无日志 VPN 政策详解
无日志 VPN 政策是服务提供商作出的承诺：不保留用户活动记录。这一说法在 VPN 营销中已十分普遍，但不同服务商的实际含义差异颇大。本文将介绍可信的无日志政策涵盖哪些内容、如何在基础设施层面落地，以及如何判断该声明是否有独立证据支撑。
无日志政策承诺了什么
无日志政策是关于服务商记录和保留哪些用户数据的声明。有力的政策会明确涉及连接日志、活动日志和可识别元数据，并说明执行该政策的技术措施。
措辞至关重要，因为「无日志」有时被宽泛地理解为「无我们认为敏感的日志」，而其他数据——带宽用量、连接次数、服务器负载——则仍出于运营目的被保留。清晰的政策会区分两者，并说明各自的理由。
日志的类型
VPN 场景下的日志通常分为三类。
活动日志
活动日志记录用户在会话期间访问了哪些网站、应用或目的地。这是最敏感的类别。保留活动日志的服务商可以还原用户的浏览历史。如果无日志政策未明确排除活动日志，则不构成有意义的隐私承诺。
连接日志
连接日志记录用户的连接时间、会话时长、连接来源 IP 地址以及所连接的服务器。虽然比活动日志敏感度低，但连接日志可用于将 VPN 会话与互联网上其他地方观察到的活动相关联。
汇总或运营日志
汇总日志记录每台服务器的总带宽、并发会话数、错误次数等指标。这类数据通常是容量规划和滥用防控的必要手段。合理的无日志政策会区分汇总运营指标与用户级别日志。
如何在基础设施层面落地
可信的无日志政策由基础设施设计来保障执行，而不仅仅依赖公司层面的规定。常见的几种做法如下。
- 纯内存服务器。VPN 服务器完全运行于 RAM，不挂载持久存储。服务器重启后，内存中的所有数据均会消失。这种方式有时被称为纯 RAM 或无盘配置。
- 无状态隧道。WireGuard 等现代协议在服务器端维护极少的状态。服务器知道哪些对等端已获授权，但无需追踪会话历史。相比之下，使用用户名认证的 OpenVPN 会保留更多状态。
- 禁用系统日志。服务器经过配置，使默认系统日志记录器不记录逐条连接信息。详细日志通常仅在调试期间短暂开启。
- 无账户数据库。不要求用户注册账户的服务，根本无法将连接与个人关联。Snap VPN 采用这一方式：订阅通过 Apple 完成，服务本身不维护用户数据库。
独立审计
独立审计是验证无日志政策是否按声明落地的最有力证据形式。典型的审计项目由第三方安全公司在数周内审查服务商的服务器配置、源代码和运营流程。
审计的价值取决于其范围。有价值的审计会明确说明检查了哪些服务器、组件和时间段，并在可完整查阅的报告中公布发现——包括正面和负面结论。仅提供营销摘要的审计可信度要弱得多。
同样重要的是认清审计无法证明什么。审计只是时间上的快照，并不能保证服务商在审计结束后仍以同样方式运营。定期重复审计才能提供更强的持续保障。
法律请求
无日志政策与法律程序之间存在重要的相互作用。如果服务商收到传票或法院命令要求提供用户数据，服务商只能披露其所持有的内容。如果活动日志和连接日志均未被保留，服务商除订阅记录外，对特定用户活动无任何内容可披露。
部分服务商会发布「透明度报告」，说明所收到的法律请求及相应的回应。透明度报告列出了收到的请求，并详细说明没有实质性数据可披露，这与有效运作的无日志政策相符。
司法管辖权同样重要。服务商所在的法律体系决定了其可被强制遵从的请求类型，以及是否可被要求前向日志记录。
如何验证声明
以下几个信号可以帮助判断无日志声明是否可信。
- 政策的具体性。政策明确列出了不被保留的日志类别，而非使用模糊措辞。
- 审计历史。服务商已委托独立审计，完整审计报告公开可查，且审计覆盖了最关键的组件——服务器和认证系统。
- 运营设计。基础设施以技术细节加以说明，包括纯内存服务器的使用、无账户认证以及无状态协议。
- 透明度报告。服务商定期发布报告，说明收到的法律请求及相应回应。
常见误区
以下几种模式表明无日志声明可能没有看起来那么可靠。
模糊的措辞。承诺不保留「任何个人身份信息」而未具体说明排除哪些数据类别的政策，实际上可能与保留大量连接元数据并无矛盾。
基于账户的服务。要求用邮箱注册账户的服务，即便声称不记录活动，也必然保留了部分信息。无账户服务在结构上具有更强的保障。
仅凭自我声明。未经独立方审查的无日志声明，完全依赖服务商的一面之词。
Snap VPN 的架构使无日志声明在机制上具有可信度：无用户账户、纯内存服务器，以及携带极少会话状态的 WireGuard 协议。更多背景信息，请参阅 VPN 入门介绍以及 WireGuard 与 OpenVPN 的对比。