HTTPS 与 VPN 的区别：各自保护什么

很多人会问：现在大多数网站都用上了 HTTPS，VPN 还有用吗？客观地说，两者保护的是旅程中的不同路段。HTTPS 保护浏览器与某一个网站之间的对话；VPN 保护设备与 VPN 服务器之间的路径，并且对所有应用生效。了解各自的边界，你才知道该依赖什么，又不该期待什么。

本文把两者并排比较，说明在每种情况下，同一网络中的旁观者仍然能看到什么，并解释为什么两者都无法取代谨慎的习惯，比如识别钓鱼网站。

HTTPS 做了什么

HTTPS 就是普通的网页协议 HTTP，运行在由 TLS 建立的加密连接之内。当浏览器打开 https://example.com 时，双方先协商密钥，建立一条私密通道。目前的 TLS 1.3 版本定义在 RFC 8446 中。

这条通道提供三样东西：

• 机密性： 监视网络的人读不到正在交换的页面、表单字段或 Cookie。
• 完整性： 数据在传输中被修改一定会被发现，网络运营方无法悄悄向页面注入内容。
• 网站名称的身份验证： 服务器出示由受信任机构签发的证书，证明自己有权使用地址栏中的域名。像 Let's Encrypt 这样的免费机构，让小型网站也能普遍使用。

小锁图标反映的正是这些，仅此而已。

VPN 做了什么

VPN 在你的设备与 VPN 服务器之间建立一条加密隧道。设备发出的一切，无论来自浏览器、邮件应用还是游戏，都被包裹在隧道里，再由 VPN 服务器转发到互联网。如果想了解基础知识，请阅读什么是 VPN。

结果是：

• 本地网络，例如咖啡馆路由器或酒店 Wi-Fi，看到的是一条通往 VPN 服务器的加密数据流，而不是你的每一个连接。
• 网站看到的是 VPN 服务器的 IP 地址，而不是网络运营商分配给你的地址。
• 保护范围涵盖完全不使用 HTTPS 的应用。

VPN 的加密在 VPN 服务器处终止。从那里到目的地，流量走的是普通互联网，所以即使在 VPN 内，HTTPS 依然有价值。

并排比较

问题	仅 HTTPS	仅 VPN（网站使用普通 HTTP）	HTTPS 加 VPN
本地 Wi-Fi 所有者能读到页面内容吗？	不能	不能，但 VPN 运营方以及 VPN 服务器到网站之间的人可以	不能
本地网络能看到你访问的域名吗？	通常能，通过 DNS 查询和连接看到	不能，只看到 VPN 服务器地址	不能
网站能看到你真实的 IP 吗？	能	不能，看到的是 VPN 服务器	不能
会验证网站身份吗？	会，靠证书	不会	会
覆盖浏览器以外的应用吗？	仅限使用 TLS 的应用	覆盖	覆盖
能阻止恶意软件或假网站吗？	不能	不能	不能

一个例子：咖啡馆里的两种登录

你在咖啡馆里登录使用 HTTPS 的网银。

• 仅有 HTTPS。 同一 Wi-Fi 上另一位正在抓包的顾客，能看到你的手机连接了银行的域名，以及一串加密数据，但读不到密码或余额。如果有假热点冒充银行，浏览器会因为证书不匹配而发出警告。
• 再加上 VPN。 咖啡馆网络现在只看到一条通往 VPN 服务器的加密连接，银行的域名对它是隐藏的。银行看到的是 VPN 服务器的地址，这有时会触发账户的额外安全检查。

再设想一台旧设备，比如智能家居小工具或老旧应用，它使用的是普通 HTTP。HTTPS 对它毫无帮助，因为根本没有用上。VPN 可以保护这类流量不被本地网络看到，但只到 VPN 服务器为止。这个场景在公共 Wi-Fi 指南中有更详细的讲解。

HTTPS 仍会暴露的信息

即使 HTTPS 连接有效，网络上的旁观者通常仍能得知：

• 你连接的域名。它会出现在 DNS 查询中，也出现在 TLS 连接建立的过程中，虽然较新的技术可以隐藏其中一部分。参见 DNS 是如何工作的。
• 服务器的 IP 地址以及你连接的时间。
• 大致的数据量，这可能暗示你做了什么，比如看视频而不是读文章。

网站本身，以及嵌入页面的广告商和追踪器，同样能看到你的 IP 地址和你发给它们的一切。

VPN 仍会暴露的信息

使用 VPN 时，本地网络几乎只知道你在用 VPN 以及数据量的大小。但作为交换：

• VPN 运营方能看到你的流量要去往哪些目的地址，因为它负责转发。HTTPS 则限制了它能读取的内容。
• 网站仍能看到你的登录信息、Cookie 和你提交的一切。VPN 不会消除网站基于账号所做的追踪。
• 无论是否有隧道，你的设备仍可能通过浏览器特性和指纹识别被追踪。

关于哪些受到保护、哪些不受保护的完整清单，参见 VPN 能保护什么。

常见误解

• “有小锁就说明网站安全。” 它只说明连接已加密。钓鱼页面也可以为自己的地址拥有有效证书。
• “有了 VPN 就不需要 HTTPS。” 隧道到 VPN 服务器为止，之后那一段只有在网站使用 HTTPS 时才受保护。
• “HTTPS 能隐藏我访问了哪些网站。” 它隐藏的是你在网站上做了什么，而不是你连接了哪些域名。
• “两者都有就完全安全了。” 两者都无法阻止你在假页面上输入密码、安装恶意应用或重复使用已泄露的密码。

实用步骤

1. 输入任何密码或付款信息之前，检查地址栏是否为 https://，并仔细阅读域名本身。
2. 不要无视浏览器的证书警告。它意味着连接或网站身份不可信。
3. 在公共 Wi-Fi 上，对你无法检查的应用使用 VPN，同时仍然优先选择 HTTPS 网站。
4. 为重要账号开启双重验证，这样仅凭被盗的密码还不够。参见什么是双重验证。
5. 及时更新操作系统和浏览器，现实中大部分 TLS 和证书问题的修复都是通过更新送达的。

总结

HTTPS 对与某个网站的连接进行加密和身份验证，小锁只能确认这一点。VPN 加密设备与 VPN 服务器之间的一切，向本地网络隐藏你的活动，并替换他人看到的 IP 地址。两者相互补充，都不能代替你对“自己正在访问哪个网站”的判断。如果你想试用不会自动续费的 VPN，可以了解预付套餐如何运作。