工具

情境一：需要访问单位的内部工具。 雇主给了你代理地址和用于公司网页应用的 PAC 文件。请按 IT 团队的说明操作。代理是正确的工具，因为它正是为这个任务设计的，而且另一端由公司掌控。不要装一个不相干的扩展，指望它取代公司的规则。

情境二：在咖啡馆里查邮件和几个网页应用。 你希望热点的所有者和其他客人读不到你的流量。仅限浏览器的代理会把邮件客户端和后台同步留在外面。完整的 VPN 应用更合适，详见 公共 Wi-Fi 安全。

情境三：开发者要测试页面经另一条网络路径时的加载情况。 代理或 PAC 规则很顺手，因为切换迅速，只影响一个浏览器，你也不用担心机器的其余部分。

情境四：想给某一个浏览器窗口快速开关。 扩展可能很方便，但在信任它之前，先核实它做了什么。按下面几节所述，检查说明、权限并做泄漏测试。

可以看到，正确答案随任务而变。这也是单一的“最佳”排名很少有帮助的原因。

如何判断你的 Chrome 扩展究竟是什么

通常大约十分钟，你就能弄清楚某个工具栏按钮在做什么。

1. 打开扩展详情。 在 Chrome 里进入扩展页面，打开该附加组件的详情，记下开发者、权限和说明。
2. 找找有没有配套应用。 如果说明里写着需要安装桌面或手机应用，那么这个扩展多半是那个应用的控制器。
3. 检查代理状态。 在 Chrome 设置中搜索“代理”。多数系统会打开操作系统的代理面板。如果由扩展控制代理设置，Chrome 通常会提示有扩展在控制它们。
4. 与系统级检查对照。 在扩展开启的状态下，用 Chrome 打开地址检测页面，再用另一个浏览器做同样的事。如果第二个浏览器显示的是你的正常地址，说明效果只限浏览器。
5. 做一次 WebRTC 检测。 使用 WebRTC 测试页面。如果它列出的地址与 IP 页面显示的不同，说明该功能绕过了代理。
6. 查看隐私信息。 阅读开发者对数据处理的说明，以及谁在运营服务器。说明含糊或缺失，是一个危险信号。

我们的 免费浏览器 VPN 与应用的比较 一文介绍了如何阅读这类商店说明，尤其是免费扩展。

安全使用代理或扩展的实用规则

• 只用你信任的来源提供的代理。 代理能看到你请求的网站。如果不知道是谁在运营，就别通过它发送登录信息。
• 尽量使用 HTTPS。 养成检查锁形图标的习惯。即使中间有代理，加密的网站依然保护内容。
• 扩展要少。 每个拥有广泛页面访问权的扩展都会增加风险。把不再使用的删掉。
• 不要盲目叠加工具。 代理扩展加 VPN 应用，可能让路径变得混乱。叠加之前，先关掉一个并测试。
• 每次改动后都要测试。 Chrome、扩展和操作系统的更新都可能改变行为。
• 让工具匹配任务。 如果需要覆盖整台设备，浏览器就是找错了地方。

如果你的目标是在共用网络上获得通用隐私保护，完整应用很简单：连一次，其余一切自动跟上。XPASS 客户从 下载页面 获取免费的 VPNclient 应用，并用“我的通行证”（My Pass）页面上的用户名和密码登录。

常见错误

• 把工具栏上的绿色图标当作整台设备都受保护的证据。
• 用来历不明的代理登录银行或邮箱。
• 忘记 PAC 文件或绕过列表可能有意把某些网站排除在外。
• 只测试一个网站，就断定一切都已走代理。
• 不检查 WebRTC。
• 同时装几个功能重叠、相互冲突的隐私扩展。

总结

在 Chrome 里，代理为单个浏览器转发请求，通常不加密到代理本身的这一段；完整的 VPN 则在系统层面建立加密隧道。“VPN 扩展”可能是代理控制器、完整应用的开关，或者别的东西，所以要阅读其详情并加以测试。当雇主或任务需要时使用代理；想让每个程序都获得日常保护时，使用完整应用。

如果完整应用正是你需要的，而到期自动结束的预付通行证听起来合适，准备好时可以到 价格页面 查看选项。