什么是 VPN？工作原理、能隐藏什么，以及力所不及之处

什么是 VPN？它是如何工作的？

虚拟专用网络（VPN）是一种服务，它会把设备的全部网络流量经由一条加密隧道，在您的设备与 VPN 服务器之间传输；流量随后从该服务器发往最终目的地 ^[1]。加密会把数据打乱，只有持有正确密钥的人才能读取。由于您的请求看起来像是从 VPN 服务器发出的，VPN 便隐藏了您的 IP 地址——这个数字地址能够显示您的大致位置，并可用于识别您的身份 ^[1]。

Cloudflare 将这一连接过程分为四步：VPN 客户端（您设备上的应用）通过加密连接经由您的互联网服务提供商（ISP）建立连接；ISP 把这条连接转交给 VPN 服务器；VPN 服务器解密数据，并代表您连接网站；而客户端与服务器之间的这条加密链路，就是所谓的 VPN 隧道 ^[2]。这样一来，网站服务器只会记录 VPN 服务器的 IP 地址 ^[2]。

设备上发生了什么？

从技术上讲，VPN 客户端会创建一个虚拟网络接口，也就是一个纯软件的网络适配器，并用它在把流量交给真实的 Wi-Fi 或以太网硬件之前对其进行加密和解密 ^[3]。如果所有流量都经过隧道，称为全隧道 VPN；如果允许部分流量（例如本地网络流量）绕过隧道，则称为分离隧道 VPN ^[3]。

VPN 有哪些用途？

数字权利组织电子前哨基金会（EFF）表示，VPN 最适合做一件事：让您的连接经由另一个网络传输。这在两种情况下很有用：一是在屏蔽网站的网络上绕过审查，二是从其他地方连接办公网络 ^[1]。Cloudflare 还把在公共 Wi-Fi 上提供保护、绕过基于地理位置的内容限制列为常见用途 ^[2]。

VPN 能隐藏什么？对谁隐藏？

VPN 能对您的 ISP 以及本地网络的所有者（例如咖啡馆或酒店）隐藏您发出的流量 ^[1]。由于穿过 ISP 的隧道是加密的，ISP 无法看到您在隧道里做什么 ^[2]。在网站看来，您就位于 VPN 服务器所在的地方 ^[1]。

其中的取舍很简单，却常被忽视：VPN 在对 ISP 隐藏您的浏览活动的同时，VPN 服务商却能看到全部内容 ^[1]。EFF 指出，服务商可能会出售这些信息，就像 ISP 可能做的那样 ^[1]。Cloudflare 自己的说明文章也表示，只有在信任 VPN 服务商的前提下，用户才能在使用 VPN 时感到安全，因为不诚实的服务商可能出售用户信息，或让用户暴露在攻击之下 ^[2]。

VPN 也无法对您所接入的专用网络的运营者保护您的数据。使用企业 VPN 时，企业网络的管理者能看到您的流量；使用商业 VPN 时，服务的运营者能看到 ^[1]。简而言之，VPN 只是把信任从一家公司（您的 ISP 或 Wi-Fi 所有者）转移到另一家公司（VPN 服务商），并没有消除对信任的需要。

VPN 无法保护您免受哪些威胁？

VPN 广告常常声称它们能阻止犯罪分子、恶意软件、政府监控和网络追踪；EFF 认为这些广告严重夸大了 VPN 的好处 ^[1]。其主要局限如下：

• 追踪。VPN 不是匿名工具。企业仍然可以通过 GPS、网页 Cookie、跟踪像素或指纹识别来追踪您 ^[1]。
• 账户和历史记录。对于保存在浏览器中或您已登录账户中的浏览历史，VPN 无法阻止执法部门获取 ^[1]。
• 向服务商提出的法律要求。VPN 服务商本身也要接受执法部门的调取要求，而且很多服务商保存的信息与 ISP 一样多 ^[1]。服务商必须遵守其经营所在国家的法律 ^[1]。
• 付款信息的关联。用信用卡付款会把您的身份与账户联系起来，而服务商仍可能收集您的 IP 地址 ^[1]。

