iCloud 专用代理把流量拆成两跳，让任何一方都无法同时知道你是谁、访问了哪里。本文讲清它的覆盖范围，以及网站仍能看到什么。
iCloud 专用代理（iCloud Private Relay）是 Apple 面向 iCloud+ 订阅用户的隐私功能，它把你的 Safari 流量分两跳转发，使 Apple 和第二跳运营方都无法同时看到你的身份和你访问的网站。它不是 VPN：只覆盖部分流量，有意保留你的大致位置，也不会改变浏览器指纹。本文说明它隐藏了什么、网站为何会把你显示在错误的城市，以及网站如何识别它。
核心要点
- 专用代理使用两跳：Apple 的入口中继能看到你的真实 IP 但看不到目的地，合作方的出口中继能看到目的地但看不到你的真实 IP。
- 它覆盖 Safari 浏览、DNS 查询和部分未加密的应用流量——不像 VPN 那样覆盖整台设备，也不覆盖 Chrome、Firefox 等其他浏览器。
- 网站看到的是已公布中继地址段里的出口 IP：能认出这是中继，却无法追溯到你。其位置刻意模糊，所以你可能被显示在错误的城市。
- 它不会改变浏览器指纹，还可能触发把中继地址段列入名单的 VPN/代理检测。
- 想知道网站看到了什么，可用 IP 情报工具查看出口 IP、ASN 和位置，再用 VPN/代理检测测试它是否被判为代理。
两跳如何拆分信任
普通连接中，网站能看到你的 IP，你的网络运营商能看到你要访问的网站。单一运营方的 VPN 只是把这些信息全部交给一家公司。专用代理则把它拆开：
- **入口跳（Apple）。**设备把请求发给 Apple 运营的中继。Apple 知道你的真实 IP，但看到的只是读不懂的加密请求，不知道你要访问哪个网站。
- **出口跳（合作方）。**第二个中继由 Cloudflare 等合作方运营，负责解出目的地并转发请求，同时分配出站 IP。它知道请求去往哪里，但看到的发送方只是 Apple 的中继。
这种拆分信任的设计在我们的隐私工具对比中已有概述，Cloudflare 自己的文章 iCloud Private Relay: What Cloudflare Customers Need to Know 则从合作方角度介绍了出口一侧。Chrome 曾尝试类似的两跳设计，对比及其下线原因见 Chrome IP Protection。
协议层：MASQUE
想了解底层的读者：专用代理的隧道采用 IETF MASQUE 工作组标准化的思路，即借助 HTTP 代理连接承载其他流量。RFC 9298 定义了在 HTTP 中代理 UDP，同系列的 RFC 9484 则把同样的思路扩展到完整的 IP 数据包。对用户来说，关键在于中继跳跑在普通的 HTTP/3（QUIC）连接上，在中间网络看来与一般网页流量无异。使用该功能无需了解这些，但它说明专用代理建立在开放标准之上，而不是私有的 VPN 协议。
专用代理覆盖什么，不覆盖什么
| 流量 | 是否受专用代理保护？ |
|---|---|
| Safari 浏览（HTTP 与 HTTPS） | 是 |
| 经系统解析器发出的 DNS 查询 | 是 |
| 部分未加密的应用流量 | 是 |
| Chrome、Firefox 等其他浏览器 | 否 |
| 大多数其他应用和系统服务 | 否 |
| 浏览器指纹 | 不改变 |
| 流量时序与流量大小 | 不隐藏 |
由此有两个后果。第一，Safari 在中继时，Chrome 里的网站仍看到你的真实 IP。第二，凡是不依赖 IP 就能认出你的手段——Cookie、登录状态、Canvas 或字体指纹——都照常生效。如果你关心 DNS，DNS 泄漏防护指南介绍了其他工具中查询是如何泄漏的。
为什么网站显示的位置不对
专用代理提供位置设置：保留大致位置（你所在的大概区域，本地内容仍可用），或仅使用国家和时区（范围更大、更私密）。两种情况下，出口 IP 都取自分配给某个区域的地址池，而非你的真实地址，所以地理位置数据库会把你定位到该区域的中心——常常是附近的城市，有时并不对。
这不是网站或设备的故障，而是功能在正常工作。数据库如何把 IP 换算成城市、为何这些判断会偏差，见 IP 地理位置准确性，这里不再重复。如果商店显示了错误地区的价格，或天气组件报错了城市，先到 Apple ID 设置里看看专用代理是否开启，再怀疑是故障。
