VPN 是如何工作的？

连接 VPN 时，你的设备会与 VPN 服务器建立一条加密隧道，此后你的上网流量先在隧道里送到服务器，再进入更广阔的互联网。网站看到的是服务器，而不是你；你所在的本地网络看到的是一条加密连接，而不是一张网站清单。

这一句话里藏着好几个步骤。本文跟随一次网页请求从头走到尾，让你看到什么被加密、在哪里加密、谁能看到什么，以及为什么 VPN 会改变你“看起来所在的位置”和网速。如果你刚接触这个概念，可以先读 VPN 是什么，再回到这里。

没有 VPN 时：正常路径

不用 VPN 打开网站，过程如下：

1. 浏览器向 DNS 解析器（通常由网络运营商提供）询问，把 example.com 这样的名称转换成 IP 地址。参见 DNS 的工作原理。
2. 设备经由路由器和网络运营商，把数据包发往该地址。
3. 网站把响应发回运营商分配给你的公网 IP 地址。

沿途，网络运营商和 Wi-Fi 运营者能看到目的地址和 DNS 查询。如果网站使用 HTTPS，他们读不到页面内容，但仍能看到你在访问哪个网站。网站看到的则是运营商分配给你的公网 IP 地址。

第 1 步：VPN 应用建立隧道

点击连接后，VPN 应用会联系 VPN 服务器，双方进行一次握手。握手中它们会：

• 互相验证身份。 服务器通过登录信息或密钥确认你是被允许的用户；应用也确认自己连接的确实是预期的服务器。
• 协商密钥。 利用公钥密码学，双方算出共享的秘密密钥，而无需把密钥本身通过网络发送。此后的一切都由这些密钥保护。
• 协商设置。 包括使用的加密算法，以及设备在隧道内使用的虚拟 IP 地址。

这套流程的规则叫做 VPN 协议。例子有 WireGuard、OpenVPN，以及 IPsec 配合 IKEv2（IPsec 的架构见 RFC 4301）。详见 什么是 VPN 协议。

第 2 步：设备创建虚拟网络连接

握手完成后，操作系统会得到一个虚拟网络适配器。可以把它看作第二块纯软件的网卡，它通向 VPN 服务器而不是路由器。系统随后修改路由表，让大部分流量走这个适配器。

这就是 VPN 应用常会请求权限，要在手机或电脑上添加 VPN 配置的原因：它要添加这个虚拟适配器并改写路由。有的 VPN 还允许设置例外，让指定应用绕过隧道，这种功能称为分应用走隧道（split tunneling）。

第 3 步：数据包被封装并加密

以一次请求为例，比如浏览器获取一个页面。浏览器生成一个发往网站的数据包，虚拟适配器随后进行封装（encapsulation）：

1. 原始数据包（包括它的目的地址）被加密，并附加验证数据，以便发现篡改。
2. 加密后的数据块被放进一个新的外层数据包，目的地址是 VPN 服务器。
3. 外层数据包经过你的正常连接发出，无论是 Wi-Fi、移动数据还是以太网。

对 Wi-Fi 运营者和网络运营商来说，看得见的只是你的设备与 VPN 服务器地址之间的一串数据包，真正的目的地在加密部分里。外层寻址遵循互联网协议（RFC 791）的常规规则。

第 4 步：VPN 服务器解包并转发

VPN 服务器收到外层数据包，用共享密钥解密，还原出你原来的请求，然后以服务器自己的公网 IP 作为来源，把请求转发给网站。从网站的角度看，访客就是 VPN 服务器。如果很多用户共用这台服务器，他们的请求看起来都来自同一个地址。

如果 VPN 同时处理 DNS（配置良好的 VPN 应该这样做），则由服务器或与之关联的解析器回答你的域名查询，这样本地网络就看不到。一旦这一环节失败，查询从正常连接中漏了出去，就是 DNS 泄漏。

第 5 步：响应原路返回

网站把响应发给 VPN 服务器的地址。服务器接收后，用会话密钥加密，封装进新的数据包，目的地是你设备在隧道内的地址，再通过互联网发给你。VPN 应用解密后，把原始响应交给浏览器，由浏览器显示页面。

每个数据包都重复这个过程，每秒多次。不过现代协议足够轻量，手机也能轻松应付。

谁能看到什么

角色	不用 VPN	使用 VPN
Wi-Fi 运营者或本地网络	目的地址和 DNS 查询，以及未加密的内容	到 VPN 服务器的一条加密连接，以及数据量
你的网络运营商	同上	同上一行：VPN 服务器地址和流量大小
网站	运营商分配给你的公网 IP	VPN 服务器的公网 IP
VPN 服务商	看不到	你的真实 IP、你连接的目的地和时间
HTTPS 页面的内容	仅浏览器和网站可见	仍然仅浏览器和网站可见

最后两行很关键。VPN 并没有消除观察者，而是把观察位置从本地网络和网络运营商转移到了 VPN 服务商，所以你信任谁，就成了核心问题。

为什么 VPN 会影响速度和位置

速度。 你的数据要绕道经过服务器，增加了距离，加密也带来少量处理开销。如果服务器距离近且不拥挤，差别可能很小；如果距离远或繁忙，就会比较明显。偶尔 VPN 看起来更快，是因为它走了比运营商默认路线更好的路径。

表观位置。 网站部分依靠 IP 地址估计你的位置。使用 VPN 服务器时，它们看到的是该服务器的地址，往往猜测一个靠近服务器的位置。但还有许多其他信号，例如账号资料、设备语言设置和应用里的 GPS 权限，依然可能暴露你的真实位置。

需要留意的地方

• 确认隧道已建立。 应用通常有已连接的提示，手机上会出现钥匙或 VPN 图标。如果连接悄悄断开，在没有 kill switch 阻断的情况下，流量可能不受保护地发出。参见 VPN kill switch 是什么。
• 设置后检查是否泄漏。 简短的测试可以确认你可见的 IP 地址和 DNS 请求对应的是 VPN 而不是运营商。
• 同时使用 HTTPS。 在隧道内，流量在离开服务器前受保护；从服务器到网站这一段，保护取决于网站是否使用 HTTPS。
• 记住终点。 在解密到转发之间，VPN 服务器能以解密后的形式看到流量（若有 HTTPS，则内容仍被其保护）。

小结

VPN 的工作方式是：先与服务器握手，在设备上创建虚拟网络适配器，把每个数据包加密后封装进发往服务器的外层数据包，再由服务器解密并用自己的 IP 转发出去。响应沿相反路径返回。结果是本地网络只看到一条加密链路，网站看到服务器的地址，而 VPN 服务商本身则成为能看到你流量目的地的一方。

如果你准备选择通行证，可以到定价页面了解 XPASS 的提供方式。