VPN和代理的区别在哪？与 Tor 三者的机制对比

VPN和代理的区别经常被简化成「代理不加密、VPN 加密」，这只对了一半。真正的差别有三条：作用在哪一层、加不加密、覆盖哪些流量。把 Tor 放进来一起比，三者的定位会更清楚。

一张表先看结论

代理：只是转一手

代理服务器代替你去请求目标资源。HTTP 代理理解 HTTP 语义，可以做缓存和内容改写；SOCKS5（RFC 1928）更底层，只负责转发 TCP/UDP 连接，不关心内容。

关键点有两个：

只有配置了代理的程序才会走它。 浏览器设了代理，微信、系统更新照样走原网络。这也是代理经常被误用的原因 —— 用户以为全局生效了。

代理本身不负责加密。 如果访问的是 HTTPS 网站，加密来自 HTTPS 而不是代理。SOCKS5 传输的数据对代理服务器和路径上的设备是什么样，取决于上层协议。

VPN：接管整台设备

VPN 在网络层建立隧道，所有出站 IP 数据包都被加密封装。这带来了两个代理没有的特性：

• 覆盖全系统，包括那些根本没有代理设置的应用
• DNS 查询也能被接管，减少泄露面（前提是实现正确，见 DNS 泄露）

代价是需要系统级权限，切换不如代理灵活。

Tor：用多跳换匿名

Tor 的设计目标和前两者不同 —— 它要保证没有任何一个节点同时掌握两端信息。

流量依次经过入口节点、中间节点、出口节点，客户端为每一跳单独加密。入口节点知道你的 IP，但看不到最终目的地；出口节点知道目的地，但不知道你是谁；中间节点两头都不知道。

代价非常直接：三跳绕行，节点由志愿者运营，带宽有限，延迟通常几百毫秒起步。此外出口节点能看到未加密的内容，所以在 Tor 里访问 HTTP 网站依然危险。

VPN和代理的区别之后：该用哪一个

• 只是想让某个程序换个出口 IP —— 代理够用，别指望它提供隐私。
• 想让整台设备的流量都不被本地网络看到 —— VPN。
• 威胁模型里包含「不能让任何单一方关联身份与行为」 —— Tor。

一个务实的判断方法：先明确你在防谁。防同一个 Wi-Fi 下的其他人，VPN 足够；防的是掌握全局观测能力的对手，那么 VPN 的单跳架构本身就不成立，因为服务商这一个点就掌握了全部信息。