流量会从 VPN 中泄露出去吗？

会。2024 年 5 月，Leviathan Security Group 公布了 TunnelVision（CVE-2024-3661）。这种技术利用 DHCP（负责分发网络设置的协议）的一项内置功能，迫使用户的流量离开 VPN 隧道，从而以未加密的形式发送 ^[3]。美国国家漏洞数据库对该问题的描述是：DHCP 选项 121 可以向设备的路由表中添加路由，同一本地网络中的攻击者可以读取、干扰甚至可能篡改本应受 VPN 保护的流量 ^[4]。

在研究人员的测试中，VPN 始终显示为已连接，而终止开关（在 VPN 连接中断时阻断流量的功能）从未启动 ^[3]。安卓不受影响，因为它没有实现 DHCP 选项 121 ^[3]。研究人员的结论是：VPN 本来就不是为抵御针对物理本地网络的攻击而设计的，作出相反的承诺是危险的 ^[3]。

速度方面呢？

有些用户会感到网速变慢，这取决于服务商的服务器容量；而如果 VPN 服务器离用户和网站都很远，还会增加延迟 ^[2]。

在公共 Wi-Fi 上需要使用 VPN 吗？

不一定。EFF 表示，在公共 Wi-Fi 上使用 VPN 过去是标准建议，但由于如今大部分网络流量都已通过 HTTPS 加密，这对所有人来说已不再那么必要 ^[1]。HTTPS 是带有“小锁”标志的网页协议版本，会对您与网站之间收发的内容进行加密。

HTTPS 保护的是通信内容，而不是元数据 ^[1]。访问 HTTPS 网站时，传输路径上的各方通常可以看到域名（例如 wikipedia.org）和您访问的时间，以及页面和文件的大小，但看不到具体页面、您的登录名或您的消息 ^[1]。VPN 可以对本地网络上的窃听者隐藏这些元数据，但 VPN 服务商会看到全部内容 ^[1]。

EFF 认为，当您必须使用一个不信任的公共网络，而手头又有一个您信任的 VPN 时，VPN 可能会派上用场 ^[1]。美国联邦贸易委员会（FTC）同样警告过，免费公共 Wi-Fi 网络往往不安全，其 2018 年发布的 VPN 应用使用建议就是围绕保护通过公共 Wi-Fi 发送的信息而提出的 ^[5]。请注意，即便在这种情况下，过时的 VPN 应用也可能无法很好地保护您；EFF 以 TunnelVision 为例说明了这一点 ^[1]。

哪些 VPN 协议是安全的？

协议是 VPN 用来建立隧道并进行加密的一套规则。如果 VPN 使用的是点对点隧道协议（PPTP）这类已被攻破的加密方式，经过它传输的数据就很容易被解密和查看 ^[1]。EFF 指出，OpenVPN 和 WireGuard 是消费级服务中已经普及的两种协议 ^[1]。

WireGuard 的开发者称其为一款简单、快速、现代的 VPN，采用 Noise 协议框架、Curve25519 和 ChaCha20 等先进的密码技术，并表示它已经过密码学家的审查 ^[7]。与庞大得多的 IPsec 或 OpenVPN 代码库不同，WireGuard 的设计足够精简，一个人就能对其进行全面审查 ^[7]。

对于组织机构，英国国家网络安全中心（NCSC）表示，使用最广泛的协议是 TLS 和 IPsec；它推荐使用 IPsec 进行 VPN 接入，因为这是一种内置于许多操作系统的开放标准；同时指出，WireGuard 看起来前景不错，但尚未在企业环境中得到验证 ^[6]。该中心还提醒，一些第三方网络会限制或阻断 IPsec 流量，而 TLS VPN 在穿越企业防火墙时可能更为可靠 ^[6]。

苹果的 iCloud 专用代理（iCloud Private Relay）有时会被误认为是 VPN。它旨在保护 Safari 中的浏览活动，会通过两个独立的中继发送请求，使任何一方（包括苹果在内）都无法同时知道您是谁以及您访问了哪些网站；而且并非所有国家或地区都能使用 ^[10]。

