Mesh VPN 是什么：安全连接你自己的设备

大多数人只以一种形式接触 VPN：一个把上网流量送往服务商所运营服务器的应用。但还有另一类名字相近、用途却大不相同的工具。它们常被称为 mesh VPN、叠加网络（overlay network）或零配置网络，作用是把你自己的设备相互连接起来，让笔记本电脑可以访问家里的服务器，手机可以打开台式机上的文件，小团队也能像在同一个办公室网络里一样使用共享的机器。

由于使用的词语相似，有时底层技术也相同，mesh 工具常与消费级 VPN 混为一谈。本文说明 mesh VPN 是什么、由哪些部分构成、与 WireGuard 这类协议是什么关系，以及与用于更安全使用公共 Wi-Fi 的那种 VPN 相比如何。文中不提及任何产品名称。这些思路适用于整个类别，你可以用它们来评判任何具体的工具。

共用一个词的两件不同的事

“VPN”这个词涵盖了两个相当不同的目标。

目标一：保护流量不被本地网络看到。 你在酒店或咖啡馆的网络上，希望浏览流量经由加密隧道，到达你信任的服务器，再由它转发到互联网。服务器由服务商运营，网站看到的是这台服务器的地址。这就是 VPN 是什么 一文所说的消费级 VPN。

目标二：访问你自己的机器。 你有一台家用服务器、一台工作笔记本电脑、一部手机，也许还有几台共用的电脑。你希望它们在任何地方都能私密、可靠地互相通信，而不必暴露在公共互联网上。这就是 mesh VPN 的工作。

两者都会建立加密隧道。但在第一种里，服务商的服务器是你流量的目的地；在第二种里，目的地是你自己的其他设备。把两者混淆，会让人对其中任何一个抱有错误的期待。

“Mesh”到底是什么意思

在传统的中心辐射式 VPN 中，每台设备都连接到同一个中心网关，两台设备之间的流量要经过这个网关。而在 mesh 中，设备在条件允许时彼此直接连接。可以把每台设备想象成一个节点，每一对需要通信的节点之间都有一条线。

Mesh 布局的好处包括：

• 路径更短。 同一座城市里的两台设备，不必通过另一个国家的网关来传送数据。
• 没有单一瓶颈。 网关不必承载一切。
• 更有韧性。 一个节点下线，其他节点之间仍可通信。
• 寻址简单。 每台设备通常有一个稳定的私有地址，无论它在哪里，你都可以用名称或数字找到它。

代价是，必须有人来协调这个群组，弄清设备如何互相发现并信任，并管理谁可以加入。这就是其他组成部分发挥作用的地方。

Mesh VPN 内部的组成部分

虽然工具各不相同，但大多数都由同样的几个部分构成。

加密隧道协议

最底层，两台设备需要一种方法来加密彼此之间的流量。许多现代 mesh 工具在这一层使用 WireGuard，这是一种小巧、快速、用于建立隧道的协议。WireGuard 的白皮书介绍了它的设计。也有工具使用别的协议。协议只负责隧道本身。更多背景请参阅 什么是 VPN 协议 和 WireGuard 与 OpenVPN 对比。

身份和密钥

每台设备都需要一个加密身份，也就是一对密钥，这样其他设备才能把它与冒名者区分开。手动设置很繁琐：每台设备都需要其他所有设备的公钥。Mesh 工具把设备身份与登录或设备审批步骤绑定，从而自动完成这件事。

协调服务

这是控制组件。它通常不传输你的数据。它的工作是保存设备列表、分发公钥、应用访问规则，并帮助设备互相找到对方。它可以是托管服务，也可以是你自己运行的东西，这就是人们说的自托管协调服务器。自己运行，可以让你掌控成员数据存放的位置，但你要负责安装、更新和安全。

连接发现（NAT 穿透）

大多数家用设备位于做网络地址转换的路由器后面，使用 RFC 1918 所描述的那类私有地址。两台这样的设备不能直接拨号给对方。Mesh 工具使用各种技术来“打洞”，从而在你无需手动开放端口的情况下建立直连。当无法直连时，例如在限制严格的网络上，流量可能会回退到中继，由中继转发已加密的数据包。

访问规则

设备连上之后，由你决定谁可以访问什么。好的工具允许你规定笔记本电脑可以访问文件服务器、但不能访问打印机，或者让访客设备只能访问一台机器。这一点很重要，因为一个所有设备都能访问所有设备的扁平网络，是更大的攻击目标。

Mesh VPN 与裸协议有何不同

人们常听到“mesh 工具与 WireGuard 对比”这样的说法。它们其实并不是可以互相替代的选择。WireGuard 是协议：它为你提供两个已配置端点之间的加密管道。Mesh 工具则是围绕协议构建的系统，补上了管道所缺少的部分。

问题	自行配置的 WireGuard	基于协议构建的 mesh 工具
谁管理密钥？	你，手动	协调服务
添加设备	在两端编辑配置	登录或批准设备
在家用路由器后面能用吗	需要开放端口或有公网端点	通常无需设置端口
访问规则	你在配置里写什么就是什么	内置策略功能
控制权与透明度	完全掌控，活动部件少	取决于工具和托管者
所需技能	中等到较高	较低到中等

如果你喜欢弄懂事物的运作方式，也希望活动部件少一些，手动配置的协议是个好老师。如果你想为多台设备图方便，mesh 工具能节省时间。无论哪种，你都要自己承担消费级 VPN 替你做好的那些决定。

