iCloud Private Relay 是 VPN 吗？两者各自到底覆盖什么

两个开关都打开着，手机显示一个 VPN 标识和一个 Private Relay 标签，人们便以为现在一切都受到双重保护。事实并非如此。Private Relay 只覆盖 Apple 为其说明的浏览流量，走的是该公司运营的两跳设计。VPN 覆盖其配置所发送的一切，其中可能包含任何互联网中继都无法到达的私有网络资源。

它们在一部分 Safari 流量上重叠，在几乎其他所有地方则分道扬镳。弄清楚某一请求由谁承载，就是可用配置与一张支持工单之间的差别。

两者各自承载什么

Private Relay 面向浏览及相关受支持流量，并附带相应的 DNS 解析。它不是通往雇主网络的隧道，也不能证明第三方应用使用了所选的公网出口。

VPN 的范围由其配置决定。该配置决定哪些目的地经隧道路由、流量是否分流以及排除哪些应用。它还可以提供通往私有资源的路径，而互联网中继无法提供这一点。

范围由配置决定，而非图标

VPN 标识只说明某个配置已连接。它并不说明该配置路由了什么。分流隧道配置、按应用排除以及按需规则都会改变答案，而标识却完全相同。

先在设备上读取配置，再用一次真实请求加以确认。一个仅在隧道开启时才能解析并连接的私有主机名，比任何指示器都更有说服力。Private Relay 有自己的范围和自己的可用条件，因此两个可见标签并不描述同一条合并的隧道。

两家运营方，不同的信任

Private Relay 分割连接路径，使其设计中的任何单一参与方都无法同时看到你是谁以及你请求了什么。常规 VPN 把这种可见性集中到你选择的运营方手中，这是政策决定而非技术意外。两种安排都不改变网站在你登录时了解到的东西。更换 IP 不会清除 Cookie，不会移除基于权限的位置数据，也不会让账户匿名。

在两者之下都要盯住 HTTPS 和账户身份，因为人们对 VPN 的期待大多其实由 TLS 以及不登录来兑现。这对任何隐私承诺都是有用的检验。问问隧道开启后网站仍能看到什么。答案通常是账户、Cookie 和时区。

按顺序做检查

从设置本身开始，而不是从测速开始。在设置中打开 iCloud 条目并读取 Private Relay 状态，再打开 VPN 部分读取该配置的状态与配置内容。然后测试四件事：一个 Safari 页面、一个对你重要的第三方应用、一个只应通过隧道工作的私有资源，以及它们各自看到的公网地址。这一顺序能在几分钟内把浏览覆盖与配置覆盖区分开。

Apple 的 Private Relay 概览 是该功能覆盖哪些流量、可用性取决于什么的参考资料。请用它，而不是从控制中心的标签去推断范围。

当两项设置相互影响时

兼容性很重要。某些网络状况和已安装的产品会影响该功能是否可用，而且在一个并未生效时，两项设置可能仍然都显示为开启。Private Relay 不是国家选择器，也不能在所有应用中替代 VPN 来实现该目的。如果需要组织内部资源，请使用已批准的 VPN 及其身份验证，而不是指望互联网中继能到达内网地址。

工作顺序：读取两项状态，确认 VPN 配置的路由，测试 Safari 与一个应用及一个私有资源，然后记录每个结果由哪项控制承载。正是这份记录把猜测与诊断区分开来。