換 IP 是藏「連線」，藏不住「裝置本身」——匿名其實分兩層。

把「匿名」拆成兩層，很多困惑就解開了。網路層指的是「你的連線從哪個 IP 出去、對外看起來來自哪裡」，VPN 和 Tor 處理的就是這一層。端點層則是「你這台裝置與帳號的身分」——包括作業系統、登入的帳號，以及像裝置識別碼、裝置指紋這類跟著裝置走的線索。這一層，VPN 完全管不到。

一個生活化的比喻：VPN 像幫車子換車牌，路上的攝影機拍到的是新號碼，但車子的引擎號碼沒變。如果有人能讀到引擎號碼，換再多車牌都會被認出是同一台車。只顧網路層、忘了端點層，就是很多人以為「開了 VPN 就匿名」卻仍被找到的原因。所以這是一個威脅建模的問題，不是「有沒有開 VPN」的問題。

該怎麼辦？先想清楚你在防誰。如果對手有能力拿到端點層的線索，光靠 VPN 並不夠，需要再加上減少裝置遙測、把高風險身分與日常身分分開，必要時使用專為匿名設計的獨立系統。這聽起來很多，但不必一次做完——就算只先做一件，也比昨天更安全。