隐私中继、安全网关与完整 VPN 有什么区别？

隐私工具越来越多。一些手机和浏览器内置了中继，可以隐藏你的部分活动；一些网络公司则免费提供应用，把你的流量送入他们的系统。它们经常被拿来和 VPN 比较，有时还被描述成免费的替代品。它们彼此相关，但并不是一回事。

本文用通俗的话讲清楚这些差别，不点任何产品名，也不给品牌排名。我们会比较每种类型覆盖什么、你需要信任谁、在哪里会有不足，以及各自何时才是正确的选择。读完之后，你应当能看着任何产品页面，判断出它属于哪一类。

为什么这些工具会被拿来和 VPN 比较

这些工具都在回应同一个担忧：你与网站之间的路径上，有人看到了太多信息。那个人可能是 Wi-Fi 网络的所有者、你的网络运营商，或者网站本身。

它们的差别在于覆盖多少流量、处在路径的什么位置，以及由谁运营。一个好的起点是 VPN 的基本概念，Cloudflare 的概述做了描述：在你的设备与 VPN 服务器之间建立一条加密隧道，你的流量通过它再出口到互联网。下面这些工具只完成了其中的一部分，或者用不同的方式来完成。

隐私中继：范围有限，内置于系统

隐私中继通常是操作系统、浏览器或账号的一项功能，而不是单独的应用。最常见的设计是这样的：

1. 你的设备把请求加密后发给第一个中继，由某家公司运营。
2. 第一个中继知道你是谁，也就是你的网络地址，但看不到你请求的网站。
3. 它把请求转交给第二个中继，通常由另一家公司运营。
4. 第二个中继知道目的地，但不知道你是谁，并由它去连接网站。

把工作拆开的意义在于：没有任何单一运营者能同时看到两半信息。这是个聪明的设计，对于日常浏览，确实是实实在在的隐私改进。

范围受限的地方

中继通常范围很窄。范围由平台决定，可能包括：

• 仅限某一个浏览器里的网页浏览
• 一些使用标准网页连接的应用
• DNS 请求，并且仅限某些流量

其他流量，例如许多应用、游戏、聊天服务、系统服务，以及一切不是普通网页的流量，往往不经过中继。在某个具体网络上是否生效也可能不同，中继还可能被网络设置、工作场所的策略或 VPN 关闭。

实际的教训是：对于中继，要问清楚它到底覆盖什么。如果答案是“某个浏览器里的网页浏览”，那么你拥有的就是这些。

免费的安全网关应用

第二类是网络、安全或基础设施公司提供的免费应用。名称各不相同，但模式很常见：

• 你安装应用并打开它。
• 你的 DNS 请求，有时还包括更广泛的流量，被加密后发送到服务商的网络。
• 服务商可能提供附加功能，例如过滤已知的有害网站。
• 付费版本可能增加更多功能。

加密 DNS 是实实在在的好处。DNS 是把网站名称转换成地址的系统，为它加密的标准包括 RFC 8484 中的 DNS over HTTPS。想了解 DNS 是什么，Cloudflare 的解释是个不错的起点。

这类应用是什么，不是什么

它们最恰当的描述往往是安全网关或受保护的解析器。实际上：

• 它们可能只保护 DNS，这能向 Wi-Fi 运营者隐藏你查询的网站名称，但并不隐藏连接本身。
• 如果它们承载一般流量，服务商的网络就成了你的流量出口的新位置。
• 它们的设置通常比完整 VPN 少：连接方式可选的少，对流量走向的控制少，排错信息也有限。
• 因为应用是免费的，服务商为什么提供就变得重要。可能是出于善意，可能是为了推广其他产品，也可能是通往付费升级的入口。请检查它的政策和商业模式，正如我们在无广告的免费 VPN指南中所讲的。

这一切并不意味着它们不好，而是说它们属于另一类工具。

完整的 VPN 做什么

完整的 VPN 通常是系统级隧道。连接之后，设备的大部分或全部上网流量，无论来自哪个应用，都会经过它。典型特点包括：

• 覆盖每一个应用，而不只是浏览器
• 有可选的连接方式，由服务提供
• 有断网保护和分流等控制项
• 为多种设备提供应用或配置文件，因此同样的保护能从手机延续到笔记本
• 与服务商之间有清晰的商业关系

VPN 不会让你隐形。它改变的是你的流量看起来从你的连接哪里出去，并对本地网络隐藏流量的内容。更完整的说明见VPN 究竟保护什么和VPN 无法保护你免受什么。

对许多人来说，实际区别很简单：中继或网关是随平台或免费应用附带的一层，而 VPN 是你为某个目的挑选的工具。

并排比较

问题	隐私中继	免费安全网关应用	完整 VPN
位于哪里	内置于平台、浏览器或账号	独立应用	独立应用或系统配置文件
覆盖哪些流量	往往是网页浏览，有时更多	DNS，有时更多	设备的大部分或全部流量
涉及的运营者	常常是两个，用来拆分各方所知	一个服务商	一个服务商
控制与设置	很少	少到中等	通常最多
跨设备覆盖	仅限有该功能的设备	取决于是否有应用	取决于是否有应用
公共 Wi-Fi 上的保护	针对其覆盖的流量	针对其覆盖的流量	针对设备的大部分流量
典型成本	包含在订阅或账号中	免费，往往带付费版	付费，也有免费版
排错帮助	有限	有限	通常更好
最适合	不费力的日常浏览	不花钱获得额外的 DNS 隐私	更广的覆盖和更多控制

