Tor over VPN：链路顺序究竟决定什么
有个问题总是反复出现：VPN 应该放在 Tor 网络前面、后面，还是干脆不用？对多数人来说，诚实的答案是最后一种。Tor Browser 单独使用就是其开发者构建和测试的配置，Tor Project 的常见问题也警告说，两者结合“如果配置不当，可能降低匿名性或破坏 Tor 的保护机制。”不过，每种链路顺序背后的取舍仍值得拆开来讲，因为有少数场景确实能让 Tor 前置 VPN 显得合理。
默认做法：纯 Tor，前面不加任何东西
直连时，你的 ISP 能看到你正在连入 Tor 网络——守卫中继是公开的——但看不到你访问了哪些网站。对常见威胁模型而言，这已经足够。Privacy Guides 的 Tor 概览只建议在特定情况下才在前面加 VPN，其中包括“你的威胁模型把 ISP 本身视为对手”。否则，VPN 只是增加了一个知道你是谁的第三方，这是改变练习方式，而不是改进它。所有项目的文档都不支持那种常见说法——Tor 需要VPN才安全。Tor 前置 VPN：买到什么，付出什么
在用户–VPN–Tor–互联网的链路中，VPN 端点成为能看到你真实 IP 地址、并知道你正在连入 Tor 的一方，而隧道内部仍是加密的。你买到的是 ISP 日志里的另一个标签：Privacy Guides 指出，“连接到 VPN 几乎总是不那么可疑，因为商业 VPN 的使用者就是普通消费者。”前置 VPN 也免去了对网桥的需求，因为抵达 VPN 端点本身就是穿过审查网络的方式。代价则转移给了服务商：匿名性现在取决于该公司的日志纪律、司法辖区和诚实程度，而且 Privacy Guides 提醒，这条隧道仍可能被流量指纹识别出来——Tor 的使用并不保证不被察觉。Whonix 文档在其“在 Tor 之前连接 VPN”指南中描述的正是这条链路。Tor 后接 VPN：应当避免的顺序
把 Tor 流量再送进一个 VPN，被普遍认为不可取。Tor 频繁轮换链路，把活动分散到许多不同的出口；出口之后再接固定的 VPN 服务器，等于把一切集中到一个运营方手里，它能看到本应被分散开的东西。Privacy Guides 说得很直白：“我们非常强烈地不建议以任何其他方式将 Tor 与 VPN 组合”，因为固定出口意味着“你在消除这一优势，并严重损害你的匿名性。”这种配置在商业上依然存在，主要是因为稳定的出口地址能绕开网站对出口节点的封禁——受益的是服务商的名声，而不是用户。“一般来说，我们不建议在 Tor 上使用 VPN，除非你是高级用户，知道如何以不损害隐私的方式配置两者。” — Tor Project 常见问题
Tails 和 Whonix 的位置
专用匿名系统持同样立场。Tails 声明“强制所有出站流量走 Tor 这类匿名网络，是 Tails 的基本假设”，其文档解释了 VPN 为何不能替代：VPN“不是匿名网络”——其管理员能看到连接的两端，而盯着“VPN 的少数几台服务器”的攻击者可以把 Tor 设计刻意分开的东西重新关联起来。Whonix 更宽容：它支持隧道，并把“VPN 前置 Tor”链路作为带取舍的可选配置发布，而不是隐私升级。我们在Tails 与 Whonix 对比中比较了两个系统如何处理这些问题。VPN 真正说得过去的边缘场景
- ISP 记录或标记 Tor 连接：VPN 能隐藏你在用什么协议，但无法保证隧道本身不被察觉。
- 被审查的网络中，获取或维持可用网桥是瓶颈：连上商业 VPN 端点往往比保住一个个网桥更容易。
- 共享或受管网络里，“正在使用 Tor”这一可观察事实本身就是风险。