隐身 VPN 协议：能隐藏什么，不能隐藏什么

搜索"隐身 VPN"，你会看到很多信心十足的说法：隐形隧道、检测不到的流量、没人能发现的 VPN。真实情况要窄得多，也有意思得多。所谓隐身 VPN 协议，更准确的叫法是混淆模式，它改变 VPN 流量的外在样子，让简单的过滤器认不出来。这是一个有用而具体的技巧，但它不是一件隐身斗篷。

这篇文章讲清楚这个技巧是什么，为什么普通 VPN 流量本来就容易被认出，混淆能隐藏什么、没有隐藏什么，以及它会让速度和电量付出什么代价。如果想先了解背景，可以读 VPN 协议是什么。我们不会介绍如何绕过任何网络的规则，目的只是帮你正确理解宣传语，判断这类功能与你是否相关。

"隐身"到底指什么

VPN 协议做两件事：加密你的流量，并给这些流量加上双方都能读懂的格式，比如握手、密钥交换、数据包头和保活信号。加密隐藏的是内容，而格式是另一回事，真正让 VPN 暴露身份的恰恰是格式。

隐身、混淆、伪装、扰乱，说的是同一类思路：修改外层格式，让它不再像 VPN 握手。里面加密的数据并没有换成更强的方案，被重新包装的只是外层。这样，那些把流量分成"网页、邮件、视频、VPN"几个桶的设备，就不容易把它放进 VPN 那一桶。

遇到这个词时请记住：隐身关乎"能否被认出"，而不是"是否保密"。你的内容本来就已经加密，隐身想改变的是中间设备能否只看前几个数据包就说出"这是 VPN"。

为什么普通 VPN 流量容易被认出

大多数 VPN 协议是为安全和速度设计的，不是为了融入人群。所以它们有一些固有习惯，即使内容读不出来，也能被识别。

• 有特点的开场握手。 许多协议的第一批数据包，字节、长度和顺序每次都一样。"这种大小、这种包头的数据包就是隧道的开始"，这样的规则写起来很便宜。
• 众所周知的端口。 有些协议的默认端口很少被别的服务使用，在这种端口上看到长时间通信，就是很明显的线索。
• 规律的保活包。 隧道会定期发送小数据包以保持连接，这种节奏与浏览网页时断断续续的活动不同。
• 数据包大小和时间的规律。 加密后的数据仍然有"形状"。一连串大小相近、稳定流动的数据包，与加载网页或播放视频的样子不一样。
• 协议特有的字段。 即使内容加密，包头里仍有一些字段可见，比如版本标记或消息类型。

这些都不需要破解加密，只是在信封外面做图案匹配。深度包检测（DPI）不仅看地址和端口，还看流量本身的结构，所以对未经处理的 VPN 协议特别有效，这也是此类功能出现的原因。

混淆是怎么做到的

不存在唯一的隐身方法，服务商通常把几种通用技术组合使用。了解大致原理，就足以判断一条宣传是否靠谱。

包进一个熟悉的协议里

最常见的思路，是把 VPN 的数据包装进看起来像普通加密网页流量的东西里。TLS 是 HTTPS 背后的协议，所以在标准安全网页端口上的 TLS 形态数据流，会融入互联网上最大的一类流量。VPN 数据只是这条外层数据流的载荷。对简单的分类器来说，这条连接看起来像在访问一个安全网站。这和"通过 TLS 运行 VPN"是同一类思路。

扰乱包头

另一种做法，是对协议自己的字节做一个可逆变换，比如与一个密钥做异或，这样开场握手就不再匹配固定特征。这种方法轻快，但并没有模仿任何真实协议，只是去掉了固定的图案。更复杂的观察者可能发现这条数据流看起来像随机噪声，而这本身也很不寻常。

随机填充与时间变化

有些模式会给数据包加上随机长度的填充，或加入细小的延迟，使大小和节奏的统计规律不那么整齐。这针对的是"形状"指纹，而不是包头指纹。它的代价是带宽，因为填充的就是白白浪费的数据。

换一种传输方式

有的实现会从 UDP 换成 TCP，或使用像 QUIC 这样的现代传输方式。QUIC 同样基于 UDP，但看起来像新一代的网页流量。更换传输方式可能让流量更容易通过对某些数据包有特殊处理的网络，代价是性能特点会发生变化。

使用热门端口

选择安全网页流量常用的端口，可以让连接不会因端口号而显眼。这只对最粗糙的过滤器有用，因为流量的结构仍然要与该端口通常承载的内容相符。

隐身能隐藏什么，不能隐藏什么

这张表是整个话题的核心，在决定隐身功能能否解决你的问题之前，请先读一遍。

问题	普通 VPN 模式	隐身 / 混淆模式
同一 Wi-Fi 上的路人能读到网页内容吗	不能，已加密	不能，已加密
基础过滤器能判断这是 VPN 吗	常常能	更难
网络能看到你连接的 VPN 服务器地址吗	能	能
网络能看到你发送数据的数量和时间吗	能	能
VPN 服务商能看到你的流量吗	能，它是终点	能，它是终点
你访问的网站能看到你的真实设备吗	看到 VPN 的地址	看到 VPN 的地址
高级流量分析仍能发现你吗	能	伪装不完美时有时能
能让你匿名吗	不能	不能

有两点值得强调。第一，网络运营方仍然能看到你的 VPN 服务器的目标地址。隐身改变的是流量"长什么样"，而不是"去哪里"。如果这个地址已经被人知道属于某个 VPN 服务，按名单封锁就不在乎数据包如何包装。第二，服务商并没有被蒙住眼睛。无论使用哪种隐身模式，你的流量都会在服务商那一端解密。想全面了解这层关系，可以读 VPN 服务商能看到你的什么 和 运营商能看到你的 VPN 流量吗。