如何选择值得信赖的 VPN？

FTC 建议在使用 VPN 应用之前做四项检查：下载前先调查该应用，审查它请求的权限，确认它会加密您的信息，并查明它是否会与第三方共享您的信息 ^[5]。EFF 还补充了以下问题 ^[1]：

1. 阅读隐私政策。如果服务商没有明确排除记录日志，就可能会记录您的数据；而即便声称“不记录日志”，也不等于有保证 ^[1]。
2. 弄清它如何赚钱。有些 VPN 免费，却会出售您的数据；另一些则采用带流量上限的免费增值模式或定期订阅 ^[1]。
3. 寻找公开的审计报告。独立安全审计是个好迹象，但审计之后，服务商的做法也可能发生变化 ^[1]。
4. 查明谁在运营。对于没有任何人愿意以自己的声誉为之担保的 VPN，要保持怀疑，并查看其“关于我们”页面上的创始人或员工信息 ^[1]。
5. 查看所在国家。服务商受其运营所在地法律的约束，包括有关政府调取数据的规定 ^[1]。

上架应用商店就够了吗？

不够。EFF 提醒，不要因为一款 VPN 应用在 Google Play 或苹果 App Store 上架就认为它安全 ^[1]。苹果的《App 审核指南》规定，VPN 应用不得出于任何目的向第三方出售、使用或披露数据 ^[9]。然而，科技透明度项目（Tech Transparency Project）于 2025 年 4 月 1 日报告称，2024 年美国 App Store 排名前 100 的免费 VPN 中，有 20 款归中国公司所有，且没有一款明确披露这一所有权关系，这些应用的下载量超过7000万次 ^[8]。Google Play 会为部分 VPN 显示“已验证”徽章，EFF 认为这只能让人略窥该应用的安全承诺，并不能替代自己的调查 ^[1]。

VPN 在所有地方都合法吗？

并非如此。EFF 建议随时了解各国的 VPN 政策，包括禁令；它还指出，流媒体平台越来越多地屏蔽看起来正在使用 VPN 的设备 ^[1]。苹果要求，在需要 VPN 许可证的地区提供 VPN 应用的开发者必须提供该许可证信息 ^[9]。本文为一般性信息，并非法律建议；请查阅您所在地的法律。

伊朗的情况如何？

自由之家（Freedom House）的《2024 年网络自由》报告指出，许多伊朗人依靠 VPN 访问被当局屏蔽的国际服务 ^[11]。2024 年 2 月，网络空间最高委员会禁止使用未经许可的 VPN，并表示个人需申请才能购买经政府批准的持牌 VPN ^[11]；报告中引用的分析人士认为，这一规定不仅将 VPN 的分发和销售定为犯罪，也将其使用定为犯罪 ^[11]。同一份报告还指出，信息和通信技术部曾于 2022 年 10 月宣布，任何销售或使用非法 VPN 的人都可能依据刑法第 753 条被起诉；在报告涵盖期间，NordVPN、Proton VPN 和 TunnelBear 等服务均无法访问 ^[11]。《2025 年网络自由》报告补充称，2025 年 6 月，伊朗实施了几乎全面的全国性断网 ^[12]。

企业 VPN 有什么不同？

有所不同。企业 VPN 的作用是把员工连接到内部系统，而不是隐藏他们的位置。英国国家网络安全中心指出，VPN 服务是组织暴露在互联网上的攻击面的一部分，在安全补丁发布后必须迅速更新 ^[6]。它还表示，对于已全面采用零信任架构（即默认不信任任何设备）的组织而言，VPN 的好处不大 ^[6]。

销售此类替代方案的 Cloudflare 认为，传统 VPN 可能导致一种“城堡加护城河”式的模式，即网络内部的一切都被自动信任；它表示，许多企业已经转而采用安全访问服务边缘（SASE）架构 ^[2]。对于个人用户，EFF 的看法是：对许多人来说，VPN 并不是最重要的安全措施；它把端到端加密通讯列为影响更大的措施之一 ^[1]。