托管还是自托管的协调服务

协调服务是敏感的组件，所以由谁运行值得认真考虑。

托管。 由别人运行。设置简单，更新有人负责，服务不费力气就能用。作为交换，你要把设备列表、密钥分发和访问规则托付给那家公司。请阅读它如何描述数据处理方式。

自托管。 你在自己掌控的服务器上运行。数据存放在哪里、谁来管理，由你决定。作为交换，你要承担安装、升级、备份、监控和安全。一台能从互联网访问的服务器上忘了更新，是真实的风险。自托管对有时间、有兴趣的人是不错的选择；如果它变成你忽略的杂务，就是糟糕的选择。

没有哪条路笼统地更好。正确的答案取决于你对便利和控制权各看重多少，以及你愿意承担多少维护工作。

Mesh VPN 与消费级 VPN

多数读者真正想要的是下面这个比较。

问题	Mesh VPN	消费级 VPN
主要目的	连接你自己的设备	让你的流量经由服务商的服务器
另一端是谁？	你自己的机器	服务商的服务器
网站看到什么	你原本的地址，除非流量经由出口设备	VPN 服务器的地址
保护公共 Wi-Fi 上的一般浏览	默认不能	能，这是它的核心用途
设置	需要一些技术步骤	安装应用并登录
你必须信任谁	协调服务和你自己的设备	VPN 服务商
费用模式	通常有免费档或面向团队的付费计划	订阅或预付通行证

请注意第三行。Mesh 网络为你的设备提供私有地址和彼此之间的路由，但它不会改变网站看到的内容，除非你还把某台设备设为互联网流量的出口。有些工具可以做到，不过这比安装消费级应用要小心得多，并且让保持那台出口设备安全且在线的责任落到你身上。

什么时候 Mesh VPN 合适

• 家用服务器或 NAS。 你想从任何地方访问自己的文件或媒体，又不想让服务器暴露在互联网上。
• 远程访问工作电脑。 个人或小团队需要登录共用的电脑。NIST 关于远程办公安全的出版物这类指引，强调限制谁能访问什么，并让远程访问系统保持最新补丁，mesh 工具对这两点都有帮助。
• 开发者和爱好者。 把测试机器、树莓派开发板或云实例连成一个私有网络。
• 家人的 IT 支持。 当两台设备都已登记时，远程帮亲戚解决电脑问题。
• 取代端口转发。 任何曾在家用路由器上开放端口并为此担心的人，都有明确的理由了解这一类工具。

什么时候消费级 VPN 是更好的工具

• 公共 Wi-Fi。 你希望在咖啡馆、酒店或机场的网络上保护自己的浏览。
• 出行。 你想在手机上打开应用，然后继续做自己的事。
• 没有折腾技术的兴趣。 你不想运行服务器或管理密钥。
• 没有设备可充当你自己的出口。 Mesh 网络需要在另一端有你自己的机器，而消费级 VPN 已经为你准备好了。

许多人最终两种都用：用 mesh 访问家里和单位的机器，在不可信的网络上使用消费级 VPN。它们解决的是不同的问题，并不冲突。

任何 Mesh 网络都适用的安全习惯

如果你决定自己搭建，几条规则能保障安全。

1. 保护控制网络的账号。 这个登录可以添加设备，所以要使用强且不重复的密码，并启用多因素验证。
2. 有意识地批准设备。 移除你不再使用或不认识的设备。
3. 使用访问规则。 只允许你确实需要的连接。
4. 保持一切为最新。 包括工具本身、操作系统，以及你通过它暴露出来的任何东西。
5. 不要开放超过需要的内容。 目的是访问特定的机器，而不是把整个家庭网络都开放出去。
6. 了解你的中继。 如果用到中继，要知道它转发的是已加密的数据包，并阅读工具对此的说明。
7. 准备恢复方案。 如果你丢了账号，或自托管的服务器出了问题，你要如何重新进入？

常见的误解

• “Mesh VPN 让我匿名。” 并不会。它连接的是你的设备，并不能让网站或运营协调服务的人看不到你是谁。
• “它能代替我在公共 Wi-Fi 上用的 VPN。” 只有在你配置了出口设备、并接受随之而来的工作量时才行。
• “WireGuard 是一个产品。” 它是协议，mesh 产品是围绕它构建的另一层。
• “自托管就意味着安全。” 它意味着你要负责。安全取决于维护得如何。
• “设备越多风险越大。” 不一定，只要访问规则严格。没有任何规则的扁平网络才是有风险的。

XPASS 的位置

XPASS 不是 mesh VPN。它出售固定天数的预付 VPN 通行证，通过 Stripe 用银行卡一次性付款，不会自动续费。通行证用于上文所述的第一类用途：在你无法掌控的网络上保护你自己的连接。付款后，登录信息和设置说明显示在“My Pass”页面，你可以用免费的 VPNclient 应用在 iOS、Android、Windows 或 macOS 上连接。如果你的需求是远程访问自己的电脑，mesh 工具才是合适的类别；至于出行和公共网络，请参阅 远程办公场景 页面。

小结

Mesh VPN 利用加密隧道协议、设备身份、协调服务、连接发现技术和访问规则，把你自己的设备直接连成一个私有网络。它不同于 WireGuard 这样的协议（那只是隧道），也不同于消费级 VPN（后者把你的流量送往服务商的服务器，以便更安全地使用不可信的网络）。想访问自己的机器时选择 mesh 工具，在公共 Wi-Fi 和出行时选择消费级 VPN，并诚实地评估自己愿意承担多少设置和维护工作。无论用哪种，都要保护好控制它的账号，并让一切保持更新。

如果简单的短期通行证适合你出行或使用公共网络的场景，价格页面会显示目前可选的内容，VPN 是如何工作的一文则说明了背后的基础知识。