简短回答：开着 VPN 时，运营商（ISP）看不到你访问了哪些网站、搜索了什么、打开了什么内容，它只知道你的设备连到了某台 VPN 服务器。没有 VPN 时，运营商能看到你访问的每一个域名，并且可能长期留存。
不过 VPN 并不是让记录“消失”，而是把信任从运营商转移给了 VPN 服务商。下面把几类“看得见的人”分开说清楚。关于服务商选择，可以参考我们的VPN 盘点。
| 没有 VPN | 使用 VPN | |
|---|---|---|
| 你访问的域名 | 运营商可见 | 隐藏 |
| DNS 查询 | 由运营商解析器记录 | 走 VPN 通道 |
| 目标 IP | 运营商可见 | 只显示 VPN 服务器 IP |
| 数据量 | 可见且可读 | 可见但无法读取 |
| HTTPS 页面内容 | 本来就加密 | 本来就加密 |
没有 VPN 时，运营商能看到什么
你的每个请求都会经过运营商的网络，无论用什么浏览器、是否开启无痕模式。运营商通常能看到：
- 你访问的域名及时间
- 设备连接的 IP 地址
- 数据传输量与时间
- HTTP（非加密）网站的完整网址与内容
- DNS 查询，即使你最终没有真正打开该网站
看不到的是 HTTPS 网站内部的具体页面与搜索内容。现在大多数网站都是 HTTPS，所以现实中的风险主要是域名级可见性和 DNS 记录，而这两项正是 VPN 能补上的。
运营商能合法地拿这些数据做什么
这取决于你所在的地区，以下只是概述，不构成法律意见：
- 美国：2017 年国会撤销了要求运营商取得用户同意才能出售浏览数据的 FCC 规则，运营商可以向广告网络提供浏览与位置等数据（通常是汇总或匿名化后）。
- 欧盟：GDPR 把浏览记录视为个人数据，运营商需要合法依据，未经明确同意不得出售，也有数据最小化要求。
- 英国：《调查权力法 2016》要求运营商保存 12 个月的网络连接记录，范围是连接层面（访问了哪些域名及时间），不含页面内容。
VPN 改变的是“可供出售、保存或披露的数据是否存在”：运营商只看到一条通向 VPN 服务器的加密连接。
使用 VPN 时，运营商能看到与看不到什么
| 仍然可见 | 看不到 |
|---|---|
| 你连接了 VPN 服务器 | 你访问了哪些网站 |
| VPN 服务器的 IP | 你的搜索内容 |
| 连接时间 | 具体网址与页面内容 |
| 大致数据量 | DNS 查询（需开启 DNS 泄漏保护） |
设备会在流量离开前就建立加密隧道，所有请求都会装进隧道，运营商看到的只是你和 VPN 服务器之间的一串加密数据。WireGuard 还是 OpenVPN 影响的是速度和安全特性，不影响运营商能看到什么。
HTTPS 保护页面内容，但保护不了 DNS 查询和目标 IP；VPN 刚好补上这两处。两者是互补关系，不是互相替代。
VPN 服务商能看到什么
VPN 不会让你的上网行为变成“绝对隐形”，它只是把信任从运营商转移到服务商。服务商是否记录，取决于其架构以及是否有人独立核实过。几乎所有服务商都声称“无日志”，但自我声明没有独立分量；更可信的是由具名第三方审计机构对真实服务器基础设施做过检查的结论，而不只是审阅隐私政策文本。评估时可以问三个问题：谁审计的、审计了什么、最近一次是什么时候。
另外，开源客户端能让外部审查代码，是审计之外的额外保障。服务商所在司法辖区也是参考因素，但如果架构上确实不存储日志，辖区的影响会小一些。各家的审计情况和细节会随时间变化，请以官方最新公告为准。
家庭路由器、公司网络、公共 WiFi 和手机运营商
处在“你和互联网之间”的任何人，位置都和运营商类似，VPN 对他们的处理方式一样：流量在离开设备之前就加密了。
