无日志 VPN，纯内存服务器

真正关键的一层是连接元数据：会话来自的源地址、建立与断开的时间戳、使用的服务器以及流量大小。把一个真实的人和一次会话联系起来的正是这一层，而这也正是我们的服务器不写下来的一层：不记源 IP 地址，不记连接时间戳。

第二层是 DNS。你的设备查询的每一个域名都会经过一个解析器，一个保存历史的解析器即便什么都不再存，也已经拥有一份可读的访问清单。第三层是流量内容，它由隧道端到端加密，服务器只负责转运，无法阅读。

第四层根本不在服务器上，而是账户：一个邮箱、一张银行卡、一段登录历史、一张写着你名字的工单。多数服务商在这一层保存的身份信息，远远超过它们能从网络层推断出来的。所以我们干脆没有账户这一层。

纯内存服务器把整个操作系统加载到内存中运行。正常运行时不会向持久磁盘写入任何内容：没有地方让日志文件堆积，没有承载状态片段的交换文件，机器在断电状态下被搬走也没有任何可从硬盘恢复的东西。一次重启就把机器还原成一张白纸。

这是一个真实的属性，值得拥有。它消除了这个行业最常见的故障形态，而那种故障通常不是服务商说谎，而是服务商遗忘：事故之后忘了关掉的调试日志、一份崩溃转储、一个没人记得还在跑的备份。

它做不到的，是让一台正在运行的服务器变成瞎子。当你的会话还活着时，那台机器正在转发你的数据包，而转发本身就要求知道数据包从哪里来，才能把回包送回去。纯内存意味着这个状态不被记录、不持久、断电即消失，并不意味着流量在传输过程中是不可见的。谁把纯内存说成「无法被观察」，那就是在夸大，他说的其他一切也应当按同样比例打折。

与网络分开的，是一家店铺，而店铺会有记录。我们的记录是一行订单：你买了哪个套餐、订单何时创建、何时到期、加密货币付款的凭证编号，以及打开订单页面的 8 位魔法码。这就是全部的客户记录。

它里面没有姓名、没有邮箱、没有密码、没有卡号、没有账单地址，因为结账时根本不存在这些字段。没有可登录的账户，也就没有登录历史、没有密码找回留下的痕迹、没有把订阅绑到某个人身上的邮箱。如果你在本站任何地方填写了邮箱，无论是提交工单还是设置提醒，那是因为你选择给出它。

我们唯一无法让其消失的，是付款本身。加密货币付款会经过一个能看到该笔交易的支付网关，而在比特币或 ERC-20 稳定币这类透明链上，它会被永久公开地记录下来。付款本身仍然保持私密的币种是门罗币，这也是它在这类页面上被反复提到的唯一原因。

没有隧道时，你的网络运营商或你所在的网络能看到你连接的每一个目的地。有了隧道，它看到的是一条通往单一端点的加密连接，而对这些流量之后去了哪里一无所知。目的地转而对 VPN 服务器可见。

这是信任的转移，不是信任的取消。诚实的问题从来不是「这能不能让我隐身」，而是「我更愿意让哪一方看到这些，以及那一方会留下什么」。对后半个问题，我们的回答是：不留源地址、不留时间戳，而且是在一台没有磁盘可以留存它们的机器上。

这一切都碰不到更上面那一层。你登录过的网站无论你从哪个地址过来都清楚你是谁，你原本就带着的 Cookie 依然认得你，浏览器指纹也不会因为一条隧道而改变。VPN 是一个网络工具，它解决的是网络层面的问题。

不带标识地购买。如果一家服务商从未收到过你的邮箱，它就交不出这个邮箱，不会在数据泄露中丢掉它，也无法用它把你的两笔购买关联起来。这是你能做到的最大幅度的削减，代价只是一串现在要由你自己保管的凭证。

用不会把身份带进交易的方式付款。银行卡等同于你的法定姓名和你的银行。在核验过你护照的交易所买来的币，会把这层核验一路带到你发送的地址，而链会永久保留这一跳。门罗币没有这个特性。

如果连访问本身都需要保护，请通过 Tor 访问本站，包括我们的 onion 服务，这样购买行为就不会挂在一个家庭地址上。然后把凭证离线保存，并且把该分开的东西分开：任何服务商能够诚实提供的最强配置，只要你用它登录了自己的日常账户，就全部失效了。