Laut der Dokumentation in default.settings.php, und ich habe ähnliche Beschreibungen an anderer Stelle gesehen, "Without "Vary:Cookie", authenticated users would also be served the anonymous page from the cache."
Wird $conf['omit_vary_cookie'] = TRUE;
jedoch mit Varnish in Drupal 7 empfohlen und scheint Benutzer nicht davon abzuhalten, von anon zu authentifizierten Sitzungen zu wechseln. Ist das ein Header, den Varnish eigentlich nicht interessiert?