在 Bromure 裡跑 VPN——以及一份 Cloudflare WARP 的白話入門

多數人會想到 VPN，是在出差旅遊、看串流影音，或者在採買某樣他們不希望下週以彈出式廣告形式再度追著自己跑的東西時。比較少人會去想 VPN 跑在哪裡——跑在作業系統上、跑在路由器上，還是跑在某個更有意思的地方。結果證明，最後那個問題的答案關係重大。本文將帶你走過 VPN 究竟做了什麼、沒做什麼，為什麼在 Bromure 中以每個設定檔為單位跑它會改變整盤帳的算法，以及——因為大家一直問——Cloudflare WARP 到底是什麼。

你的 IP 位址是一張你摘不下來的名牌。

你的電腦對每一項網路服務發出的每一個請求，都夾帶著你的 IP 位址。它不得不如此：回應總得送回某個地方。麻煩的是，來自同一個家、同一組 IP，通常會持續好幾天、幾週，甚至幾個月，而這段時間已經長到足以讓網路上的每一條數據分析管線把它當成一個穩定的識別碼——「餐桌旁那台筆電」——並在完全無關的網站之間拼接起一幅圖像，描繪出那個坐在筆電前的人，空閒時都在做些什麼。

你的 IP 並不是網路上唯一的識別碼；cookies 和已登入的帳號都是更強的識別碼。但 IP 是你沒辦法關掉的那一個。你可以清除 cookies、可以拒絕登入，IP 還是會送出去——同一個 IP，每一個請求都送。

這正是 VPN 要解決的問題。

VPN 實際上做了什麼——以及它沒做什麼。

VPN——虛擬私人網路——會把你的流量繞過一台中繼伺服器，讓你造訪的網站看到的是 VPN 的 IP 位址，而不是你的。你的裝置與 VPN 之間的流量是加密的，你造訪的網站看到的是 VPN 選擇出口的那個地理區域。

VPN 給你的東西：

為什麼把 VPN 跑在 Bromure 裡面，是更好的形狀。

多數人都把 VPN 跑在作業系統上。整台機器要嘛開 VPN，要嘛關 VPN。這樣做的問題有兩層。

第一個問題是解析度。VPN 開著的時候，每一個應用程式——你的郵件用戶端、你的 Slack、你的 App Store 更新、你的 Dropbox 同步——都會走 VPN。這可能會讓登入出問題（「我們偵測到來自德國的登入」），可能會拖慢所有東西，也會把你正在用 VPN 這件事洩漏給你對話的每一個其他服務。

第二個問題是外洩。VPN 關著的時候，某個在背景裡好心做事的應用程式，就可能在你以為是匿名造訪的網站上亮出你的真實 IP。只要有一次 DNS 外洩、一次 WebRTC 外洩，那個網站就能把你和真實連線對上。

Bromure 採取的是不一樣的做法：每個設定檔都是自成一體的虛擬機，各自有自己的網路設定。一個設定檔可以掛在 WARP 上。另一個可以走直連。第三個可以掛在一個從德國出口的付費商用 VPN 上。第四個可以掛在 Tor 上。它們彼此看不見對方。而主機作業系統——你的真實 IP、你的真實連線——上面完全沒有 VPN，因為它根本不需要。

這個形狀會安靜地帶出三個結果。

**沒有意外的關聯。**工作設定檔與研究設定檔不共用同一個來源 IP。你在「個人」裡登入的網站看到的是 WARP 出口；你在「研究」裡打開的網站看到的是一個德國的商用出口。它們沒辦法從網路層面把這兩個工作階段綁在一起。

**設定檔之間不會互相外洩。**DNS 外洩、WebRTC 外洩、某個應用程式設定錯誤——這些都只會留在那台虛擬機裡。某個設定檔裡行為不當的頁面沒辦法發現主機的真實 IP，因為主機的真實 IP 根本不在那個設定檔的網路命名空間中，而是在隔壁一道牆之後。

**工作階段結束，路由也跟著結束。**跑著 WARP 的一次性工作階段，會在你關閉視窗的那一刻被拆除。下一次你再打開同一個設定檔時，前一個工作階段的任何東西——cookies、快取、WireGuard 金鑰、IP 配置——都不會還在。VPN 就和那個視窗一樣短暫。

Cloudflare WARP 入門。

WARP 是 Cloudflare 面向一般消費者、類似 VPN 的產品。說來令人有點混亂，它既是人人都能用的免費服務，也是一款付費產品，而且它旁邊還並排著一整套同樣掛著 WARP 名字的商用產品（1.1.1.1 for Families、Zero Trust、Gateway）。本節談的是免費的個人版本，也是大家會問到的那個版本。

一段非常簡短的歷史：WARP 起源自 Cloudflare 的 1.1.1.1 DNS 解析服務的消費者端，於 2019 年推出。想法很單純——Cloudflare 本來就擁有全世界最大的邊緣網路之一，用來提供網站服務；在同一個邊緣上再多終結一條 WireGuard 通道，只是多走了一小段。最初的客戶端用的是 Cloudflare 自家以 Rust 寫的 WireGuard 實作（BoringTun）；較新的客戶端則加上了 MASQUE——一種建立在 HTTP/3 與 QUIC 之上、較新的 VPN 類型協定，在許多不友善的網路環境下較難被封鎖。

WARP 給你的東西：

WARP 不是什麼。

大家很容易把 WARP 能做的事高估。把它當成一套完整的隱私解決方案之前，有幾件事要記在心上。

在 Bromure 設定檔中使用 WARP。

機械操作的部分很小。WARP 的設定可以從 1.1.1.1 應用程式匯出成一份 WireGuard 設定檔——就是任何 WireGuard 客戶端都看得懂的那種檔案。你把某個 Bromure 設定檔指向這份檔案，這個設定檔做的每一件事都會經由 Cloudflare 傳送。

因為設定是以每個設定檔為單位的，你可以把 WARP 設定檔留給日常的閱讀與瀏覽，而讓你的銀行與工作設定檔維持在直連上。與此同時，你的主機作業系統上完全沒在跑 VPN——它不需要，因為主機上沒有任何東西在設法匿名化它的流量。匿名性就剛剛好位在你想要用它的地方。

什麼時候該選哪一種，以下是一份簡短的對照表：

結語。

你不需要一個牽涉到國家級行為者的威脅模型，才能想對自己的 IP 握有控制權。你只需要「不想被貼標籤」——在你讀的每一頁、跑的每一次搜尋、某樣你看過一眼就立刻後悔的商品上，都被貼標籤。VPN 是做這件事最常見的工具；WARP 則是給每一個想要基本功能卻不想訂閱的人的好預設值。而 Bromure，藉由把每個設定檔放進它自己的網路世界中，讓你能以這些工具本來就該有的解析度把它們混著用：不是按每台電腦、也不是按每個應用程式，而是按每個世界。

安裝 Bromure。建立一個叫「閱讀」的設定檔。把它指向 WARP。去看看當網路不再認得你時，它看起來是什麼樣子。