特工生存手册：代理隧道（Proxy）与商业 VPN 的底层差异

一、定义辨析：它们不是同一种技术

在日常对话中，许多人习惯把所有能跨越网络边界的工具笼统称为“VPN”。但在特工网络防御手册中，两者的工作模型存在根本分野：

1. 商业 VPN（Virtual Private Network，虚拟专用网络）

VPN 的初衷是为分支机构提供安全的加密内网通道。它在你的操作系统中创建一块虚拟网络适配器（Virtual TAP/TUN Adapter）。操作系统产生的所有 IP 数据包，都会被底层驱动捕获并打包加密，从操作系统内核直接发送到对端网关。

2. 代理（Proxy / Shadowsocks / V2Ray / Trojan）

代理工具最初是基于特定协议（如 HTTP、SOCKS5）的应用层转发中继。它并不会接管你的操作系统驱动，除非客户端通过 TUN 虚拟网卡技术强制劫持系统路由表。

二、最容易引发泄露的致命隐患：WebRTC 与 DNS

如果你仅仅在 Chrome 浏览器中安装了一个普通的代理插件：

• WebRTC 穿透：即使网页请求走的是代理，网页中嵌入的 WebRTC JavaScript API 依然可能通过 STUN 协议探测到你本机的局域网真实公网 IP。
• DNS 污染与泄露：如果客户端没有做好远端 DNS 解析分流，本地运营商依然能捕获你正在查询的所有境外域名。