运营商能看到我访问了什么网站吗？开了代理或 VPN 之后呢

运营商能看到你访问了哪些网站，准确地说是哪些域名，什么时候访问，传了多少数据，用了几台设备。它看不到 HTTPS 网页里的内容，看不到你搜了什么、聊了什么，因为这些都被加密了。开了代理或 VPN 之后，运营商只能看到一条到某台服务器的加密连接和流量大小，域名列表消失了，前提是 DNS 也走了隧道。下面逐层说清楚谁在哪一步能看到什么。

不开代理时，运营商看到什么

域名，而不是页面。 两个地方会暴露你访问的网站，即使网站用了 HTTPS。第一是 DNS 查询：浏览器打开网站前要先问「这个域名的 IP 是什么」，这个问题默认发给运营商的 DNS 服务器，而且是明文。第二是 TLS 握手里的 SNI 字段：建立加密连接的第一步会明文写上目标网站的域名。所以运营商知道你打开了某个新闻站、某个银行、某个论坛，但不知道你看了哪篇文章、登录了哪个账号。

时间和流量。 什么时候在线，每个连接传了多少数据。视频通话和下载文件的流量形状不一样，即使加密也能大致分类。

设备。 运营商的光猫和路由器能看到有几台设备在线，各自的流量模式能区分手机、电视、电脑。

明文流量。 老旧应用、部分智能家居设备，以及少数还在用 HTTP 的网站，内容对路径上的任何人可见。

看不到的：HTTPS 页面内容、表单、密码、搜索词、端到端加密聊天软件里的消息。传输加密今天是默认配置，这一层是可靠的。

开了代理或 VPN 之后

客户端把设备发出的所有东西，包括 DNS 查询，打包进一条加密隧道送到服务器。从运营商的角度：

• 唯一的目的地是那台服务器的 IP。
• DNS 查询在隧道里，域名列表没了。
• SNI 在隧道里，网站名没了。
• 流量大小和时间还能看到：知道你今晚传了 3 GB，不知道是什么。
• 「你在用代理」这件事本身可见，用 WireGuard 或 OpenVPN 时协议类型也明显；VLESS + Reality 这类协议把隧道伪装成到正常网站的 HTTPS 连接，连这一点也变得不明显。

两个前提。第一，DNS 必须真的走了隧道，否则运营商照样拿到域名列表，检查方法在DNS 泄露是什么意思。第二，隧道必须一直在，断线重连的几秒钟里流量会退回直连，需要 Kill Switch 兜底。

代理服务器那一端看到什么

这是多数文章跳过的部分。流量在代理服务器上解密再转发给网站，所以代理的运营方处在运营商原来的位置：能看到域名、时间、流量，看不到 HTTPS 内容。它记不记录，是政策问题，唯一的核对方法是读它的政策。

有用的判断标准是看有没有具体条目。「不记录日志」四个字是营销。列出「保存什么、不保存什么」的政策才有可核对性。比如 404 VPN 的隐私政策写明不保存访问记录、DNS 查询、流量内容和元数据、连接建立后的源 IP，同时写明保存邮箱、订阅状态、周期流量总量和最后连接时间。什么都不保存的服务要么没法计费，要么没说全。用机场的话，运营方通常匿名，这一点在机场安全吗里讨论。

网站看到什么

不开代理，网站看到你的真实 IP，据此推出大致位置和运营商。开了代理，网站看到服务器的 IP。除此之外网站了解你的一切，Cookie、登录状态、浏览器指纹、屏幕尺寸、字体，都来自浏览器而不是网络，代理改变不了。隐私检查器能展示浏览器在不看 IP 的情况下暴露了什么，通常比想象的多；细节在浏览器指纹是什么。

不开代理也能少暴露一点吗

可以，但只能堵一部分。加密 DNS（DoH 或 DoT）让运营商看不到 DNS 查询，DNS 服务商能看到。Encrypted Client Hello（ECH）是 TLS 的扩展，能把 SNI 也加密，但需要网站和网络都支持，目前覆盖不全。两者一起，运营商能看到的缩小到 IP 地址和流量形状。代理或 VPN 一次性覆盖全部，并且换掉 IP。加密 DNS 无论如何都值得开，免费，而且在隧道断开时是一道额外保护。

一张表

第三行是最常见的失败状态：看起来开着代理，实际上域名列表照样交给了运营商。

实用结论

• 运营商看域名、时间、流量、设备，不看内容、搜索和消息。
• 代理或 VPN 把它缩减为「一条加密连接和一些流量」，前提是 DNS 走隧道、Kill Switch 打开。
• 代理运营方接替了运营商的位置，读政策看条目而不是口号。
• 网站仍然看到你的浏览器。代理换的是地址，不是指纹。

404 VPN 的客户端把 DNS 放在 VLESS 或 WireGuard 隧道内解析，带 Kill Switch，隐私政策列出了保存与不保存的每一项。细节见安全说明，开始使用请到首页。