← 所有文章

网络基础设施

购买 Mullvad VPN 并通过中介代理进行使用

记录笔者购买 Mullvad VPN 时的决策以及购买后通过中介代理使用 Mullvad WireGuard 节点的方式。

约 5 分钟更新于 2026年9月27日

购买方式的目标

这次购买 Mullvad 的核心目标不是追求“完全匿名支付”，而是避免在 VISA 银行卡账单中直接出现 Mullvad、Mullvad VPN 或明显的 VPN 字样。

原因在于，即使 VPN 服务本身不要求实名，如果支付最终落到实名银行卡上，而账单商户描述直接写成 MULLVAD、PAYPAL *MULLVAD 或 VPN*...，那么银行侧仍然可以很直接地判断这笔消费与 VPN 有关。对于大陆发行的 VISA ，这毫无疑问是一个巨大的风险点，银行不一定会直接采取某些行动，但是绝对不会有好事。

同时，为了避免邮寄的麻烦以及带来的额外费用，主要选择数字 voucher 而非实体 voucher 。

各购买渠道与支付方式对比

购买渠道支付方式VISA 银行账单表现是否达到“不出现 Mullvad/VPN”目标验证状态备注
Mullvad OfficialPayPal + VISAPAYPAL *MULLVAD❌Mullvad 客服实际测试确认Mullvad 客服专门做了一笔交易确认账单描述，因此 Mullvad 品牌会直接暴露给发卡行
Mullvad OfficialVISA Direct / Stripe官方说明支付 token 通常形如 VPN*xxxxxxxxxx❌Mullvad 官方资料Mullvad 当前信用卡支付由 Stripe 处理；官方退款/账号找回说明明确表示银行账单通常可以找到 VPN*... token (Mullvad VPN)。
SerialCartPayPal + VISA实测为 PAYPAL *MYSECURESPC✅ 就账单名称而言实际交易验证这笔订单后来因 SerialCart 判断 PayPal account 未 verified 而未正常完成，最终退款，所以虽然账单描述符合要求，但整个支付路径并不可靠
SerialCartVISA DirectSERIALCART.COM✅完整实际验证成功VISA 已正式入账，SerialCart voucher 成功取得并兑换到 Mullvad；目前是整个测试中结果最明确的一种
ProxyStore 实体/普通商店PayPal + VISA未实际验证？支付方式确认，账单描述未知ProxyStore 当前明确接受 PayPal，同时还接受现金、邮寄现金、Monero、Bitcoin、SEPA。不能仅凭网站判断 PayPal 最终向银行传什么 descriptor (ProxyStore)。
ProxyStore 实体/普通商店VISA Direct当前页面未列为支付方式—官网信息当前 Mullvad voucher 页面列出的支付方式中没有直接银行卡支付。
ProxyStore Digital GoodsPayPal + VISA不适用—官网信息当前 digital goods 商店列出的是现金、邮寄现金、Monero、Bitcoin、SEPA，没有 PayPal。
ProxyStore Digital GoodsVISA Direct不适用—官网信息当前同样没有列出银行卡支付。

这里有两个比较重要的补充。

首先，Mullvad 官方目前确实接受信用卡和 PayPal，信用卡由 Stripe 等第三方支付机构处理。Mullvad 自己也明确说明，信用卡、PayPal 这类支付并不是匿名支付，第三方支付机构会拥有相应的付款人信息1。

其次，SerialCart 确实是 Mullvad 官方经销商，而不是来源不明的 voucher 市场。SerialCart 自己公开其 Mullvad distributor 身份，目前也仍然在销售 Mullvad voucher。

因此，从这次测试的实际结果看，最符合最初目标的路径是：

VISA → SerialCart → Mullvad voucher → Mullvad account

SerialCart 支付和客服过程中发现的问题

SerialCart 的实际使用过程并不算完全顺畅。

最开始尝试的是：

VISA → PayPal → SerialCart

PayPal 侧交易一度显示 Completed，VISA 账单上出现：

PAYPAL *MYSECURESPC

但 SerialCart 订单一直是 on hold。

后来 SerialCart 表示，只接受 verified PayPal account，认为当前 PayPal 账户没有满足其验证要求，因此不接受订单并退款。之后改用VISA Direct → SerialCart则支付成功，账单正式入账为SERIALCART.COM，voucher 也正常取得并成功充值 Mullvad。

