代理匿名度檢測：VPN 偽裝級別及隱私防漏測試

因為這兩句話來自不同的層，而且只有其中一個能在瀏覽器裡偽造。User-Agent 只是一串文字，任何瀏覽器或外掛都能改寫；而建立連線的那個 TCP SYN 包是作業系統核心造的，它的選項排列順序、視窗縮放和時間戳行為在 Linux、Windows、Apple 之間各不相同。Apple 裝置發的選項順序是 MSS, NOP, WS, NOP, NOP, TS, SACK_PERM, EOL，Linux 發的是 MSS, SACK_PERM, TS, NOP, WS。如果瀏覽器聲稱自己是 iOS，而核心簽名是 Linux，那麼到達我們這裡的這條 TCP 連線就不是你的手機開的 —— 它是被另一臺機器重建的，幾乎總是代理伺服器或者 CDN 邊緣節點。

💡 建議配合使用 瀏覽器硬體指紋檢測，驗證你的 User-Agent、Canvas 繪製與底層系統特徵是否一致。

SYN 包裡宣告的最大分段長度可以反推路徑 MTU：IPv4 是 MSS 加 40 位元組，IPv6 是加 60 位元組。不同鏈路的取值有明顯特徵：PPPoE 家庭寬頻是 1492，移動運營商通常落在 1400 到 1430 之間，WireGuard 隧道預設 1420，而裸乙太網 —— 實際上意味著一臺待在機房裡的機器 —— 是 1500。所以一部手機報出 1500 是值得指出的矛盾：沒有任何蜂窩鏈路能給出這個值。但同樣這個數字出現在桌面裝置上就說明不了太多，因為辦公室區域網和不走 PPPoE 的光纖同樣能到 1500，所以我們給它的權重低得多。

💡 若懷疑代理客戶端的分流規則或 MTU 設定異常，可使用 分流與路由洩漏檢測工具 測試不同目標節點的出口行為。

因為 IP 信譽和協議行為是兩件獨立的事。買一個住宅 IP 改變的是資料庫對這個地址的描述，但改變不了那臺出口機器造包的方式。如果它是一臺 Linux 伺服器，它照樣發 Linux 的 TCP 選項、照樣宣告機房的 MTU、照樣用自己的指紋完成 TLS 握手。只看 IP 名單的風控系統會看到一個乾淨的住宅地址；讀協議棧的系統看到的是一臺伺服器。這是我們發現的最常見的盲區，也正是報告要把「協議層證出來的證據」和「僅僅來自地址信譽的證據」分開標註的原因。

💡 你可以在 MyIPDNS 首頁綜合查詢 中檢視該出口 IP 的完整欺詐風險分（Fraud Score）與機房/ASN 屬性。

意思是我們在協議層沒有找到矛盾，只能依賴地址資料庫對你出口的描述。這種情況出現在你自己的裝置和代理伺服器執行同一種作業系統的時候：一臺 Linux 桌面走一臺 Linux 代理，呈現出來的是一致的 Linux 簽名，跨層比對無從下手。我們選擇如實標註而不是把這個弱點藏起來 —— 標為 protocol 的證據是從資料包裡證出來的，標為 reputation 的不是。一個只靠信譽撐起來的低把握結論，應該當作提示看，不能當作證據。

💡 開發者可透過 免費 IP 查詢 API 批次獲取包含 ASN 型別、風險評分與地理位置的結構化檢測資料。

有些是配置問題，有些是物理事實。機房 MTU 可以透過把服務端隧道介面的 MTU 設成 1420 到 1450 之間來掩蓋，這樣路徑看起來就像一條消費級隧道。TCP 時間戳偏移跨連線共享的問題，在出口主機換用「每條連線各自重擲偏移」而不是「按地址對雜湊」的核心之後就會消失。而出口作業系統與瀏覽器聲稱的系統不一致，靠客戶端設定根本改不掉：只有讓出口主機執行同一種系統，或者在出口處改寫 SYN 選項，這條特徵才會消失。任何瀏覽器外掛都做不到這些，因為這些東西壓根不是瀏覽器生成的。

💡 調整網路或代理配置後，可返回 首頁 進行端到端連通性與協議棧重測。

不能。這裡描述的一切都是從真正到達我們探針的資料包裡推斷出來的，而那些包攜帶的是你的出口地址，沒有別的。我們經常能判斷出一條連線在中途被重建過，也能描述重建它的那臺機器的屬性，但最初發起會話的那臺裝置的地址並不存在於這些流量裡，也無法從中還原。另外，本站的 WebRTC 與 DNS 檢測如果發現你的瀏覽器或解析器洩漏了本地地址，會單獨報出來 —— 那是另一套機制，與這裡無關。

💡 如需驗證多節點路由與 DNS 解析出口一致性，請參考 分流與路由洩漏排查指南。