网站如何识别专用代理
Apple 公布了出口 IP 地址段，任何网站都可以拿访客地址去比对。结果是：这条连接能被认出是中继，却无法追溯到你——网站知道"这位访客在使用 iCloud 专用代理"，但不知道对方是谁。许多网站认为这无害，也有些网站把它当作普通代理处理。
由于出口地址段是已知的，各类信号大致如下：
- **IP 信誉与 ASN。**该地址属于合作方网络，而非家庭宽带。IP 情报工具会显示网站所能看到的 ASN 和类型。
- **一致性检查。**如果时区和语言指向一个国家，出口 IP 却在另一个国家，反欺诈系统可能会提高风险评分。专用代理在设计上会避免这种情况：两种位置设置都会让出口 IP 留在你真实所在的国家和时区，这正是它与把出口设在别国的 VPN 的关键区别。
- **代理标记。**部分 VPN 和代理检测会收录中继地址段，即使用户什么都没做错也会对其发起验证或拦截。这类误判如何产生及怎么处理，见为什么正常用户会被判为 VPN 用户。
专用代理不做什么
很容易把名字理解过头。专用代理不会：
- **改变浏览器指纹。**你的 User-Agent、屏幕、字体、Canvas 和 WebGL 输出仍然照常发送。无论你以哪个 IP 出现，指纹都能跨站识别你；我们对 VPN 与指纹识别的比较解释了为什么隐藏 IP 与防止追踪是两回事。
- **覆盖其他浏览器或整台设备。**只有该功能处理的流量会被中继。
- **让你选择出口国家。**你无法选择出现在哪里，所以它不适合用来看流媒体片库或绕过地区限制。
- **隐藏你在使用中继这件事。**地址段是公开的，这本就是设计的一部分。
专用代理没生效的常见原因
如果你以为会看到中继 IP，看到的却是自家宽带 IP，通常是这条连接上专用代理并没有运行。常见原因有：
- **没有订阅 iCloud+。**专用代理属于付费的 iCloud+，免费 iCloud 不包含。
- **所在地区不提供。**Apple 在部分国家和地区不提供该功能，包括中国大陆。
- **对当前网络关闭了。**在 iPhone 和 iPad 上可以按 Wi-Fi 或蜂窝网络单独关闭它，部分学校、公司或公共网络也会屏蔽它；此时设备会直接连接，网络设置里通常会给出提示。
- **用的不是 Safari。**在 Chrome 或 Firefox 里检测，看到的永远是你的真实 IP。
最快的确认方法：在 Safari 中打开 IP 情报工具，记下 IP 和 ASN，然后关闭专用代理再测一次。
专用代理、VPN 与 Chrome 的方案
VPN 把整个连接交给一个你必须信任的运营方，可以选择位置，但也会因数据中心 IP 而落入黑名单。专用代理放弃这种灵活性，换来拆分信任和零配置。Chrome 已下线的 IP Protection 范围更窄：只针对一份追踪器域名列表，且只在无痕模式下生效。如何在这些方案间取舍，见隐私工具对比。
常见问题
iCloud 专用代理会隐藏我的 IP 地址吗？
对你在 Safari 中访问的网站来说，会：它们看到的是中继出口 IP，而不是你的 IP。你的网络运营商仍能看到你连接到了 Apple 的中继，Safari 之外的流量不在覆盖范围内。
iCloud 专用代理和 VPN 一样吗？
不一样。VPN 把设备的全部流量交给一家服务商，并允许你选择位置。专用代理在两个运营方之间拆分信任，主要覆盖 Safari 和 DNS，且不能选择国家。
为什么 iCloud 专用代理显示的位置不对？
它有意从某个区域的地址池分配出口 IP，或只保留你的国家和时区。地理位置数据库会据此把你定位到该区域，可能与你实际所在的城市不同。
网站能检测到 iCloud 专用代理吗？
能，因为出口地址段是公开的。网站能判断访客在使用中继，但仅凭 IP 无法知道访客是谁。
专用代理会改变我的浏览器指纹吗？
不会。指纹信号来自浏览器和设备，而不是 IP。你可以用指纹检测查看浏览器暴露了什么。
总结
iCloud 专用代理设计良好、使用成本低，能避免网站和网络把你的 IP 与 Safari 浏览行为配对。但它不是完整的 VPN，不能抵御指纹识别，对网站也并非隐形。开启和关闭它各跑一次 IP 情报工具和 VPN/代理检测，就能看清到底变了什么。
推荐阅读：
