公司内网的公司监控系统比你想象的要简单得多。大多数企业用的内网无非是深信服、网康或者Panabit这类上网行为管理设备，到上原理就一条：所有流量必须经过网关，网记网关把HTTP请求里的公司Host字段、DNS查询记录、内网甚至SSL握手时的到上SNI信息抓下来，存进日志数据库。网记你访问了哪个网站、公司几点访问的内网、停留多久，到上一目了然。网记HTTPS加密的公司是内容，不是内网你去过哪。

有个做运维的到上朋友跟我聊过，他们公司两千多人，日志服务器每天新增数据大概40GB。老板不会天天看，但HR或者安全部门会定期跑报表，专门筛招聘网站、网盘、视频站点的访问记录。所以别指望“访问量太大没人注意到我”这种侥幸。

绕开DNS和SNI，比你想的容易

最直接的办法：把DNS换成加密DNS。公司网关默认走UDP 53端口，你改成DoH（DNS over HTTPS）或者DoT（DNS over TLS），网关就看不到你查了什么域名。Firefox和Chrome都内置了DoH选项，设置里搜“DNS over HTTPS”打开就行。不过有些公司会封掉443端口上的DoH流量，那就得换用非标准端口的DoT，比如853端口。

SNI的问题更麻烦一点。TLS握手时客户端会明文发送你要访问的域名，这叫SNI扩展。网关不需要解密就能看到。解决办法是用ECH（Encrypted Client Hello），但目前支持ECH的网站很少，Cloudflare部分节点支持。更实际的做法是走代理。

代理和隧道：让流量换个出口

如果你在公司电脑上跑一个Shadowsocks或者V2Ray客户端，把流量封装成看起来像普通HTTPS的加密流，网关只能看到你连了一个陌生IP，看不到你访问了什么。前提是公司没封掉那个IP和端口。很多公司会封常见代理端口（1080、8388等），那就用443端口，伪装成正常HTTPS流量。

还有人用SSH隧道。在公司电脑上执行ssh -D 1080 user@your-vps，浏览器设置SOCKS5代理指向本地1080端口。所有流量走SSH加密通道出去。网关看到的是你连了一台外部服务器的22端口，SSH本身就是加密的，看不到内容。这招对只做HTTP层审计的网关完全有效。

但注意：如果公司装了终端监控软件（比如联软、天锐绿盾），你本地的代理设置、进程列表、甚至浏览器历史都会被上报到管理端。这种情况下，网络层怎么绕都没用，得从终端层面解决。

终端监控才是真正的麻烦

我见过最狠的一家，员工电脑装了驱动级监控，每30秒截一次屏，键盘输入全记录，USB插拔都有日志。这种环境下讨论“不被看到上网记录”没有意义，因为你的屏幕本身就是监控源。

判断自己电脑有没有被装终端监控：看任务管理器里有没有陌生进程常驻，检查C:\Windows\System32\drivers下面有没有奇怪的.sys文件，或者直接看公司IT有没有给你装过什么“安全客户端”。如果有，别折腾了，用手机热点。

手机热点是终极方案。公司网关管不到你手机运营商的流量。但很多公司禁止办公电脑连外部WiFi或热点，IT部门会通过组策略禁用无线网卡或者检测网络切换。而且用热点干私事，流量费用自己承担，老板查不到，但你的钱包知道。

几个实际观察

大部分公司的上网记录只保留3到6个月，超过就自动清理。HR真要查你，通常是在已经有其他证据（比如绩效问题、举报）之后才去翻日志，不会随机抽查。所以真正要小心的不是“被记录”，而是“被针对”。

另外，网关日志里最显眼的不是访问了什么网站，而是流量异常。比如你每天上传下载几十GB，或者凌晨三点还有大量请求，这种模式会被自动告警。访问几个招聘网站反而不太会触发告警，除非有人专门去搜。

最后说一句：技术手段能绕开大部分网络层审计，但绕不开公司的物理管控和终端管控。搞清楚你面对的是哪种监控，比盲目折腾代理有用得多。