先点名观察者，再决定 VPN 是否有用

大多数关于 VPN 的问题都从产品出发，再倒推理由。请反过来：点名你想限制的观察者，并点名你不想让该观察者掌握的信息。这两个答案决定隧道是否相关，也决定你其他控制手段中哪一个在真正起作用。

共五步，前两步是你要写下来的句子。

第 1 步：点名观察者

写下一个具体的对象：咖啡馆网络运营者、你的网络服务商、你访问的网站、你的雇主，或任何持有你设备的人。笼统的“他们”不是观察者，也无法推敲。这些对象处在路径的不同位置，看到的东西各不相同，因此单一控制手段无法回答所有问题。

如果你说不出观察者是谁，需求就还没有定义。

观察者的能力也各不相同。咖啡馆运营者只能看你一个晚上的流量，别的几乎看不到；服务商可以跨月关联数据；雇主则拥有你使用的终端。每一方值得付出的努力，既改变答案，也决定哪种控制值得费心。

第 2 步：点名信息

目的地、内容、时间与身份是彼此独立的类别。隧道改变谁能看到你的目的地，也可能改变网站看到的源地址。它不改变你在表单里输入的内容、登录所用的账号，也不改变跟随你的 Cookie。时间与流量模式在大多数隧道下依然存在，因为数据包终究要传输。

决定这四类中哪一类重要。同时保护全部四类，需要 VPN 并不包含的控制手段。

第 3 步：走一遍真实交换

选一个应用并跟踪它。你通过 HTTPS 打开页面：本地网络看到通往某个主机名的 TLS 连接，内容被加密，网站看到你的地址以及会话携带的一切。使用隧道时，本地网络看到通往 VPN 端点的连接，运营者看到目的地，网站看到运营者的地址。在那张图上标出你关心的每一段。

一张真实交换的图，胜过一页关于隐私的形容词。

第 4 步：数一数你新增的信任

每条隧道都在转移可见性，而不是消除它。运营者现在位于路径中，除非你也加密 DNS，否则能看到目的地；TLS 握手中的名字在没有额外措施时仍然可见。问问该运营者记录什么、谁能强制它、这些回答有什么证据。 发布审计报告的提供者，与发布口号的提供者所做的是不同类型的声明。

选择你愿意托付第 2 步中具体信息的运营者，而不是落地页最漂亮的那家。

第 5 步：写下你能辩护的主张

完成的陈述要点名观察者、信息与残余风险：这条隧道让咖啡馆网络看不到我访问哪些网站，而运营者可以取而代之看到它们。这句话可以检验，也诚实说明了什么被转移了。

“一切都会变得私密”这一主张既不可检验也不真实，还掩盖了真正有用的控制手段：账号卫生、浏览器隔离、设备更新，以及在工作场所使用获准的访问路径。