用 VPN，很多人真正担心的往往不是速度，而是：我的个人信息会不会和我的上网连接绑在一起？这篇文章用四张动图，说明 VilaVPN 在架构上是怎么把这两件事分开的。本文内容只适用于 VilaNet 客户端的连接方式，不适用于其他连接方式。
一、同一位用户，两本账分开放
注册时，您在账户系统里留下邮箱和付款信息。您的套餐在连接系统里有一个编号和一把随机密钥。连接系统从账户系统拿到编号和套餐状态（例如流量额度、到期时间），不拿邮箱和付款信息。连接系统负责判断“这个编号能不能连、用了多少流量”，它不需要您的姓名和邮箱。为 VilaNet 客户端提供连接的数据库里，也不保存您的姓名、邮箱和付款信息，但会保存连接时使用的 IP 地址。
二、VilaNet 客户端的 VPN 节点不直接连接数据库
全球各地的 VPN 节点直接面向公网，受攻击的机会多。所以我们让节点只和一个上锁的接口说话：它定时领取可连接的编号和密钥，再回报每个编号用了多少流量和当前在线的 IP 地址。节点上没有任何数据库的地址和登录钥匙。
三、如果有人拿走一台节点，会拿到什么？
我们按“最坏情况”来设计：假设某台为 VilaNet 客户端服务的节点被人拿走。上面有的是编号、随机密钥、流量计数，以及短期保留、用于自动拦截滥用行为的连接元数据。上面没有您的姓名、邮箱和付款信息——这些信息不会发给节点。
四、两套系统，用两个不同的数据库账号
连接系统读写数据库时，用的是一个单独的账号。这个账号没有账户系统数据库的权限。
节点的连接记录：记录什么、不记录什么
不记录：您的浏览内容、流量内容和 DNS 查询。
短期保留*：为自动识别并阻止违法与滥用行为（如网络攻击、垃圾邮件、BT 侵权）及处理服务商投诉，节点会保留最少量的连接元数据（账户编号、时间、目标地址），仅供自动化程序与智能体执行策略使用，不出售、不用于任何其他目的。BitTorrent 检测记录见服务条款第 24 条。详见服务条款。
连接系统还会保存：流量用量，以及连接和更新订阅时的 IP 地址、客户端类型和国家/地区。
为什么要这样设计？
- 减少暴露面：直接面向公网的 VilaNet 客户端节点上，没有您的姓名、邮箱和付款信息。
- 各用各的账号：连接系统的数据库账号没有账户系统数据库的权限。
- 说清楚例外：我们把短期保留的内容和期限写进服务条款，而不是只喊口号。
需要说明：编号可以对应回您的账户。处理滥用投诉时，我们会用编号找到对应的账户。分开存放能减少每个系统里的信息，但不表示两边无法对应。
没有任何服务能保证“绝对安全”。我们能做的，是在架构上把“您是谁”和“您连到哪里”尽量分开存放，并把规则写清楚。如果您对隐私设计有任何问题，欢迎通过工单联系我们。
