VPN 安全吗？它能保护什么，风险又在哪里

人们问“VPN 安全吗”，通常是两种意思之一。有的人是想问“它能保护我吗”，有的人是想问“它自己会不会伤害我”。两个问题都合理，诚实的回答也一样：取决于你想让它做什么，以及你选了哪家服务。VPN 对一类特定的事情有用，主要是在你无法掌控的网络上加密你的连接，并改变网站看到的地址。它不是力场护盾。

本文用平实的语言说明 VPN 保护什么、风险在哪里、VPN 会不会被攻破，以及怎样安全地使用。如果你刚接触这个话题，可以先读 VPN 究竟能保护什么，再回到这里。

简短的回答：对什么而言安全，又是防谁

只有说清楚威胁是什么，“安全”才有意义。VPN 擅长应对某些威胁，对另一些则完全无关。

• 同一 Wi-Fi 上的人窥视你的流量。 VPN 帮助很大。设备与 VPN 服务器之间的流量是加密的，所以咖啡馆网络的运营者看到的是一条加密链路，而不是你访问的网站。
• 网络运营商看到你连接了哪些网站。 VPN 会对运营商隐藏目的地，但这种可见性转移到了 VPN 服务一方。
• 网站看到你家里的 IP 地址。 VPN 会用 VPN 服务器的地址取而代之。
• 钓鱼邮件或假的登录页面。 VPN 帮不上忙，它分不出网站的真假。
• 设备上的恶意软件。 VPN 阻止不了它，而恶意软件甚至能在数据被加密之前就读取数据。
• 有人猜到或盗走你的密码。 VPN 与此无关，真正重要的是强而唯一的密码和两步验证。

所以，VPN 的“安全”是指：按预期使用时，它确实能减少某些暴露面。但它不意味着“从此不会再有坏事发生在我身上”。任何声称 VPN 能让你百分之百安全或攻不破的说法，都应让你对说这话的服务多留一个心眼。

VPN 确实能保护什么

VPN 在你的设备与 VPN 服务提供的服务器之间建立一条加密隧道。加密会把数据打乱，使途中截获的人无法读懂。Cloudflare 和 NIST 在各自的指南中给出了这一思路的说明，见参考资料。在实践中，这带来三方面的好处。

1. 在不可信网络上提供保护。 在酒店、机场或咖啡馆的公共 Wi-Fi 上，网络里的其他人可能观察到未加密的流量，网络运营者也能看到你的连接去向。FTC 关于公共 Wi-Fi 的建议提到了这些风险，并把 VPN 视为有用的防护手段之一。详见 如何更安全地使用公共 Wi-Fi。
2. 对本地网络和网络运营商隐藏你的活动。 他们看到的是通往 VPN 服务器的连接，而不是一份网站清单。
3. 对网站隐藏你的真实 IP 地址。 网站看到的是 VPN 服务器的地址。这并不能让你匿名，但去掉了一种标识。

大多数网站已经使用 HTTPS，它会加密你与该网站之间的页面内容。VPN 与 HTTPS 的作用有重叠但并不相同：HTTPS 保护的是与某一个网站的对话，而 VPN 保护的是你的设备到 VPN 服务器之间、对所有应用生效的路径。加密正是让隧道里的内容对外人不可读的关键。

VPN 不能保护什么

这一部分决定了 VPN 用起来是让人安心还是让人失望。VPN 不会：

• 拦截恶意软件、病毒或勒索软件。 通过 VPN 下载了被感染的文件，它依然是被感染的。
• 阻止钓鱼。 通过 VPN 打开的假银行页面依然是假的。识别假页面是另一门功课。
• 保护弱密码的账号。 如果别人拿到了你的密码，网络路径就无关紧要了。
• 在你登录时隐藏你是谁。 你登录的网站知道账号是你的，不论有没有 VPN。
• 彻底阻止追踪。 Cookie、浏览器指纹和你填写的信息仍然可以识别你。
• 让违法行为变得合法或安全。 VPN 不是许可证，本文也不是教你规避执法或违反网站条款的建议。
• 保证匿名。 参见 VPN 无法保护你的哪些方面。

如果只记一条规则，那就是：VPN 保护的是连接，而不是人，也不是设备。

真正的风险在哪里

围绕 VPN 的风险，大多不在加密本身，而在周边的选择。

对 VPN 服务的信任

连接之后，VPN 服务就站在了你的流量中间。网络运营商不再看到你访问的网站，但 VPN 服务在原则上可以看到目的地和时间。这不意味着某个服务会滥用，但它说明选择服务本质上是一种信任的决定。请阅读隐私政策，了解运营者是谁，并警惕含糊的措辞和夸大承诺的服务。我们的指南 付费购买 VPN 之前要检查什么 列出了值得问的问题。

免费应用和来路不明的应用

运行服务器、开发应用都要花钱。免费 VPN 必须以某种方式养活自己：可能是广告、使用限制、付费升级，或收集并出售数据。来自非官方商店的陌生应用风险更大，因为恶意的“VPN”应用可能索取过宽的权限，并把你的流量经由自己的服务器转发。请只从官方应用商店或服务商自己的网站安装应用，并留意它索取的权限。