SerialCart 客服异常的原因

期间一共提交了 3 个 Support Ticket，数天一直停留在 Ausstehend，没有任何处理。

通过另外发送英文邮件询问后，SerialCart 回复说明：

他们的系统把之前的所有消息都标记成了 SPAM，可能与邮箱地址有关，因此工作人员之前根本没有看到这些消息。

之后客服处理了订单，并完成第一笔 PayPal 订单的退款。

笔者注册 SerialCart 时使用的是SimpleLogin alias，有可能 SerialCart 的邮件/风控系统对这个 alias 地址产生了较高风险评分。

Mullvad 实际使用测试

购买问题解决之后，下一步是不安装 Mullvad 官方客户端，而直接使用 Mullvad 提供的 WireGuard 配置。

这是 Mullvad 官方支持的使用方式。官方可以直接生成 WireGuard configuration file，并明确允许用户使用第三方 WireGuard client2。

典型 Mullvad WireGuard 配置包含：

[Interface]
PrivateKey = <client-private-key>
Address = 10.x.x.x/32,fc00:.../128
DNS = 10.64.0.1

[Peer]
PublicKey = <mullvad-server-public-key>
AllowedIPs = 0.0.0.0/0,::/0
Endpoint = <mullvad-server-ip>:<port>

Mihomo 官方支持把标准 WireGuard 配置转换为自己的 wireguard proxy3。

proxies:
  - name: Mullvad-WG
    type: wireguard

    server: <Mullvad WG Server>
    port: <Mullvad WG Port>

    ip: <WireGuard IPv4>
    ipv6: <WireGuard IPv6>
    private-key: <Private Key>
    public-key: <Mullvad Server Public Key>

    allowed-ips:
      - 0.0.0.0/0
      - ::/0

    udp: true
    mtu: <Mullvad Config MTU>

实际参数直接从 Mullvad 下载的 .conf 中对应转换即可，不需要重新生成另一套 WireGuard key。

中国大陆网络下：直接 WireGuard 实测失败

实际测试发现，Mihomo 直接连接 Mullvad WireGuard endpoint 无法正常建立可用连接。

这个测试结果与“裸 WireGuard 并不适合作为抗 DPI/审查协议”的一般认识是一致的。裸 WireGuard 本身也不是为流量伪装设计的，因此不应把它当作抗审查传输层使用。

使用 dialer-proxy 后成功

随后使用 Mihomo 的 dialer-proxy：

proxies:
  - name: Mullvad-WG
    type: wireguard

    server: <Mullvad Server>
    port: <port>

    ip: <WG IP>
    private-key: <private key>
    public-key: <server public key>

    udp: true

    dialer-proxy: Proxy-Node

实际测试可以正常连接 Mullvad WireGuard。

Mihomo 官方对 dialer-proxy 的定义也非常明确：当前 proxy 建立底层连接时，通过指定的另一个 proxy 或 proxy-group 建立4。

这套结构实际上把两个问题拆开处理：

                 ┌─ 解决 GFW / 网络可达性
                 │
本机 → Dialer Proxy → Mullvad → Internet
                          │
                          └─ 解决最终出口和 VPN 信任问题

前置节点只负责让 Mullvad WireGuard endpoint 可达。

Mullvad 则负责真正承载最终 Internet 流量并提供出口 IP。

因此只要整个链路配置正确，前置代理运营方看到的主要是客户端与 Mullvad 之间的隧道通信，而最终网站流量由 WireGuard 加密保护。

Dialer 节点区域选择的实际影响

dialer-proxy 最好和 Mullvad WireGuard 节点处于相同或邻近地区。

对于需要跨洲绕路的情况，实测发现：

  • 延迟明显增加
  • 实际吞吐明显下降

绕路加拿大连接新加坡节点：

2026-09-27-Mullvad(SG)-over-Geph(CA).png

同为新加坡节点：

2026-09-27-Mullvad(SG)-over-Geph(SG).png

Footnotes

  1. https://mullvad.net/en/pricing ↩

  2. https://mullvad.net/en/help/wireguard-android ↩

  3. (https://wiki.metacubex.one/en/config/proxies/wg/) ↩

  4. https://wiki.metacubex.one/en/config/proxies/dialer-proxy/ ↩