全面对比 VPN、代理服务器与 Tor 网络在匿名性、速度与适用场景上的优劣，帮你根据自己的威胁模型选择最合适的隐私保护方案，避免用错工具。
对于绝大多数日常隐私需求——在公共 Wi-Fi 上保护连接、避免运营商窥探流量、访问受地区限制的内容——一个口碑良好的 VPN 是最实用的选择。如果你只需要为某一个应用或任务更换 IP 地址，轻量级的**代理（Proxy）**就足够了。而当你的首要目标是抵御强大对手、追求高强度匿名时，Tor 才是合适的工具，代价是速度。这三者作用于连接的不同层面，建立在不同的信任假设之上，应对的也是不同的威胁。不过，它们都有一个共同的盲区：都无法隐藏你的浏览器指纹——后文会详细说明。
三种工具速览
在深入细节之前，先把它们放在一起对比一下。
| 工具 | 加密 | 隐藏了什么 | 速度 | 匿名级别 | 典型成本 | 最佳用途 |
|---|---|---|---|---|---|---|
| VPN | 全程隧道加密 | 真实 IP、对运营商隐藏流量内容 | 快 | 中等（需信任服务商） | 付费订阅 | 公共 Wi-Fi、解锁地区限制、运营商隐私 |
| 代理（HTTP/SOCKS） | 通常无 | 仅单个应用的 IP | 快 | 低 | 免费到低价 | 快速换 IP、采集、单应用 |
| Tor | 多层（洋葱）加密 | 真实 IP、内容及路由路径 | 慢 | 高（分布式信任） | 免费 | 翻越审查、举报爆料、强匿名 |
本文接下来会逐行解释这些条目的真正含义，帮你把工具和自己的处境对应起来。
VPN 能做什么、不能做什么
**虚拟专用网络（VPN）**在你的设备与 VPN 服务器之间建立一条加密隧道。你的所有流量都经过这条隧道，因此你的互联网服务提供商（ISP）只能看到你连接到了一个 VPN，而看不到你访问了哪些网站、发送了什么内容。而你访问的目标网站看到的是 VPN 服务器的 IP，而不是你的 IP。
它隐藏了什么
- 对你访问的网站隐藏你的真实 IP 地址。
- 对你的 ISP 以及同一局域网内的任何人（例如咖啡馆热点）隐藏流量的内容和目的地。
它隐藏不了什么
VPN 并不能让你匿名。它只是把信任从 ISP 转移到了 VPN 服务商身上：服务商在技术上仍能看到你的真实 IP 和你访问的网站。正因如此，日志政策和司法管辖地至关重要——一个保留连接日志、或处于可被法律强制交出数据的司法环境中的服务商，会削弱你所付费换来的隐私。应选择那些公开承诺不记录日志、最好还经过独立审计的服务商，但对所有这类宣称都要保持健康的怀疑。
VPN 也是三者中最容易因配置不当而泄露的工具。即使隧道已经建立，DNS 请求或 WebRTC 仍可能暴露你的真实 IP。我们在防止 DNS 泄露和防范 WebRTC 泄露两篇指南中对这些失效场景做了详细说明。
与其说 VPN 是匿名工具，不如说它是隐私和安全工具。它非常适合让你的浏览对 ISP 保密、在不受信任的网络上保持安全——但你需要信任一家公司去兑现它的承诺。
代理能做什么、不能做什么
代理服务器（Proxy）是一个代你转发请求的中间人。常见的两种是HTTP 代理（处理网页流量）和 SOCKS 代理（几乎可转发任何 TCP 连接）。与 VPN 不同，典型的代理是按应用配置的——你的浏览器可能用它，而其他应用则不走代理。
它隐藏了什么
- 对经它转发的特定应用隐藏你的 IP 地址。目标网站看到的是代理的地址。
它隐藏不了什么
大多数代理不提供加密。你的 ISP 和同一局域网内的人仍能看到你的流量去往何处，对于未加密的网站还能看到内容。免费公共代理风险尤其真实：运营者可以读取、记录甚至篡改你的流量。因此，代理最好被看作换 IP 的工具，而非隐私工具。
代理在狭窄的技术任务上表现出色：为单个浏览器标签页更换显示位置、把一个任务的 IP 与另一个任务隔离，或为自动化工具配置出口。但它无法替代 VPN 的加密能力。
Tor 能做什么、不能做什么
Tor（洋葱路由）是一个免费、由志愿者运营的网络，专为匿名而设计。你的流量被包裹上多层加密，并至少经过三个中继跳转——入口节点、中间节点和出口节点。每个中继只知道上一跳和下一跳，因此路径上没有任何单一节点能同时知道你是谁、又在做什么。
它隐藏了什么
- 对目标网站隐藏你的真实 IP 地址，对方看到的是出口节点。
- 对路径上的观察者隐藏你的流量内容。
- 路由路径本身——这是 Tor 的关键优势。信任被分散到多个独立中继上，而不是集中在单一服务商手里。
它隐藏不了什么
