電訊商能看到我訪問了什麼網站嗎？開了代理或 VPN 之後呢

電訊商能看到你訪問了哪些網站，準確地説是哪些域名，什麼時候訪問，傳了多少數據，用了幾台設備。它看不到 HTTPS 網頁裏的內容，看不到你搜了什麼、聊了什麼，因為這些都被加密了。開了代理或 VPN 之後，電訊商只能看到一條到某台伺服器的加密連接和流量大小，域名列表消失了，前提是 DNS 也走了隧道。下面逐層説清楚誰在哪一步能看到什麼。

不開代理時，電訊商看到什麼

域名，而不是頁面。 兩個地方會暴露你訪問的網站，即使網站用了 HTTPS。第一是 DNS 查詢：瀏覽器開啟網站前要先問「這個域名的 IP 是什麼」，這個問題預設發給電訊商的 DNS 伺服器，而且是明文。第二是 TLS 握手裏的 SNI 字段：建立加密連接的第一步會明文寫上目標網站的域名。所以電訊商知道你開啟了某個新聞站、某個銀行、某個論壇，但不知道你看了哪篇文章、登入了哪個帳戶。

時間和流量。 什麼時候在線，每個連接傳了多少數據。視像通話和下載檔案的流量形狀不一樣，即使加密也能大致分類。

設備。 電訊商的光纖數據機和路由器能看到有幾台設備在線，各自的流量模式能區分手機、電視、電腦。

明文流量。 老舊應用、部分智能家居設備，以及少數還在用 HTTP 的網站，內容對路徑上的任何人可見。

看不到的：HTTPS 頁面內容、表單、密碼、搜索詞、端到端加密聊天軟件裏的消息。傳輸加密今天是預設配置，這一層是可靠的。

開了代理或 VPN 之後

客戶端把設備發出的所有東西，包括 DNS 查詢，打包進一條加密隧道送到伺服器。從電訊商的角度：

• 唯一的目的地是那台伺服器的 IP。
• DNS 查詢在隧道里，域名列表沒了。
• SNI 在隧道里，網站名沒了。
• 流量大小和時間還能看到：知道你今晚傳了 3 GB，不知道是什麼。
• 「你在用代理」這件事本身可見，用 WireGuard 或 OpenVPN 時協議類型也明顯；VLESS + Reality 這類協議把隧道偽裝成到正常網站的 HTTPS 連接，連這一點也變得不明顯。

兩個前提。第一，DNS 必須真的走了隧道，否則電訊商照樣拿到域名列表，檢查方法在DNS 泄露是什麼意思。第二，隧道必須一直在，斷線重連的幾秒鐘裏流量會退回直連，需要 Kill Switch 兜底。

代理伺服器那一端看到什麼

這是多數文章跳過的部分。流量在代理伺服器上解密再轉發給網站，所以代理的運營方處在電訊商原來的位置：能看到域名、時間、流量，看不到 HTTPS 內容。它記不記錄，是政策問題，唯一的核對方法是讀它的政策。

有用的判斷標準是看有沒有具體條目。「不記錄日誌」四個字是營銷。列出「保存什麼、不保存什麼」的政策才有可核對性。比如 404 VPN 的私隱政策寫明不保存訪問記錄、DNS 查詢、流量內容和元數據、連接建立後的源 IP，同時寫明保存電郵、訂閲狀態、週期流量總量和最後連接時間。什麼都不保存的服務要麼沒法計費，要麼沒説全。用機場的話，運營方通常匿名，這一點在機場安全嗎裏討論。

網站看到什麼

不開代理，網站看到你的真實 IP，據此推出大致位置和電訊商。開了代理，網站看到伺服器的 IP。除此之外網站了解你的一切，Cookie、登入狀態、瀏覽器指紋、螢幕尺寸、字體，都來自瀏覽器而不是網絡，代理改變不了。私隱檢查器能展示瀏覽器在不看 IP 的情況下暴露了什麼，通常比想象的多；細節在瀏覽器指紋是什麼。

不開代理也能少暴露一點嗎

可以，但只能堵一部分。加密 DNS（DoH 或 DoT）讓電訊商看不到 DNS 查詢，DNS 服務商能看到。Encrypted Client Hello（ECH）是 TLS 的擴展，能把 SNI 也加密，但需要網站和網絡都支持，目前覆蓋不全。兩者一起，電訊商能看到的縮小到 IP 地址和流量形狀。代理或 VPN 一次性覆蓋全部，並且換掉 IP。加密 DNS 無論如何都值得開，免費，而且在隧道斷開時是一道額外保護。

一張表

第三行是最常見的失敗狀態：看起來開着代理，實際上域名列表照樣交給了電訊商。

實用結論

• 電訊商看域名、時間、流量、設備，不看內容、搜索和消息。
• 代理或 VPN 把它縮減為「一條加密連接和一些流量」，前提是 DNS 走隧道、Kill Switch 開啟。
• 代理運營方接替了電訊商的位置，讀政策看條目而不是口號。
• 網站仍然看到你的瀏覽器。代理換的是地址，不是指紋。

404 VPN 的客戶端把 DNS 放在 VLESS 或 WireGuard 隧道內解析，帶 Kill Switch，私隱政策列出了保存與不保存的每一項。細節見安全説明，開始使用請到首頁。