代理与 VPN 都能改变流量走向，但工作层级与默认保护范围不同。选型时先问：要让哪些应用、哪些协议走进隧道？
代理：应用或协议级
HTTP/SOCKS 代理常只影响配置了代理的浏览器或客户端。游戏、系统更新与其他 App 仍可能直连。明文 HTTP 代理并不提供机密性。
VPN：系统或虚拟网卡级
通过 TUN 设备把更多 IP 流量导入隧道，覆盖范围更广。信任边界随之扩大——运营方理论可见进入隧道的连接元数据。
DNS 与分流差异
代理下 DNS 可能在本地完成；VPN 常指定隧道内解析器。配置失当会出现 DNS 泄露。
怎么选
- 仅浏览器临时访问：应用级代理可能够用，接受其余应用裸露。
- 公共 Wi-Fi 多应用保护：系统 VPN 更贴切，并叠加 HTTPS。
透明代理与中间人
公司网关在未经同意下插入代理证书时，HTTPS 可能被中间盒解密检查。属策略行为，不是个人可随意复制的「技巧」。
Tor 与混淆
洋葱路由是另一类路径隐私方案，延迟与站点兼容性不同。与商业 VPN 比较时，认清你要对抗的威胁模型是否匹配。
游戏与反作弊
竞技游戏常禁止隧道以降低延迟作弊；强行全局 VPN 可能封号。按游戏条款选择，别把账号安全押在违规配置上。
规则分流复杂度
按域名/IP 精细分流需要维护列表，错误一条就裸露敏感流量。新手先用简单全隧或官方模板，再逐步细化。
图书馆过滤
机构 HTTP 代理用于过滤不当内容，不等于给你隐私；只是组织策略。
政企 SSL 代理
学校代理缓存视频流量是性能优化，不是隐私工具。个人在外网不能混用校内代理配置。
代理链 A→B→C 只增加失败点，不神奇叠加安全；除非明确了解每跳运营方信誉。
MTU 黑洞
代理不加密封装大包时，PMTU 黑洞导致图片加载一半卡住。表现为「部分站点坏掉」而非全面断网，调低 MTU 或换全隧方案可缓解。
远程桌面软件自带中继绕 NAT，不走系统 VPN。以为开了全局隧道，RDP 流量仍可能旁路——为远程办公单独核对路由表。
自动化爬虫开发者混用代理池时要注意出口信誉，被封后拖累业务 IP。个人隐私场景无需如此复杂，稳定单跳更好。
名称相近的客户端也可能来源不明；误装未经验证的客户端可能把流量发往未知节点。只从雇主或厂商签名页面下载。
选型记录写在笔记里便于日后复盘。