出口节点能看到流量离开网络时的样子，因此未加密（非 HTTPS）的流量在那里可能被观察到。Tor 还明显更慢，因为要多跳转发，这让流媒体和大文件下载变得不切实际。此外，由于一些网络会封锁已知的 Tor 中继，处于审查环境中的地区可能需要使用网桥才能连上。
Tor 的威胁模型是三者中最严苛的。它专为那种你不能信任任何单一中间人的场景而生——翻越审查、敏感研究和举报爆料。
威胁模型：把工具对准风险
选对工具，先要问清你究竟在防范谁。
- 你的 ISP 或网络运营方（公共 Wi-Fi 窥探、运营商追踪）：VPN 是天然之选。
- 某个单一网站，你只是不想把 IP 给它：代理或 VPN 都行。
- 强大且资源充足的观察者，且暴露会带来实质后果：Tor 正是为此而设计，因为它消除了单一信任点。
把信任假设逐层摆开，差别就一目了然了。用 VPN，你信任的是一家服务商。用代理，你信任的是一个运营者，而且通常没有加密。用 Tor，没有任何单一中继能独自给你去匿名——信任被分散到了整个网络。
速度、成本与信任的取舍
| 因素 | VPN | 代理 | Tor |
|---|---|---|---|
| 延迟开销 | 低到中等 | 低 | 高 |
| 适合流媒体 | 通常可以 | 有时可以 | 很少 |
| 成本 | 付费订阅 | 免费到低价 | 免费 |
| 你信任谁 | 一家服务商 | 一个运营者 | 分布式中继 |
规律很一致：更强的匿名要以速度为代价，而便利往往要以信任为代价。VPN 用「信任一家公司」换来加密和不错的速度。代理用很小的代价换来快速换 IP，但仅此而已。Tor 以性能为代价，换来最强的匿名。
具体使用场景
- **公共 Wi-Fi 安全：**用 VPN。加密能保护你不受同一网络上其他人的窥探。
- **解锁地区内容：**通常 VPN 最合适；针对单个网站，代理也能用。
- **翻越审查：**Tor（必要时配合网桥）是为此量身打造的；部分 VPN 也有帮助。
- **举报爆料或高风险研究：**用 Tor，最好搭配 Tor 浏览器，以避免信任集中。
- **日常的运营商隐私：**一个口碑良好、经过审计的 VPN。
- **为单个任务快速换一个一次性 IP：**用代理。
每种工具共有的盲区：指纹追踪
这是最重要的提醒。**这些工具都无法阻止浏览器指纹追踪。**VPN、代理或 Tor 改变的是网站看到的 IP 地址，但它们对那几十项浏览器和设备特征束手无策——Canvas、WebGL、字体、屏幕参数、音频信号，这些组合在一起就构成了一个独一无二的标识符。即使你换了 IP，网站仍能在不同会话中认出你。
正因如此，匿名是一个分层的目标。如果你真的需要做到难以被追踪，就必须同时解决指纹问题和 IP 问题。Tor 浏览器之所以出众，恰恰在于它让所有用户的指纹趋于一致，而不仅仅是因为它通过 Tor 路由。想了解其中的原理、并测试你自己的暴露程度，请阅读我们的浏览器指纹完整指南。
这些工具同样不涉及基于请求头的选择退出信号。像 Do Not Track（DNT）请求头及其继任者全局隐私控制（GPC）这样的浏览器级偏好，是比隐藏 IP 或抵抗指纹弱得多的另一层机制——它们能否生效，完全取决于目标网站是否选择（或被法律要求）遵守，而 VPN、代理或 Tor 连接都无法让网站尊重这类请求。
你可以用 BrowserInsight 检查当前配置究竟暴露了什么：我们的 VPN 与代理检测会告诉你，你的连接是否被识别为 VPN、代理或 Tor 出口；而我们的 IP 情报工具则会展示网站此刻看到的关于你的 IP、地理位置和网络信息。
常见问题
可以同时使用 VPN 和 Tor 吗？
可以。常见的组合是「Tor over VPN」——先连接 VPN，再打开 Tor 浏览器。这样能对 ISP 隐藏你在使用 Tor，并在入口节点之前先加一层 VPN 加密。它确实会增加延迟，对大多数威胁模型而言安全收益也存在争议，但当你有特定理由时，这是一种有效的分层方案。
VPN 能让我匿名吗？
不能。VPN 让你的浏览对 ISP 和局域网保密，但你仍在信任 VPN 服务商，而它能看到你的真实 IP。若要在面对强大对手时实现真正的匿名，Tor 的分布式信任模型才是合适的工具。
免费代理或免费 VPN 安全吗？
请保持谨慎。运营基础设施需要成本，所以「免费」服务往往通过你的数据牟利、注入广告或保留日志。免费公共代理尤其危险，因为大多不提供加密，运营者能读取你的流量。对于任何涉及隐私敏感的用途，优先选择 Tor（设计上就免费且可信）或一个付费、经过审计的 VPN。
看地区限制的流媒体，哪个最合适？
几乎在所有情况下都是 VPN。它既提供流媒体所需的加密和速度，又能改变你的显示位置。Tor 看视频太慢，而大多数代理缺乏长时间会话所需的稳定性和加密。
