虚拟机使用NAT连接网络，数据流量是否会携带物理机的信息？

如果在虚拟机内部使用TOR浏览器，则数据包是否会因为需要经过物理机上的虚拟网卡而导致数据包携带有物理机的ip地址（或其他可用于流量识别的信息）？

如果你的公网地址是绑定在电脑物理网卡所对应的三层接口，那这个接口可以看作路由器的WAN口，你的虚拟机的虚拟网卡以及对应的三层接口使用的是私有IP，对应的是路由器的LAN口，在这里就是LAN口的流量在WAN口进行一次NAT，所以从WAN口出去的流量，二层源MAC地址为物理网卡的MAC地址。三层源IP地址也为物理网卡绑定的IP地址。

但是TOR却可以帮你实现匿名。

TOR ：The Onion Router 洋葱路由，可以实现最高级别的匿名。

洋葱路由如其名字所暗示，是一层层加密路由的方式，直到安全到达目的地。

TOR ----Incoming node --- middle node---outgoing node----Server

TOR浏览器通过动态的方式选取到达Server的三个proxy 节点：

第一步：触发TOR与 incoming node SSL连接

第二步：在第一个SSL连接的基础上，触发到middle node第二个SSL连接

第三步：在第二个SSL连接的基础上，触发到outgoing node 第三个SSL连接

第四步：first SSL + second SSL + third SSL + HTTP 到达 incoming node，解析出明文，知道下一跳为 middle node，发 second SSL + third SSL + HTTP给middle

第五步： middle node 解析出明文，知道下一跳为 outgoing node，发third SSL + HTTP给 outgoing node

第六步：outgoing node解析出明文，知道下一跳为 server，发HTTP给server

第七步：返程流量过程类似
…

使用TOR，最多有人知道你连接的是 incoming node，内容却是加密，即使第一跳被攻克，也最多知道你去第二跳，内容却是加密的，三跳全部攻克，才会知道流量从哪里来，要到哪里去？如果三跳位于三个国家，则攻克难度很大。

使用虚拟机能隐藏真实机器的协议栈指纹、显示器分辨率、浏览器user agent等信息。所以黑客会用自己的虚拟机当第一层跳板，用完之后销毁虚拟机。

具体说一下协议栈指纹。不同的厂家，如微软或linux，TCP/IP协议栈的实现是不太一样的。比如对于ICMP端口不可达消息，大多数系统返回的的TOS是0，而Linux是OxcO。