在酒店 Wi-Fi 上如何安全使用 VPN

长途飞行后到达酒店，拿起欢迎卡，点开 Wi-Fi 名称，跳出一个要你填房间号和姓氏的页面。不到一分钟，你就在查邮件、打开银行 App、回复消息，而这个网络上还有几百位你素不相识的住客。机场、邮轮和飞机客舱也是同样的情形：把网络分给一大群人用，而且通常都要先过一道登录页。

本文专门讨论这种场景：旅途中的 Wi-Fi 和家里的网络有什么不同，这些登录页（称为 Captive Portal）是怎么工作的，加上 VPN 之后先做什么、后做什么，以及它不配合时怎么办。如果想了解任何公共网络都适用的通用原则，请看如何更安全地使用公共 Wi-Fi；如果只想要连接步骤的简短版，帮助中心的在公共 Wi-Fi 上连接 VPN可以直接照着做。

为什么酒店和旅途中的 Wi-Fi 需要格外小心

家里的网络是你自己的：路由器是你选的，密码是你设的，谁连着也一清二楚。酒店网络则恰好相反。美国联邦贸易委员会（FTC）关于公共网络的建议也指出了同一点：许多公共网络并不安全，如果连接没有受到保护，同一网络上的其他人可能看到你发送的内容。

酒店和旅途中网络的几个特点，会让风险略微升高：

• 大量陌生人在同一个网络里。 酒店、机场和邮轮会把成百上千台设备接入同一套基础设施，其中任何一台都可能属于心怀不轨的人。
• 人人都知道的密码。 印在房卡或海报上的密码，所有人都知道。有些酒店甚至没有密码，只有一个登录页。共用密码并不意味着住客之间的流量是彼此隔离的。
• 名字相似的假网络。 有人可以建立一个叫“Hotel_Guest_Free”或“Airport Free WiFi”的热点，等设备自己连上来。在网络列表里，真网络和假网络看起来一模一样。
• 你无法检查的网络设备。 老旧或配置不当的酒店设备可能没有把住客彼此隔离，而你没有办法确认。
• 你更容易分心。 疲惫、倒时差、赶时间的时候，人们会点掉平时会认真看的提示。

这些并不意味着你应该一直离线，只是说明离开家之后，几个简单的习惯很值得养成。

Captive Portal 登录页是怎么工作的

酒店、机场、咖啡馆、邮轮和机上的大多数网络都使用 Captive Portal。它就是你第一次连接时弹出的页面，让你接受条款、输入房间号、填写邮箱、观看广告或者购买套餐。

在后台，网络会让你的设备加入并分配地址，但在你完成登录页之前，几乎会拦截所有流量。当手机或笔记本第一次尝试访问网站时，网络会把请求重定向到登录页。完成之后，网络会把你的设备（通常根据硬件地址）记录为已授权并放行，授权时间往往是有限的，比如 24 小时或整个入住期间。

理解了这个机制，就能解释大多数人在用 VPN 时遇到的怪现象：

• VPN 连接本身也是一种流量。在通过登录页之前，网络会把它拦住，所以 VPN 连不上。
• 如果加入网络时 VPN 已经开着，登录页的重定向可能永远到不了浏览器，因为流量是经隧道走向 VPN 服务器的，酒店网络没办法截获。结果就是页面一直加载不出来。
• 有些登录页会定期重置授权，把你送回登录页。如果这时 VPN 随之掉线，通常就是这个原因。

辨别真正的登录页

真正的酒店登录页只会向你索要酒店本来就知道的信息，比如房间号和姓氏，或者房卡上印的代码。如果页面在本应免费的网络上要你输入银行卡、索要邮箱密码，或者让你安装证书或应用才能继续，就要提高警惕，这些都是典型的网络钓鱼手法。CISA 关于识别钓鱼的指南值得再温习一遍。拿不准时，直接问前台哪个才是官方网络名称。