- 家庭路由器管理员：没有 VPN 时，日志里有设备访问过的每个域名；有 VPN 时只剩一条通往 VPN 服务器的长期连接。
- 公司或学校网络：IT 部门常在网络层做监控，位置与运营商相同。VPN 能加密这些流量，但公司是否允许你使用个人 VPN 是另一回事，请遵守相关规定。
- 公共 WiFi：酒店、机场、咖啡店是风险最高的环境，运营方和同网络的其他用户都可能尝试窃听。开 VPN 后，这两者都读不到你的活动。更多注意事项可以看我们的公共 WiFi 安全文章。
- 手机运营商：移动数据与家庭宽带的逻辑相同，VPN 同样有效，只是跳数更多、延迟可能略高。用手机开热点时，连在热点上的所有设备对运营商来说也只是一条通往 VPN 服务器的加密流量。
无痕模式有用吗
没有。无痕模式只阻止浏览器在本机保存历史、Cookie 和表单内容，对网络层毫无影响，运营商仍能记录你的 DNS 查询和域名连接。无痕是本地隐私工具，VPN 是网络隐私工具，两者针对的威胁不同，不能互相替代。
VPN 也可能泄漏：DNS、IPv6 与 WebRTC
DNS 泄漏：DNS 查询绕过加密隧道，交给运营商的解析器，运营商仍能看到你查询了哪些域名。常见原因有配置错误、App 崩溃时没有触发断网保护，或隧道短暂掉线后系统回到默认 DNS。排查方法：
- 连着 VPN 访问 DNS 泄漏测试网站，确认显示的 DNS 属于 VPN 服务商而不是运营商。
- 确认 VPN 的 Kill Switch（断网保护）已开启。
- 在 App 设置里开启 DNS 泄漏保护。
更详细的排查流程，可以看我们的DNS 泄漏检测与处理。
IPv6 泄漏：很多 VPN 默认只代理 IPv4。如果设备有可用的 IPv6 地址而客户端没有处理，IPv6 请求可能绕过隧道，网站看到的是你真实的 IPv6 地址，而 App 却显示已连接。测试时选择同时显示 IPv4 与 IPv6 的 IP 检测工具，若显示的 IPv6 属于你的真实网络，就是泄漏。可以在 App 里禁用 IPv6，或在系统层面关闭 IPv6。
WebRTC 泄漏：浏览器的 WebRTC 可能建立绕过 VPN 的直连并暴露真实 IP。这三种泄漏最好一起测，具体做法见Chrome 免费 VPN 插件推荐与安全指南中关于浏览器扩展 VPN 的说明，或查阅检测 VPN 是否工作的文章。
VPN 能用在任何运营商上吗
可以。VPN 是运行在设备上的软件，对运营商来说只是一种普通的网络流量。运营商能察觉你在使用 VPN（因为目标是已知的 VPN 服务器 IP），某些网络在拥堵时曾对 VPN 流量限速，但这和封禁不同。VPN 本身在大多数国家和地区是合法的，是否合法取决于你通过它做了什么。请注意，不同国家对 VPN 的规定差异很大，使用前请了解当地法规。
常见问题
用了 VPN，运营商能看到我访问的网站吗？
不能。运营商只看到你连接了 VPN 服务器，全部流量经过加密。
WiFi 的主人能看到我的浏览记录吗？
不能。路由器管理员只能看到一条通向 VPN 服务器的连接，对家庭、公司和公共 WiFi 都适用。
VPN 服务商能看到我在做什么吗？
理论上服务商处在你和互联网之间，所以是否记录取决于其架构和政策。选择经过独立审计、最好客户端开源的服务商，可以降低风险。
运营商在我用 VPN 时还收集什么？
VPN 服务器的 IP、连接时间和大致数据量。
无痕模式能让运营商看不到记录吗？
不能，它只影响本机的浏览器历史。
无日志 VPN 和零知识 VPN 有什么区别？
无日志是服务商声称不记录；零知识则是在架构上让服务器无法获得可记录的内容。两者都需要独立审计或可验证的实现来支撑，而不只是营销说法。