目录
简短回答：隧道加 VPN 是隐私路由，不是匿名。
当你希望访客访问网站而不暴露住宅 IP 或直接接触路由器时，使用 Cloudflare 隧道。仅在有明确理由防止 Cloudflare 看到住宅连接器 IP 时添加 VPN 路由。
即使如此，Cloudflare 仍掌握账户、区域、隧道、主机名和流量关系。VPN 提供商可能看到连接器与 Cloudflare 通信。访客仍可通过内容、账户、分析、Cookie 和浏览器指纹识别网站。
本文中，Cloudflare 隧道指 cloudflared 连接器。VPN 指 cloudflared 前的独立 VPN 服务或独立客户端产品 Cloudflare WARP，不是魔法匿名层。
Cloudflare 隧道、WARP 和 VPN 是不同的概念
大多数混淆源于用词。Cloudflare 隧道通过 Cloudflare 发布私有源站。WARP 是 Cloudflare 的设备客户端，用于路由用户流量。普通 VPN 提供商是你选择的独立网络。
| 术语 | 此处含义 | 隐私限制 |
|---|---|---|
| Cloudflare 隧道 | cloudflared 从你的源站向 Cloudflare 建立出站连接，并将公共主机名映射到私有服务。 | 它保护源站免受访客访问，但不保护免受 Cloudflare 本身。 |
| cloudflared 前的 VPN | 连接器流量在到达 Cloudflare 前通过 VPN 客户端路由。 | Cloudflare 可能看到 VPN 出口 IP，VPN 提供商可能看到流向 Cloudflare 的流量。 |
| Cloudflare WARP | Cloudflare 的设备客户端，用于通过 Cloudflare 服务路由用户流量。 | 这与使用 Cloudflare 隧道发布网站不同。 |
| Cloudflare VPN | 这是人们用来描述多种 Cloudflare 和 VPN 概念的模糊说法。 | 规划时避免使用该词，明确指明具体产品或路径。 |
隧道加 VPN 设置中各方可见内容
最安全的分析方法是区分不同受众，每个受众看到链条的不同部分，且都不应被视为盲点。
| 查看者 | 他们能看到什么 | 他们通常看不到什么 | 主要风险 |
|---|---|---|---|
| 访客 | 主机名、内容、请求头、Cookie、分析和 Cloudflare 边缘行为。 | 当 DNS 和路由仅指向 Cloudflare 时，住宅源 IP 可见。 | 内容或浏览器指纹仍能识别操作者。 |
| Cloudflare | 账户、区域、隧道 ID、公共主机名、请求路径和连接器源 IP。 | 住宅连接器 IP 仅在 VPN 路由正常且强制时隐藏。 | 弱账户或重复使用的身份仍会将项目与你关联。 |
| VPN 提供商 | 你的设备保持与 Cloudflare 的加密流量，根据提供商设计，可能还包含账户和支付数据。 | 当公共 HTTPS 路径位于访客与 Cloudflare 之间时的访客内容。 | 你已将信任从 ISP 路径转移到 VPN 提供商。 |
| 注册商与账户 | 域名所有权、恢复邮箱、账单和登录历史。 | 网络设置无法解决账户隔离薄弱问题。 | 管理身份泄露可能破坏网络隐私。 |
VPN 断开问题：cloudflared 可能通过正常路由重新连接
如果 VPN 断开时 cloudflared 允许使用正常网络，Cloudflare 会突然看到住宅 IP，这是常被忽视的实际失败情况。
如果 cloudflared 进程仍能使用正常默认路由，单纯浏览器或应用的断网开关是不够的。
隧道连接器设计用于保持连接活跃，若一条路径断开，可能会通过其他可用路径重新连接。
仅当你能确认 cloudflared 在 VPN 路径外被阻止时，才使用防火墙规则、接口绑定或提供商控制。
不要发布显示连接器 ID、源 IP、账户邮箱或私有主机名的日志或截图。
停止 VPN，重启 cloudflared，重启机器，并从 Cloudflare 端检查连接器来源，确认路由私密。断网开关只有在真正阻止 cloudflared 走 VPN 外路径时才有用。
隧道加 VPN 不替代身份隔离
网络路由只是其中一层。如果域名、邮箱、支付方式、管理员浏览器、分析账户和公开写作风格都指向你的日常身份，隧道无法解决。
域名和 DNS
当项目不应关联个人基础设施时，使用独立注册商账户、恢复邮箱和 DNS 访问。
管理员浏览器
不要用包含个人登录、Cookie、扩展和同步身份的浏览器配置管理网站。
支付信息
即使隐藏了公网 IP，信用卡、发票地址或重复使用的邮箱仍能识别项目。
内容风格
写作风格、重复使用的头像、分析 ID、仓库名和支持渠道可能将项目关联回你。
何时使用仅隧道、隧道加 VPN、GhostlyShare 或 VPS
选择最简单的路径解决实际暴露问题。添加 VPN 可增强隐私，但也带来故障风险、账户痕迹和维护负担。
| 路由 | 使用场景 | 避免使用时 |
|---|---|---|
| 仅使用 Cloudflare 隧道 | 你想要稳定的公共主机名，同时不暴露家庭路由器给访客。 | Cloudflare 不应看到住宅连接器 IP。 |
| Cloudflare 隧道加 VPN 路由 | 你可以强制 cloudflared 仅通过已测试的 VPN 路由连接。 | 你无法测试 VPN 失败、断网开关行为、重启和日志。 |
| GhostlyShare | 你需要临时本地预览、webhook 回调、演示链接或快速受保护分享。 | 你需要一个长期维护的永久生产路由。 |
| VPS 或专用主机 | 你希望与家庭网络更好隔离，并能维护服务器。 | 你只需短期预览或无法修补及监控服务器。 |
如果只需短期的公共本地预览、演示链接或 webhook 回调，GhostlyShare 可避免将设置变成永久家庭托管架构。
打开 GhostlyShareVPN 提示：选择可测试失败情况的提供商
可选 VPN 选择
选择能应对失败情况的 VPN，而非仅看价格。
如果 Cloudflare 需要看到 VPN 出口 IP，选择能在运行 cloudflared 的机器上测试断网开关和 WireGuard 路由的提供商。Proton VPN 是隐私优先的起点；NordVPN 在速度、应用优化和服务器选择上更实用。
当前轮换选择： Proton VPN
依赖前请查阅官方文档
Cloudflare 会随时间调整产品细节，依赖前请直接查阅最新的 Tunnel、公共主机名、WARP 和分割隧道文档。
关于 Cloudflare 隧道和 VPN 隐私的常见问题
常见问题
Cloudflare 隧道加 VPN 会让网站匿名吗？
不是。它可以隐藏家庭 IP 免受访客查看，也可能隐藏 Cloudflare 看到的住宅连接器 IP，但账户、域名所有权、支付、管理员浏览、内容和提供商日志仍能识别操作者。
Cloudflare 隧道是 VPN 吗？
不是。Cloudflare 隧道是通过 Cloudflare 发布私有服务的连接器，无需入站端口转发。VPN 是通过 VPN 服务器路由设备流量。Cloudflare WARP 是另一个独立客户端产品。
VPN 断开时 cloudflared 会发生什么？
如果没有阻止 cloudflared 在 VPN 路由外连接，它可能通过正常 ISP 路径重新连接。信任隐私边界前请测试重启、VPN 断开和机器重启。
何时 GhostlyShare 优于 Cloudflare 隧道加 VPN？
需要临时公共本地预览、演示或 webhook 回调且不想维护永久家庭托管时，使用 GhostlyShare。