过时的软件和薄弱的设置

旧版 VPN 应用和旧协议可能存在已知缺陷。NIST 的 VPN 指南强调，配置与维护同技术本身一样重要。请保持应用和操作系统为最新，并使用服务商推荐的连接方式。WireGuard、OpenVPN 之类的协议名称，说明的是隧道是如何建立的。

泄漏与掉线

再好的 VPN 也可能悄无声息地出问题。DNS 泄漏 会让你的域名查询跑到隧道之外；连接掉线 会让应用改走普通网络，而你并没有察觉。你可以定期检查 VPN，并在应用或系统提供时使用断网保护（kill switch）来降低风险。参见 什么是 DNS 泄漏。

你自己的习惯

重复使用密码、点击陌生链接、随意安装软件、不理会更新，仍然是账号被入侵最常见的原因，不论有没有 VPN。

VPN 会被攻破吗

会，因为任何软件或服务都可能存在漏洞，所以千万别相信 VPN 是攻不破的。与 VPN 有关的入侵，现实中大致经由以下途径：

薄弱环节	可能出什么问题	如何降低风险
你设备上的 VPN 应用	漏洞或恶意的假应用暴露你的数据	从官方来源安装，并保持更新
你的 VPN 登录信息	有人冒用你登录	使用强而唯一的密码，绝不分享
VPN 服务商的服务器	配置错误或被入侵导致元数据泄露	选择你能评估的服务，避开来路不明的
协议或设置	过时或薄弱的配置可能被攻击	使用服务商推荐的当前连接方式
你的设备	恶意软件在数据加密之前读取它	保持系统更新，避免来路不明的文件

截获被正确加密的流量非常困难。攻击者通常会选更容易的目标：人、设备、密码，或维护不善的服务。这就是为什么基本的安全习惯比任何单一产品更重要。

安全使用 VPN 的例子

住酒店用 Wi-Fi 的旅行者

你在几百位住客共用的酒店网络上查邮件、叫出租车。VPN 让其他住客和酒店网络无法观察到你用了哪些服务。你仍然需要用强密码和两步验证登录，因为 VPN 无法保护一个密码已被盗的账号。

校园 Wi-Fi 上的学生

你在图书馆学习，用到了一个以前从未安装过的应用。VPN 并不会审查那个应用。你应该先在应用商店里查看发布者和它索取的权限，因为 VPN 保护的是路径，而不是应用本身。

咖啡馆里的远程办公者

你打开公司的内部工具。如果雇主提供了自己的 VPN 或访问规定，请先遵守。个人 VPN 在咖啡馆网络上增加一层保护，但它不能取代雇主的要求。离开座位时请锁定笔记本电脑。

在移动数据上办理网上银行

银行应用本来就使用加密连接。在你信任的移动网络上，VPN 增加的价值很有限。更大的风险是钓鱼信息和假应用，而这些 VPN 都管不到。

一份简单的安全清单

1. 选择你能评估的服务。 优先选择清楚说明自己是谁、如何收费、如何取消或不续期的服务。对含糊的承诺保持警惕。
2. 只从官方来源安装。 使用服务商告诉你使用的应用。XPASS 的用户使用免费的 VPNclient 应用连接，并用 My Pass 页面上显示的用户名和密码登录。
3. 保护好 VPN 的登录信息。 把它当作其他密码一样对待，绝不公开张贴。
4. 让所有软件保持更新。 包括应用、操作系统和浏览器。
5. 确认它正在工作。 对比开启和关闭 VPN 时的公网 IP，并在处理敏感事务前查看状态。
6. 同时使用其他防护。 强密码、密码管理器、两步验证，以及对链接的警惕。
7. 不要把它用在不属于它的任务上。 VPN 是为连接而生的，不是用来清除恶意软件或证明你匿名的。

常见错误

• 把 VPN 当成完整的安全套件。 它只是其中一层。
• 选择宣传口号最响亮的服务。 “军用级”“攻不破”“100% 匿名”之类的绝对说法是营销，不是证据。
• 所有账号都保持登录，却期待隐私。 已登录的账号会识别出你。
• 忽视状态指示。 掉线的连接可能很长时间都没人察觉。
• 为了“多一份安全”再装第二个、第三个 VPN 应用。 应用越多，通常意味着冲突越多，要信任的对象也越多。
• 用 VPN 来违反规则。 VPN 不会让违法行为变得安全，网站和工作单位也可能有条款禁止某些用法。

小结

当你让 VPN 去做它本来要做的事时，它是安全而有用的：在你无法掌控的网络上加密连接，对本地网络和网络运营商隐藏你的浏览行为，并向网站显示另一个 IP 地址。把它当作恶意软件、钓鱼、弱密码或追踪的解药，则是不安全的。最大的现实风险，是信任了错误的服务、安装了可疑的应用、跳过更新，以及认为不会出任何问题。谨慎选择，保持更新，并把 VPN 与良好的习惯结合起来。

如果你想了解按固定天数购买、不会自动续费的 VPN 通行证，可以到定价页面看看 XPASS 通行证是如何运作的。