正确的操作顺序

顺序对了，大部分烦恼都会消失。无论在酒店、机场、贵宾室还是船上，都可以用这套流程：

1. 向工作人员确认网络名称。 看欢迎卡、海报上的准确名称，或者问前台。不要因为网络是开放的、名字里带“hotel”或“free”就直接加入。
2. 连接 Wi-Fi 并打开登录页。 如果登录页没有自动弹出，可以访问任意一个普通的 http:// 地址，或者酒店自己的网站，触发它出现。
3. 完成登录页。 输入房间号、代码或邮箱，并接受条款。
4. 确认真的能上网。 打开一个网页。如果打不开，先解决网络问题，再开 VPN。
5. 开启 VPN。 打开 VPN 应用并连接。XPASS 的用户使用免费的 VPNclient 应用，用 My Pass 页面上显示的 VPN 用户名和密码登录。
6. 等状态显示已连接，再验证。 打开一个网站，需要的话查看一下对外显示的 IP 地址，确认 VPN 已生效。帮助中心的如何检查 VPN 是否正常工作列出了具体步骤。
7. 然后再打开敏感应用。 邮箱、银行和工作账号，等 VPN 显示已连接之后再用。

万一忘了顺序，因为 VPN 已经开着而登录页打不开，就先关掉 VPN，完成登录页，再把 VPN 打开。

VPN 在酒店 Wi-Fi 上能做什么，不能做什么

VPN 在你的设备和 VPN 服务提供方的服务器之间建立一条加密隧道。酒店网络只能看到这条隧道，看不到隧道里的网站和应用。Cloudflare 关于 VPN 的科普对这个概念讲得很清楚。在一个你不信任的网络上，这恰好就是你缺少的那一层。

担忧	VPN 有帮助吗	说明
同一网络上的其他住客试图读取流量	有	隧道向本地网络隐藏了内容
酒店或机场工作人员看到你访问了哪些网站	大部分有	他们能看出你在用 VPN，但看不到里面的内容
名字相似的假网络	部分有	隧道限制了假网络能读到的内容，但仍然不应该连上去
钓鱼页面和假登录页	没有	VPN 不会判断页面是真是假
恶意软件或带毒下载	没有	保持设备更新，谨慎安装软件
索要过多信息的登录页	没有	你自己的判断才是防线
缓慢、拥挤的网络	没有	VPN 无法增加带宽

使用 HTTPS 的网站本来就会加密浏览器与网站之间的内容，这也是地址栏锁形图标有意义的原因。更多内容见HTTPS 与 VPN 的区别。两者是叠加的两层：HTTPS 保护每个网站的内容，而 VPN 还覆盖不使用 HTTPS 的应用，并且对本地网络隐藏你访问了哪些网站。

酒店、机场、邮轮和机上网络对比

原理到处都一样，但每个场所各有特点。

场所	典型配置	使用 VPN 时的预期
酒店	登录页要求输入房间号或代码，常常每台设备单独登录	通过登录页后通常可用；要求重新登录时 VPN 可能被打断
机场	接受条款或观看广告后免费使用，通常有时间限制	通过登录页后可用；会话可能过期，把你送回起始页
贵宾室或咖啡馆	登录页或海报上的密码	与酒店类似，但人更多、可控性更低
邮轮	通过卫星链路购买付费流量，按时长或流量计费	通常速度慢、延迟高；VPN 增加一点开销，可能需要更多耐心
机上	经卫星或空对地链路提供免费或付费档位	带宽非常有限；有些档位只允许发消息，部分航空公司还会限制某些流量

机场 Wi-Fi

机场人来人往，大家互不相识。最主要的危险是连上名字相似的假网络，所以要根据指示牌或机场官网确认准确名称。连上并通过登录页之后，在查邮件或登录任何账号之前先开启 VPN。机场的会话经常在 30 或 60 分钟后过期，新的登录页可能打断 VPN，因此重新连接之后要确认 VPN 仍处于连接状态。

邮轮 Wi-Fi

船上的网络通常经由卫星链路，延迟高，容量共享。套餐往往按分钟或流量收费。这一点很重要，因为 VPN 的加密会多用一点流量，而缓慢的链路也可能让连接超时。如果 VPN 连接得慢，等一分钟，不要反复点击连接。关闭在后台同步的应用也能省下流量额度。

机上 Wi-Fi

飞机上的网络限制最多。有些航空公司提供只能发消息的免费档位，只允许特定应用，在这个档位上 VPN 是用不了的。另一些则对完整上网收费。由于带宽由整个客舱共享，预计所有东西都会很慢。请阅读航空公司自己的条款，因为网络规则由航空公司制定，应当遵守。如果 VPN 连不上，可能只是你选的套餐的限制，而不是应用出了问题。

几个真实场景

出差的商务人士。 米娅为期两天的出差刚落地，在去开会前先连上酒店 Wi-Fi。她先完成了输入房间号的登录页，开启 VPN，然后才打开工作邮箱和共享文档。傍晚回来时，酒店要求她重新登录。她断开 VPN，登录页面，再重新连接。整个过程不到两分钟。