各自保护你免受什么，以及你要信任谁

它们能保护与不能保护的

在一定程度上能保护你免受：

• Wi-Fi 所有者或咖啡馆网络读取你访问的网站，针对被覆盖的流量
• 网站看到你确切的家庭地址，当中继或隧道把它隐藏起来时
• 基于网络地址的基础追踪

无法保护你免受：

• 恶意软件、网络钓鱼和弱密码。参见如何识别钓鱼网站。
• 因你登录后的行为而被识别。你登录某项服务，它就知道你是谁。
• 浏览器指纹和 Cookie，它们无论你的地址如何都能识别你。
• 已被入侵的设备。
• 落在工具范围之外的流量。

这三类工具都不能让你匿名。关于隧道与匿名网络之间更深的区别，请看 VPN 与 Tor。

信任：谁能看到什么

每一种隐私工具都是把信任从一方转移给另一方。诚实的问题是：你转而信任的是谁？

• 对于中继，你信任平台以及两个节点的运营者。两跳设计限制了每一方能了解的内容，但你仍然依赖他们的承诺和平台本身。
• 对于免费网关应用，你把 DNS 或流量交给一家服务商。请检查隐私政策，并问问它如何赚钱。
• 对于完整 VPN，你把它承载的全部流量交给 VPN 公司。所以选择商业关系清晰、条款直白、有口碑的服务商才这么重要。

对“没人能看到任何东西”这类绝对化的说法要保持警惕，对任何工具而言，这几乎都不是真的。直白地说明谁能看到什么，才是更好的信号。

四个日常场景

**在咖啡馆浏览网页。**普丽娅主要在浏览器里读新闻、购物。覆盖该浏览器的中继，为她抵御咖啡馆网络增加了有用的一层，也许她不需要更多。

**一晚上的应用和游戏。**汤姆晚上玩网络游戏，还用好几个聊天应用。以浏览器为主的中继碰不到这些流量的大部分。让整台设备走隧道的工具更合适，他通过查看自己的可见地址就能验证。

**带着三台设备的旅行者。**露西娅有手机、平板和笔记本，希望三者有同样的保护。某个平台内置的功能不会跟着她转到另一个平台。为每个系统都提供应用的完整 VPN，能带来一致的覆盖。

**只想要私密 DNS 的学生。**阿健的目标有限：不让宿舍网络看到他查了哪些网站。只要他明白它不会隐藏一切，加密 DNS 的免费网关应用也许就够了。

如何选择

按顺序问自己这些问题：

1. **我需要保护什么？**只是浏览，还是所有应用？
2. **哪些设备？**一个平台，还是多个？
3. **我想要多少控制？**一个开关，还是断网保护、分流这类设置？
4. **我在信任谁？**阅读政策和商业模式。
5. **它失效时会怎样？**流量会不会回落到开放网络？
6. **它能与其他工具一起用吗？**阅读说明文档。

如果你需要广泛的覆盖和控制，完整 VPN 更贴切。我们的 VPN 与代理指南可以帮你与其他类似隧道的工具作比较。

组合使用

通常你不会同时运行其中两种。当完整 VPN 连接时，系统往往会对 VPN 承载的流量关闭或绕过中继，这是正常的。启用任何组合之后，都要检查可见地址并测试 DNS 泄漏，这样才知道到底是哪个工具在起作用。

常见错误与局限

• **把中继当作完整 VPN。**它是有范围的功能，请确认覆盖什么。
• **以为免费应用会承载你的全部流量。**很多只保护 DNS。
• **以为“私密”就是“匿名”。**中继和 VPN 都不会让你匿名。
• **忘了工作单位和学校的网络可能关闭中继。**不同网络的设置不同。
• **不做测试。**检查可见地址和 DNS 只需几分钟。
• **忽略商业模式。**免费工具也有成本，所以要弄清楚是谁在付钱。

VPN 也有局限：它依赖你必须谨慎选择的服务商，也可能影响速度。关于 HTTPS 与 VPN 的指南说明了它如何与网站已有的加密配合。

总结

隐私中继和免费的安全网关应用都有用，但覆盖面比完整 VPN 窄。中继通常内置于平台，覆盖有限的流量，并拆分两个运营者能看到的内容。网关应用往往通过免费服务商保护 DNS 或一部分流量。完整 VPN 让设备的大部分或全部流量走隧道，在跨设备的控制和一致性上更强，代价是需要选择并信任一家服务商。请让工具与任务相匹配，问清楚到底覆盖什么，并测试结果。如果完整 VPN 适合你，而你更喜欢固定天数、不自动续费的方式，可以看看 XPASS 的价格与通行证是怎么运作的。