工作原理 · 7 分钟
开着 VPN 时，网络运营商能看到什么？哪些被隐藏，哪些没有（2026）
通过 VPN 打开的网站，运营商看得到吗？看不到。但它看得到你在用 VPN、服务器地址、使用时段和流量大小。逐项说明：什么被隐藏、什么仍然可见、流量会从哪里绕过隧道，以及怎样检查自己的连接。
更新于: 2026-10-19
简单地说：走在 VPN 里面的内容，运营商读不到。但它能看到有一个 VPN、它连到哪个地址、什么时候开着、一共走了多少流量。移动运营商和咖啡店 Wi-Fi 的管理者也一样。VPN 能大幅减少别人看到的东西，但不会让它归零，大部分误解都出在这个差别上。
| 项目 | 不开 VPN | 开着 VPN |
|---|---|---|
| 你打开了哪些网站 | 能：通过地址、DNS 和 SNI | 不能 |
| 网页和网页内容 | 网站用 HTTPS 时不能 | 不能 |
| 你在用 VPN | — | 通常能 |
| VPN 服务器的地址 | — | 能 |
| 上网时段和流量大小 | 能 | 能 |
| 绕过 VPN 的流量 | 能 | 能：DNS、IPv6、例外规则 |
不开 VPN 时能看到什么
没有隧道时，运营商就站在每个数据包的必经之路上。它能看到你连接的每台服务器的地址和时间；如果用的是运营商的 DNS，还能看到 DNS 查询；几乎每个 HTTPS 连接开头的网站名（SNI 字段）也看得到，即使 DNS 已经加密。Encrypted Client Hello 正在改变这一点，但远没有普及。HTTPS 网站里的具体页面、表单和消息，它看不到。
开了 VPN 仍然可见的：服务器、时间、流量
开了 VPN，所有数据包都发往同一台服务器，一长串地址变成了一条数据流。但这台服务器的地址仍然可见，而且能说明一些问题：数据中心的网络和家庭、移动用户的网络看起来不一样。从家里的宽带长时间连到数据中心里的一台机器，本身就是一种容易认出的模式。
加密保护的是信的内容，不是信封。连接什么时候建立和断开、每个方向走了多少字节、以怎样的节奏传输，运营商依然看得到。双向稳定的流量持续半小时，像是在通话；单方向几个 GB，像是在下载。你打开了哪个网站看不出来，但作息规律看得出来。说得诚实一点：VPN 隐藏的是经过它的内容，而不是你在使用它这件事。
隧道本身的握手
你打开的网站的握手都在隧道里面。但隧道自己的握手在外面，里面能读出什么，取决于协议：
- VLESS Reality：握手指向一个真实存在的第三方网站，带的是那个网站的名字，所以没有一个属于你、能被记录的域名。弱点在别处：连接去往的地址并不属于这个名字，两者可以拿来比对。
- Hysteria2 等基于 QUIC 的协议：第一个 QUIC 数据包用从 RFC 9001 公开的数值推导出的密钥保护，路径上的任何人都能解开并读出名字。QUIC 本身并不隐藏名字。
- 用自己的域名、走普通 TLS 的 VLESS 或 Trojan：握手里明文带着这个域名，等于给你的流量贴了一个固定标签。
- WireGuard：没有 TLS，所以也没有名字。但这不等于隐形：它的握手是首字节固定的 148 字节和 92 字节消息，一条按长度判断的简单规则就能认出来。
流量会从哪里绕过隧道
- 隧道外的 DNS：如果客户端不接管域名解析，查询会发到运营商的 DNS，而这几乎就是 VPN 本该隐藏的整份网站清单。
- IPv6：如果隧道只承载 IPv4，而你的线路有 IPv6，支持 IPv6 的网站就会直接连过去。家里线路是哪种类型，见CGNAT、IPv6 双栈与 PPPoE 对连接的影响。
- 例外规则：你设置成不走 VPN 的网站和应用，运营商看到的和不开 VPN 时一样。
- 开启和重连的时候：隧道建立之前，也就是开启时和每次切换网络之后，流量走的是普通路径。没有断线拦截，这几秒就是可见的。
我们的应用是怎么处理的
- 你在哪里：「Where are you?」页面有两种模式。「I am abroad」：包括俄罗斯网站在内，所有流量都经过我们。「I am in Russia」：俄罗斯网站直接打开，运营商看到的和不开 VPN 时一样。在俄罗斯以外，请选「I am abroad」。应用界面目前只有英文和俄文。
- iPhone 和 iPad 上的 DNS：网站名由 Cloudflare 通过 DNS-over-HTTPS、经由 VPN 服务器解析。直接打开的网站，名字由 Yandex 的公共 DNS 在 VPN 之外解析。
- 电脑上的 DNS：网站名由 Cloudflare 和 Google 解析，查询经由 VPN 服务器；IPv6 也和 IPv4 一起送进隧道。
- 服务器的地址：应用在连接之前通过你所在网络的 DNS 查询，否则就没有可连的对象。这一次查询运营商看得到。
- 断线：iPhone 和 iPad 上有「Block the internet if the VPN drops」开关，VPN 开着的时候，任何流量都不会从旁边绕过去。
观察者不会消失，只是换了位置
运营商看不到的东西，会被另一个人看到：你的流量从 VPN 服务器出去进入互联网，服务器的运营方就站到了原来运营商的位置上。所以「运营商能看到什么」这个问题，总要和「VPN 服务能看到什么」一起问。在机场、车站的公共 Wi-Fi 上该怎么做，见公共 Wi-Fi 与强制入口页。
运营商必须保存哪些记录、保存多久，由当地法律决定，各地差别很大。开着 VPN 时，这些记录里留下的是你和 VPN 服务器之间的连接，而不是你访问过的网站。
怎样检查自己的连接
- 1打开 VPN，再打开我们的泄漏检测：它会显示网站看到的地址和国家、WebRTC 泄漏和时区。DNS 目前还不在检测范围内。
- 2在电脑上用
curl -6 https://ifconfig.co检查 IPv6。返回的是你家里的地址，说明 IPv6 绕过了隧道；连接报错说明根本没有 IPv6，这也没问题。 - 3检查重连：关掉 Wi-Fi 再打开，马上重新打开检测页面。断线拦截有没有生效，就看这几秒。
- 4不必每周都查，换了客户端、更新了系统或换了线路之后再查一次即可。
常见问题
开着 VPN，运营商知道我访问了哪些网站吗？
只要没有流量绕过隧道，就不知道。地址、网站名和页面都在加密的数据流里。如果仍然能看到网站名，原因通常是隧道外的 DNS、IPv6 或例外规则，而不是协议本身。
运营商知道我在用 VPN 吗？
通常知道。即使握手看起来像普通的 HTTPS，长时间、大流量地连向数据中心里的同一个地址，也很显眼。看得到的是有 VPN，看不到的是里面的内容。
开着 VPN 时，运营商会记录什么？
VPN 服务器的地址和端口、连接开始和结束的时间、每个方向的流量、数据包的大小和节奏，以及有 TLS 时隧道握手里的名字。保存多久取决于所在地和运营商。
在别人的 Wi-Fi 上，VPN 有用吗？
有用：网络管理者看到的和运营商一样有限，既读不到也改不了隧道里的流量。但它挡不住你自己点开的钓鱼页面。
这篇有用吗？
回答不产生任何后果，只有我们看得到。