De acordo com a documentação em default.settings.php, e vi descrições semelhantes em outros lugares, "Without "Vary:Cookie", authenticated users would also be served the anonymous page from the cache."
No entanto, $conf['omit_vary_cookie'] = TRUE;
é recomendado com o Varnish no Drupal 7 e parece não impedir que os usuários possam alternar de sessões anon para sessões autenticadas. Esse é um cabeçalho com o qual o Verniz não se importa?