VPN、代理和 Tor 有什么区别？新手该怎么选

VPN、代理和 Tor 都会在设备与网站之间加入中间路径，但它们解决的问题不同。VPN 适合日常保护整台设备的网络流量；代理适合只为某个兼容应用改变路由；Tor 以多层中继提高匿名性，代价则是速度和便利性。

三者都不能保证完全匿名，也不会让危险操作变得安全。选择前要明确需要保护哪些流量、不希望谁观察，以及自己能接受多少速度损失和设置复杂度。

一张表看懂主要差别

工具	常见覆盖范围	典型路径	适合场景	主要代价
VPN	连接后的多数设备流量	设备 → VPN 服务器 → 网站	日常使用、共享 Wi-Fi、全设备保护	必须信任 VPN 服务商
代理	已设置的应用或协议	应用 → 代理服务器 → 网站	单个兼容应用需要不同路由	加密和覆盖范围不一定完整
Tor	Tor Browser 或支持 Tor 的应用	设备 → 多个 Tor 中继 → 网站	注重匿名性的浏览与抗审查发布	较慢，部分网站会拦截出口节点

这张表描述的是常见消费级设置，并不涵盖所有实现。企业代理、VPN 分流或手动让应用连接 Tor，都可能改变实际边界。

VPN 为设备建立加密通道

VPN 连接后，设备到 VPN 服务器之间会建立加密通道。网站看到的是 VPN 服务器的公网 IP；局域网或网络服务商通常能看出你连接了 VPN，却难以查看通道内的目的地与内容。流量离开 VPN 服务器后仍需要 HTTPS 保护网站连接。

VPN 的主要优势是覆盖面。系统级 VPN 可以保护浏览器、通信应用以及其他受支持的流量，无需逐个设置，适合机场、咖啡馆、酒店、远程工作和日常移动网络。想了解基础原理，可以阅读VPN 是什么。

信任并没有消失，而是转移到 VPN 服务商。流量从服务商运营的服务器离开通道，因此日志政策、安全措施、公司背景和隐私条款都很重要。VPN 也不能在登录后向服务隐藏身份，无法清除跟踪 Cookie、阻止恶意软件，或让个人账号自动匿名。

代理的保护范围通常更窄

代理代表已配置的应用转发流量。HTTP 代理常用于浏览器网页请求，SOCKS 代理可以承载更多类型的应用流量；同一设备上的其他应用如果没有配置，仍可能直接使用原来的网络连接。

“代理”这个名称本身不等于加密。正确建立 HTTPS 时，浏览器到网站之间的内容仍会加密，但基础代理不会自动建立与 VPN 相同的设备到服务器加密通道。DNS 查询或未配置应用的流量也可能经过其他路径。

这种较窄的范围适合测试网站在另一条网络路径上的表现，或者只让一个兼容程序改道而不影响整台设备。如果目标是简单、一致地保护多个应用，尤其是无法确认代理处理哪些数据、由谁运营时，它通常不是理想选择。

Tor 用多个中继拆分路径信息

Tor Browser 会让流量经过多个由志愿者运营的中继。入口中继知道你连接了 Tor，却不知道最终访问的网站；出口中继负责连接网站，通常不知道你的原始 IP。其设计目标是避免单个中继同时掌握路径两端。

当“不让浏览位置轻易关联到身份”比性能更重要时，这种结构很有价值。Tor Browser 还通过较统一的浏览器环境减少部分指纹差异，并且不需要把完整路径交给单个商业服务商。

多次中继会增加延迟，所以视频会议、游戏、大文件下载和流媒体通常不合适。部分网站会验证或封锁已知 Tor 出口。出口节点到网站之间仍需要 HTTPS，否则未加密内容可能被看到。登录个人账号也会直接告诉该服务你是谁。

按需要防范的观察者来选择

不要先问哪个工具看起来最安全，而要先建立简单的威胁模型。

• 咖啡馆或机场的网络管理者：可信的 VPN 通常最容易保护设备上的受支持流量；仍要核对 Wi-Fi 名称、使用 HTTPS，并完成公共 Wi-Fi 安全清单。
• 只需要为一个应用换路由：如果理解加密、DNS 和覆盖范围，可信的代理可能已经足够。
• 不希望网站轻易关联到家庭 IP：Tor Browser 能提供更强的路径分离，但需要避免可识别身份的登录和个人信息。
• 公司或学校管理的设备：任何一种工具都不会绕过设备管理、监控软件、账号政策或你同意遵守的规则。
• 恶意软件、钓鱼或账号盗用：应使用系统更新、密码管理器、多因素认证和认真核验；改变路由并不等于防病毒或身份保护。

运营者同样重要。来历不明的免费代理或 VPN 可能获得有价值的元数据，却缺少问责机制。“免费”只说明价格，并没有解释隐私模式。

叠加工具不一定更加安全

Tor over VPN 意味着网络服务商先看到 VPN 连接，VPN 服务商看到你的连接但看不到最终 Tor 目的地，随后流量进入 Tor。它无法修复不安全的浏览器、已经被入侵的设备或暴露身份的账号登录，还会增加参与方和排查难度。

VPN over Tor 是更专业的配置，很多消费级服务并不支持。它会重新分配不同参与方能看到的信息，但复杂度本身也会增加配置失败的风险。新手不应只是因为层数更多听起来更安全，就随意叠加工具。

浏览器中标为“VPN”的扩展程序往往只是处理浏览器流量的代理，不一定保护整台设备。要确认它覆盖哪些流量、DNS 是否使用同一路径，以及其他应用是否仍在通道之外，不能只看产品名称判断。

新手可以这样做决定

如果希望获得方便、日常并覆盖整台设备的保护，同时愿意选择可信服务商，就选 VPN。如果只有一个兼容应用需要不同路由，而且已经确认覆盖范围、加密、DNS 和运营者，就选代理。如果匿名敏感的网页浏览比速度更重要，并且能配合调整使用习惯，就选 Tor Browser。

正式依赖任何工具前，都应测试 IP 和 DNS 是否泄漏，持续更新软件，并确认 HTTPS 有效。最重要的是，不要把“隐藏 IP”误认为“隐藏身份”：账号登录、Cookie、付款信息、浏览器指纹，以及消息里主动透露的细节，仍可能识别出你。