De acuerdo con la documentación en default.settings.php, y he visto descripciones similares en otros lugares, "Without "Vary:Cookie", authenticated users would also be served the anonymous page from the cache."
Sin embargo, $conf['omit_vary_cookie'] = TRUE;
se recomienda con Varnish en Drupal 7 y no parece impedir que los usuarios puedan cambiar de anon a sesiones autenticadas. ¿Es este un encabezado que a Varnish realmente no le importa?