间隔年的学生。 丹尼尔辗转于多家青年旅舍，每家的网络都不一样。在其中一家，登录页怎么也打不开。他这才想起 VPN 还连着上一个地方的状态。他关掉 VPN，登录页出现了，登录后再把 VPN 开回来。从此他养成习惯：到新的网络先关掉 VPN，等登录页完成后再开启。

邮轮乘客。 普丽娅为这次航行买了 200 MB 的流量套餐。她知道链路很慢，所以不看视频，只在查银行余额和消息的那几分钟开着 VPN。她还关掉了照片备份，免得流量在后台被悄悄用掉。

远程办公的人。 汤姆在酒店工作一周。第二天，连接大约每隔一小时就掉一次。由于他在应用提供该功能时开启了 Kill Switch，当隧道掉线时，他的工作应用会停止发送数据，而不是悄悄切回酒店网络。想知道为什么这一点很重要，可以看看VPN Kill Switch 是什么这篇简短的说明。

VPN 连不上时怎么办

旅途中的网络是 VPN 问题最常出现的地方。请按顺序排查：

1. 确认已经通过登录页。 关掉 VPN，打开一个网页。如果被送回登录页，先把它完成。
2. 检查基本情况。 Wi-Fi 是否真的连上并且能上网？飞行模式和低电量模式是否已关闭？设备的日期和时间是否正确？
3. 稍等一会儿。 在船上、飞机上这类慢速链路，连接可能比在家里花更长时间。
4. 重新连接 VPN。 断开，等几秒，再连接。
5. 如果列出了其他连接方式，换一种试试。 My Pass 页面会列出你的通行证所支持的连接方式和设置说明。如果应用提供其他方式，有时换一种能适应不同网络的情况。
6. 忘记这个 Wi-Fi 网络再重新加入。 这样可以清除过期的会话，也可能让登录页重新出现。
7. 换一个网络试试。 用自己手机的流量（也可以开热点）是可靠的备选。如果在国外，使用前先向运营商确认漫游费用。
8. 阅读网络的使用规则。 有些网络会限制某些类型的流量，机上套餐尤其如此。如果网络不允许 VPN 流量，请遵守，而不是去找变通办法。

如果持续掉线，帮助中心还有一篇专门讲如何提高 VPN 连接稳定性的指南，内容更深入。

需要避免的常见错误

• 在登录页之前就开 VPN。 这是“Wi-Fi 已连接但什么都打不开”最常见的原因。
• 相信名字听起来对的网络。 一定要向工作人员确认准确的名称。
• 忽略证书警告。 如果浏览器提示网站证书无效，请停下来，不要在旅途中的网络上点击继续。
• 在登录页上提供不必要的信息。 只填必需的内容。真正的酒店不需要你的邮箱密码。
• 重新连接后忘记检查。 酒店网络可能会断开你的会话。使用敏感应用前，确认 VPN 仍然在连接状态。
• 一直开着文件共享。 在共用网络上，请在笔记本电脑上关闭 AirDrop、网络发现和文件共享。
• 以为 VPN 能解决一切。 它不能保护你免受钓鱼页面、带毒文件或弱密码的威胁。

下次出行的简短清单

出发前：

• 安装 VPN 应用，并在家里先测试登录。
• 把 VPN 用户名和密码保存在离线也能查到的地方。
• 更新手机、笔记本和浏览器。
• 为邮箱和银行账号开启双重验证。

到达后：

• 确认网络名称，完成登录页，并检查能否上网。
• 开启 VPN，确认状态为已连接。
• 关闭共享功能，在笔记本上使用普通用户账户。
• 优先访问使用 HTTPS 的网站，留意锁形图标。

对于真正敏感的事情，比如大额转账或含有机密数据的文件，用你信任的 SIM 卡的手机流量，比任何共享 Wi-Fi 都更干净。

总结

酒店、机场、邮轮和机上的 Wi-Fi 有同样的弱点：你处在一个自己无法控制的网络里，身边是许多陌生人。VPN 通过对这个本地网络隐藏你的流量来提供帮助，但它要排在 Captive Portal 登录页之后，而不是之前。先确认网络名称，完成登录页，确认能上网，再连接 VPN 并验证，然后才打开任何敏感内容。对邮轮和机上缓慢的链路保持合理预期，也要记住 VPN 并不能阻止钓鱼或恶意软件。

如果想在下一次旅行前备好 VPN，价格页面说明了预付通行证是如何运作的。