怎样挑选更安全的 VPN：值得检查的功能

“最安全的 VPN”是一句好卖的话，也是一句容易误导人的话。没有 VPN 是绝对安全的，也没有哪个榜单能给每个人加冕一个冠军。你能做的是，检查那些真正能降低风险的功能，并尽量在自己的设备上验证它们。一个安全的 VPN，是用可靠的密码学保护传输中的数据，出问题时能安全地失效，得到妥善维护，并且不会成为你账户体系中最薄弱的一环。

本文给你的是一份清单，而不是排名。你会了解哪些安全功能重要，每一项防的是什么，怎样确认它真的有效，以及哪些营销用语要谨慎对待。它与我们的 VPN 安全吗 互为补充：那篇从风险角度出发，这篇关注的是挑选之前该检查什么。

安全是一组“失败方式”，不是一枚徽章

先弄清 VPN 应该保护什么：你的设备到 VPN 服务器之间的这段路径。在这段路径上，本地网络的运营者或攻击者原本可以读取或篡改你的流量。Cloudflare 对 VPN 的介绍把这个隧道的概念讲得很好。于是，安全就意味着回答四个问题。

1. 隧道够强吗？ 数据是否经过标准的、被充分审查的密码学处理，使窃听者得不到有用的东西？
2. 失败时安全吗？ 如果连接中断或某个组件泄漏，你的流量是继续受保护，还是悄悄从敞开的门流了出去？
3. 软件可信且有人维护吗？ 它是否来自官方渠道、有更新、会修复自己的漏洞？
4. 你的账户受保护吗？ 别人能否用你的凭据登录并使用或滥用你的服务？

每个问题对应一组功能。服务商往往大谈第一个，对其余三个着墨很少，而现实中的事故通常出在后三个上。比较各个选项时，请四个问题都放在心上。

加密与协议：不是专家也能看的要点

检查这一层，你不需要是密码学家，只需问三个简单的问题。

• 应用使用什么协议和加密？ 值得信赖的服务商能说出名字。经过广泛审查的选项包括开源设计的 WireGuard、OpenVPN，以及 IKEv2 搭配 IPsec。WireGuard 项目发布了一份简短的技术白皮书，NIST 也发布了关于 IPsec VPN 的指南，你可以由此看到一个规范完善的设计是什么样子。文章 WireGuard 与 OpenVPN 对比 比较了这两个常见选择，什么是 VPN 加密 则讲解基础。
• 设计是否公开并经过审查？ 被许多人检验了多年的密码学，比一个保密的设计更安全。没有任何公开说明的“专有协议”是应当追问的理由，而不是卖点。
• 用的是现行版本吗？ 例如 RFC 8446 中描述的 TLS 1.3，去除了好几个旧的弱点。仍然依赖过时配置的服务商，值得更少的信任。

新手不需要切换协议。实用的建议是：保持应用默认设置，除非客服另有建议，并对说不清自己用了什么的服务商保持警惕。如果你听说过量子计算机，后量子 VPN 加密 解释了今天哪些需要担心、哪些不需要。

失效保护功能：kill switch、重连与泄漏防护

这一组最常把做得好的 VPN 与草率的 VPN 区分开，因为在手机和笔记本上连接总是在中断。

Kill switch。 VPN 连接失败时，kill switch 会阻断流量，直到隧道恢复。如果没有它，设备可能悄悄回退到普通连接，用你的真实地址发送流量。什么是 kill switch 介绍了各种形式，包括阻断一切的和只阻断指定应用的。

自动重连。 手机从 Wi-Fi 切换到移动数据时，VPN 应当自己重建隧道，无需你操作，最好在切换的间隙也不泄漏。

DNS 泄漏防护。 每次访问网站都从域名查询开始。如果查询走到了隧道之外，网络运营者仍能看到你请求了哪些网站。DNS 泄漏 很容易测试。

IPv6 处理。 如果你的网络提供 IPv6 而 VPN 只处理 IPv4，部分流量就可能绕过隧道。参见 什么是 IP 泄漏。

WebRTC。 浏览器可能通过一项为通话设计的功能暴露地址。WebRTC 泄漏 是浏览器层面的问题，好的 VPN 指南都会提到它。

这些东西不会出现在主打的宣传里，但它们决定了隧道在普通的某个星期二是否真的在保护你。

软件卫生：更新、来源与审查

VPN 应用对设备的网络有很深的访问权限。它的一个漏洞可能比普通应用的漏洞更要紧，所以它如何构建、如何分发，也是安全的一部分。

• 官方渠道分发。 从官方应用商店或服务商自己的下载页安装。山寨应用确实存在，而假 VPN 是你能在设备上运行的最糟糕的东西之一。
• 定期更新。 在商店页面查看最近一次更新日期和更新说明。多年无人维护的应用会不断积累漏洞。
• 公布的安全联系方式或政策。 说明如何报告漏洞的服务商，是认真对待安全的。
• 代码审查。 开源客户端允许外部审查。对应用或基础设施的独立评估也有帮助，但要看日期和范围，因为对去年版本的评估不能覆盖今天的版本。
• 最少权限。 应用应该只需要网络权限，其他几乎不需要。
• 对你的平台有明确支持。 你的操作系统有官方应用，比手动变通方案更安全。

