谁能看到你的 VPN 流量？四类观察者
本地网络、VPN 运营商、雇主与目的地各看到不同的一部分。在信任一条隧道保护隐私之前，先比较它们。
隧道改变的是你的流量在何处变得可被观察。它并不会让流量变得不可观察，而获得可见性的正是你把流量交给的那一方。这笔交易是否值得，取决于你不信任哪一跳，所以有用的比较是在观察者之间，而不是在品牌之间。
一条连接上坐着四方
从笔记本向外追一个请求，会出现四个位置：你接入的访问网络、VPN 出口、设备受管时的企业环境，以及目的地本身。每一方在路径上占据不同的位置，因此收集到的证据种类也不同。这张表就是一目了然的全部论证。
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
从威胁向外读这张表。如果担心的是咖啡馆的 Wi-Fi，改变的是第一行；如果担心的是运营商，那么你已经把一个运营商换成了另一个第二行现在更重要。各行并不互相竞争；每一行描述的是同一条路径上的不同位置。
访问网络仍然看得见隧道
你的运营商或酒店网络能看到一条通往某个 IP 地址的连接、传输的字节量以及它们移动的时间。它看不到隧道里的站点，前提是名称解析也在隧道内进行，并且目的地是经出口而不是直连到达的。
两处泄漏比人们预想的更常存活。发往本地解析器的 DNS 查询仍然会点出站点名，而普通 TLS 握手中的服务器名称在路径上可读，除非使用了加密客户端问候。这两者都不是安装客户端能修好的；它们都是配置问题。
VPN 运营商，以及它背后的雇主
商业运营商的处境与你原来的运营商完全相同：它转发你的数据包，并且能读到任何没有单独加密的内容。在明文 HTTP 表单里输入的密码，即使第一跳已加密，在出口处依然可读。隧道只是转移了信任，并没有消除暴露。在假设这次更换改善了什么之前，先读一读运营商的日志政策。
在受管的办公笔记本上，组织拥有端点，因此设备管理、DNS 日志和代理记录无论是否连着隧道都会观察到它。个人 VPN 不会让受管设备变得私密，而且在许多网络上，这是违反政策而不是隐私措施。
你家里其他设备的流量对该雇主不可见，除非工作笔记本刻意充当它们的网关。当一个家庭共用一条连接并假设最坏情况时，这个区别很重要。
目的地，以及出口处的邻居
你访问的站点能看到出口地址、你登录的账户、Cookie 以及浏览器特征。隧道只改变第一项，而登录无论如何都会把出口地址与你关联起来。
共享服务带来更细微的风险。如果运营商没有把客户彼此隔离，一台在端口上监听的机器可能被同一出口的其他客户访问到。在主机防火墙上默认阻断入站流量可以覆盖大部分这种风险。测试它意味着把第二台设备连到同一服务，并尝试访问一个正在监听的端口。
有些东西永远不会改变：账户标识符、应用层跟踪，以及手机自己知道在你共享连接时它在转发流量。隧道是一个路由决定，不是身份的改变。
先选定你要躲避的观察者，再选产品。如果是本地网络，几乎任何配置正确的出口都有帮助。如果是运营商自己的日志，合同就是决定的一部分。如果是你的雇主，任何个人隧道都不管用。