共享 VPN 登录：它隐藏了什么，又隐藏不了什么

共享登录并不能让你隐形，也不会让其他用户变成你的同事。它改变的是谁可以被识别、谁可以被移除，而连接的其他一切属性都留在原处。迷思在于共享凭据意味着匿名或信任；现实是它们消除了问责，并增加了共用的失败方式。

凭据真正控制的是什么

用户名和密码只回答一个问题：这条连接能否建立。它们不决定运营方记录什么、其他客户端能访问什么，也不决定出口节点是否诚实。这些是服务彼此独立的属性，而共享账户对其中任何一项都不作说明。

网关仍会按自己的策略看到源地址、连接时间和流量大小。共享凭据并不会抹掉这些记录，只是让它们更难归到某个人身上。如果运营方保留日志，日志现在显示的是一条可能属于任何持有该凭据之人的会话。

这与匿名恰恰相反，也与问责恰恰相反。

移除与轮换会影响所有人

使用唯一身份时，你可以停用一台设备而让其余继续工作。使用共享凭据时，轮换密码会同时断开所有用户，移除一个人则意味着为所有人更换秘密。在分发之前就要为此做好规划。代价不只是不便：它会把运营方推向永不轮换，而泄露的凭据就此多年有效。

在论坛或聊天群里贴出的凭据，从那一刻起就应当视为已公开。

实际后果是：共享登录既不适合任何需要单独审计或撤销的场合，这包括大多数工作部署，也不适合 任何会丢失一台设备的家庭设置。

其他客户端不是你的局域网

客户端之间的可达性是配置选择，而不是“私有”一词的属性。有些服务会把客户端彼此隔离，另一些则在它们之间路由。共享账户不会告诉你自己属于哪一种。

在服务文档另有说明之前，把其他客户端当作陌生人。保持主机防火墙开启，不要在隧道接口上启用文件共享，也不要把 VPN 地址当作应用的信任信号。WireGuard 自己的 限制说明页面 明确指出，该协议不隐藏端点，也不单独提供匿名性，而这正是任何 VPN 都适用的正确思维模型。

隧道保护的是路径，而不是对端。

使用之前该检查什么

阅读运营方公开的日志、管辖与保留政策，并留意缺了什么。没有说明保留期限的提供商，等于没有作出承诺。然后把你实际得到的出口地址与该服务宣传的位置作比较。

curl -s https://example.net/cdn-cgi/trace | grep -E '^(ip|loc)='

如果可见的出口地址位于你没预料到的国家，说明资料与宣传不一致，值得在通过它发送任何内容之前先解决。

对付费服务，即使营销在推共享套餐，也应优先选择按设备分配凭据的方案。它多花一点管理成本，换来撤销的能力。

工作与家庭更好的默认做法

如果你在为一群人设置访问权限，就为每个人或每台设备创建一个身份，维护持有者清单，并在设备退役时删除条目。这比群发一个密码更费事，但它是“可以运营的服务”与“无法回忆的秘密”之间的区别。共享账户之所以方便，正是因为它把这件工作藏了起来，而账单会在第一次有人离开时送到。把清单交给负责离职流程的人，这样移除就不依赖某条聊天记录是否还记得。

在第一次事故之前就把轮换路径写下来，而不是在事故当中。写清谁能创建身份、谁能撤销身份、持有者清单放在哪里。正是这三个答案让这套安排可运营，而不只是方便。

共享登录的用途很窄：一个你不依赖其提供隐私或问责的公开出口。照此对待它，风险就会变得可预期。