想进一步了解为什么远程办公的安全指南也关心客户端这一侧，NIST 关于远程办公的出版物值得一读。

账户安全：人们最容易忘记的部分

你的 VPN 账户是一扇门，被偷走的钥匙能够击败再强的加密。

1. 使用唯一的密码，不在其他任何地方复用，并存放在密码管理器里。
2. 查看是否提供双重验证。 CISA 的 More than a Password 页面解释了为什么第二重验证能阻止大多数账户被盗。
3. 看登录凭据怎么送达。 敏感的登录信息不该随意通过邮件传送。许多服务只在登录后的页面里显示。
4. 知道如何更换凭据。 怀疑泄露时，你应当能够更改密码或申请新的信息。
5. 留意会话控制。 能够查看或结束活动会话是个好迹象。

如果你还把服务商的邮箱或登录链接用于网站，也请用双重验证保护那个邮箱。什么是双重验证 用通俗的语言讲了各种选项。

功能对照表：防什么，如何验证

功能	防范什么	如何自己验证
现代加密与公开的协议	本地网络或服务商处的窃听	看服务商是否说明协议和密码算法，并与公开规范对照
Kill switch	隧道中断时的暴露	连接后关闭再打开 Wi-Fi，看流量是否在无保护的情况下继续
自动重连	切换网络后的空档	从 Wi-Fi 切到移动数据，观察状态指示
DNS 泄漏防护	隧道之外可见的域名查询	连接状态下使用 DNS 泄漏测试
IPv6 处理	IPv6 网络上绕过隧道的流量	连接状态下运行 IPv6 测试
官方且持续更新的应用	有漏洞或伪造的软件	检查商店页面、开发者名称和最近更新
账户双重验证	账户被盗	在账户设置里找这个选项
最少权限	应用越权	查看安装时应用申请的权限

注意，大多数行都能在几分钟内、不借助任何特殊工具完成检查。我们的 测试 VPN 指南一步步带你做泄漏、速度和 kill switch 的检查。

解读营销用语

安全方面的文案满是形容词。常见的几种这样读：

• “军用级加密”。 没有技术含义。问清用的是什么算法和协议，再与公开标准对照。
• “牢不可破”或“不可能被黑”。 当作警示信号。强密码学不等于安全的系统。
• “银行级安全”。 含糊。银行使用多层措施，其中大多数是 VPN 无法替代的。
• “零知识”。 有时用得很随意。问清楚服务商究竟看不到什么，并在政策里找细节。
• “已审计”。 问是谁、什么时候、什么范围，报告是否公开。
• “安全服务器”。 人人都这么说。找关于服务器如何管理和更新的具体说明。

规律很简单：一个你能检验的精确说法，胜过一个你必须全盘接受的宽泛说法。能够说清自己具体做了什么、保护到哪里为止的服务商，通常工程上也做得更好，而不是什么都承诺的那种。

15 分钟的自查

选定服务商后，在依赖它之前先测试。这是较长指南的简版。

1. 检查安装来源和商店页面上的开发者名称。
2. 连接并确认有变化。 公网 IP 地址应当与连接前看到的不同。参见 如何检查 VPN 是否在工作。
3. 连接状态下做 DNS 泄漏测试。 显示的解析器不应当是你平时的网络服务商的。
4. 做 IPv6 测试。 如果你的网络支持 IPv6，不应当显示你真实的 IPv6 地址。
5. 切换网络。 关闭再打开 Wi-Fi，从 Wi-Fi 切换到移动数据。看应用如何反应，是否有数据在隧道之外发送。
6. 开启 kill switch（如果有），然后重复第 5 步。
7. 查看账户区域。 找修改密码、双重验证以及会话列表。
8. 记下应用的更新日期，并设一个三个月后再查看的提醒。

任何一步失败，都是一个发现。它可能意味着需要修改某项设置，也可能意味着这个服务商不是个好选择。

三个人，三种优先级

在酒店和机场 Wi-Fi 上办公的顾问。 卡拉在笔记本上处理客户文档。她的优先级是出问题时的安全行为：隧道中断时阻断流量的 kill switch，在网络之间切换时可靠的重连，以及泄漏防护。她给每个工作账户都启用了双重验证，并在每次出差前测试 kill switch。

一部手机包办一切的家长。 老魏用手机办理银行业务、接收学校消息和购物。他的优先级是官方且持续更新的应用、最少的权限和简单的账户安全。他一直保持手机系统更新，因为 VPN 修不好一部过时的手机。

使用共享网络的学生。 普丽娅在宿舍用笔记本。她的优先级是 DNS 和 IPv6 泄漏防护，因为宿舍网络就是风险所在。她在安装后测试一次泄漏，并在系统大更新后再测一次。

他们三位都不需要花哨的功能，需要的是经过验证的、扎实的基础设计。

安全的 VPN 仍然做不到的事

诚实地说明局限，是评估的一部分。

• 它无法保护已经感染了恶意软件的设备。
• 它无法阻止你在假网站上输入密码。识别钓鱼网站 是另一项技能。
• 它无法让本身做得很差的网站变得安全。
• 它无法保证服务商是诚实的，只能给你一些证据去评估。
• 它无法让你匿名或隐形。

这些局限正是最佳选择是多层防护的原因：系统更新、唯一密码、双重验证、谨慎点击，再加上一个把自己的本职工作做好的 VPN。

总结

安全的 VPN 不是宣传得最响的那个。它使用公开并经过审查的加密；通过 kill switch、重连和泄漏防护安全地失效；从官方渠道分发并保持更新；并用良好的身份验证保护你的账户。逐项检查，在自己的设备上测试，对无法验证的形容词保持怀疑。

如果一个简单的预付通行证适合你亲自检验这些要点，价格页面 展示了它是怎么运作的，下载页面 列出了官方应用链接。