三个跳点，一个主机：数清真正的隐私依赖
跳点数量掩盖了共享主机、一个管理员账号和同一个注册商。建立依赖台账，给每一行评级，看清共享值究竟连起了什么。
第二跳按时升起，而你的图里仍画着三家彼此独立的服务商。随后账单到了：其中两家写着同一家主机商，同一个注册商持有全部三个域名，每个账户都找回同一个你拥有的邮箱。隧道配置并没有坏。只是设计从未把跳点之下的依赖算进去，而跳点数量描述的是流量走过的路径，而不是可能对它采取行动的当事方数量。
症状出现在账单里，而不是日志里
你在隧道日志里找不到它，因为隧道完全按你的配置运行。证据活在公开记录和账户设置里：跨端点一致的 whois 组织名、相同的名称服务器、共享的注册人地址、同一个付款方式、同一个控制面板。每一条都是提示：两个本应独立失败的层次，可能会一起失败。
这些提示都不证明某一方能够读取你的流量。它们减少的是：在两个保护层被同一个事件击穿之前，必须出错的独立决策数量。
比较你真正能看到的记录，并写下你比较了什么。查每个端点地址上的组织，列出每个域名的名称服务器，打开链上每个账户的找回设置。当两个值一致时，记下这个一致属于所有权、属于运营，还是只属于经销商的前端。这些是不同的发现，把它们当成一件事，依赖审查就会变成猜测。
先画逻辑路径，再画依赖图
需要两张图，而多数人只画第一张。逻辑路径标明每个保护层终止在哪里，以及那个端点能观察到什么。依赖图标明谁在运营和管理这些端点，那是一套完全不同的名字。
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
给每一行评级，而不是把它填满。已知是指你看到过陈述它的记录，推断是指某项观察支持它但尚未定论，未知是指什么都没找到。共享主机品牌是关于共享基础设施的推断，不是关于共享客户数据库的陈述。不要因为它恰好符合你预期的结论，就悄悄把推断升格为已知事实。
空白行本身就是一条发现。它告诉你：如果知道哪件事，决策会改变；这比再写一段关于高级对手可能做什么更有用。
AS 号只回答路由问题
自治系统是路由管理的概念，是一组地址以单一连贯路由视图呈现给其他网络的方式。因此不同的 AS 号并不能对企业所有权、独立人员或独立法律控制作出任何定论。反向的错误同样常见：两个端点同处一个 AS，并不自动等于某一方识别了具体用户。
如果你想要这些数字，就去解析，而不是假设。下面的地址是占位符，这个参数让工具为每一跳标注宣告它的 AS。
mtr --aslookup --report --report-cycles 5 203.0.113.9把那份输出当作路由的测量，而不是所有权或完整流量路径的测量。你出发的接入网，以及端点之间的传输依赖，是端点地址无法回答的另外的问题。当某条路由或中继选择无法从你所在的位置观察时，把它标为未知，而不要引入某个网络今天如何选路的笼统说法。未被观察不等于不可观察，但也不等于证据。
先命名观察，再命名风险
多数依赖审查会把三类发现混在一起，把它们分开就是大部分工作。加密流量的被动可见性是一类发现。共享管理访问是另一类，因为它意味着动作而不是视角。账户关联是第三类，因为它把身份连在一起，却不授予任何技术访问。
其中RFC 6973给出的隐私指引为这件事提供了一个可用形状：列出每个实体学到了什么，再问它可能与别处持有的信息如何组合。路径上两个观察相似流量模式的点，可以构成对关联性的担忧，但它们不会给你某人已被识别的实测概率。写下担忧，再写下能够确认它的观察。
回到两条隧道服务加一台租用代理的链条。如果代理的管理凭据与某台隧道服务器共享同一个找回账户，一次管理失陷就能越过两道边界。如果唯一的重叠只是某家主机商同时运行两台机器，审查就必须说明：那家公司拥有哪些权力，哪些信息仍受保护。同样三个跳点，发现不同。
台账不是匿名性证书，也永远不会是。它的价值更窄、更实用：它显示独立性建立在哪里、被假设在哪里，以及哪一行未知会改变决策。下一步就选那一行，其余部分先别动，直到你对它有了答案。