代价：速度、电量和稳定性

每一种伪装都有代价，打开开关之前最好心里有数。

• 额外开销。 封装增加包头，有时还有填充，因此一部分带宽不承载有用数据。在高速家庭宽带上可能感觉不到，在较慢的移动网络上可能就会感觉到。
• 额外处理。 扰乱字节和多一层加密会消耗更多 CPU。在手机上可能多耗一点电，在配置较低的电脑上可能限制最高吞吐。
• TCP 套 TCP 的麻烦。 当隐身模式把 VPN 流量放进 TCP 连接时，会有两层各自重传丢失的数据包。线路良好时没问题，丢包较多时两层可能互相干扰，表现为时卡时快，而不是稳定的速度。
• 更多环节。 依赖特定端口、库或应用版本的伪装，在某处变化时更容易失效。普通模式的故障点更少。
• 更高延迟。 视频通话和游戏对延迟敏感。为什么用 VPN 后网速会变化 解释了毫秒花在哪里，而隐身模式往往会再增加一点。

公平的测试只要五分钟：在同一网络、相近的时间，分别在关闭和开启该设置时做一次测速，再试一次通话或一小段游戏。如果差别很小，有理由的话可以保持开启；如果差别很大，就只在确有需要的那个网络里使用。

普通人会在哪些场合遇到

大多数人根本不需要隐身设置，只有少数场景会提到它。

限制 VPN 流量的公司、学校或酒店。 有些网络出于策略原因故意拦截 VPN 协议，比如保护自己的管控或节省带宽。混淆模式在技术上也许能通过简单的过滤，但这不代表你被允许使用。工作或学校网络的规则由其管理员制定。最直接的做法是询问管理员、使用自己的移动数据，或等到你有权设置的网络里再用。把隐身开关看作一项技术功能，而不是一张许可证。

对 VPN 形态流量处理不好的网络。 偶尔 VPN 在移动数据上正常，但在某个 Wi-Fi 上很慢或不稳定。这可能只是质量问题，而非政策。如果普通模式不稳定，换一种传输方式或端口也许有帮助，如何提升 VPN 连接稳定性 列出了应先检查的项目。

对隐私好奇的人。 如果目标是不让普通观察者给你的流量贴标签，隐身可能增加一层小小的保护；如果目标是不被有能力的对手观察到，它就是不合适的工具。在投入精力之前，不妨先用简单的 威胁模型 想清楚。

如何判断一条隐身宣传

当产品宣传隐身功能时，问几个具体的问题。认真的说明会用通俗的语言回答大部分。

1. 它在模仿什么，或者在扰乱什么？ "看起来像 TLS"和"异或扰乱"是两种不同的说法，强度也不同。
2. 它是单独的模式还是默认？ 如果是一个开关，说明默认连接并没有被伪装。
3. 对速度有什么影响？ 诚实的说明会承认代价，对此只字不提是一个轻微的警示信号。
4. 有没有说明它做不到什么？ "无法检测"或"无法封锁"之类绝对的话是营销，不是工程。
5. 应用是否说明使用哪种传输方式？ TCP 和 UDP 在丢包时表现不同，你应该能查到。
6. 宣传是否涉及对服务商隐藏？ 隐身做不到这一点，任何暗示这一点的广告都把两件事混为一谈。

如果答案含糊，就把它当作额外功能，而不是选择或放弃某个服务商的理由。关于总体选择，如何选择你的第一个 VPN 比任何单一功能名称都更可靠。

三个场景

小陈在限制 VPN 的公司里。 公司政策规定内部网络不得使用个人 VPN。小陈看到应用里有隐身开关，想知道打开后能不能用。事实是，即使过滤器没发现，公司的规定仍然存在，违反可能影响工作。正确做法是问信息技术部门，或者个人事务用自己的移动数据。

小林宿舍的 Wi-Fi 只有开 VPN 时才慢。 她在同一时段反复切换，发现某个模式一直更稳定，于是在宿舍使用，回家后换回普通模式。这是把它当作排错工具，而不是一种信仰。

阿杰以为隐身能让运营商不知道他用了 VPN。 运营商仍然能看到他连接某个服务器地址以及数据量。隐身也许让"VPN"这个标签更难贴上，但并不是隐藏连接的存在。如果担心的是内容，普通加密已经处理了。

常见误解与错误

• 以为隐身等于保密。 保密靠加密，隐身只是改变外层标签。
• 以为能对 VPN 服务商隐藏。 做不到，服务商就是终点。
• 到处都打开。 在正常的家庭或移动网络上，你为不需要的保护付出了速度和电量。
• 期待保证。 过滤器在进化，伪装会过时，能通过一个网络的方法在下一个网络可能失败。
• 无视网络规则。 技术上的办法不会改变管理员或雇主允许什么。
• 忘记其他泄漏。 如果存在 DNS 泄漏，再完美的伪装也没有用。基础检查同样要做。

总结

隐身 VPN 协议是对 VPN 流量外层的一种伪装。它通过包进熟悉的协议、扰乱包头、填充或更换传输方式，让连接对简单的特征匹配过滤器来说更不像 VPN。它不会对 VPN 服务商隐藏你的流量，不会隐藏你连接的地址，不能击败所有分析方式，通常还要付出一些速度和电量的代价。请把它当作可以测试的备用选项，而不是默认设置或隐形的承诺，并始终遵守你所在网络的规则。

如果你想要一个简单的日常防护 VPN 通行证，可以在价格页面按自己的节奏了解选项。