机场 Wi-Fi 上使用 VPN 要注意什么

机场是少数几个几乎所有人同时在线、赶时间又疲惫的地方。你要赶航班，要查订单，要给来接机的人发消息，而眼前的网络名叫"Airport_Free_WiFi"。难怪每次讨论公共网络安全，机场都是标准例子。

本文专门讲机场 Wi-Fi 与 VPN。内容覆盖候机楼和贵宾厅特有的情况：名字相似的山寨网络、登录认证页、安检排队时设备的行为、充电点，以及出发前该做的准备。本文不会说 VPN 能让你隐身，而是说明机场场景下哪些风险 VPN 能降低，哪些不能。共用网络的一般规则，可以配合阅读如何更安全地使用公共 Wi-Fi。

机场网络有什么不同

咖啡馆只有一台路由器和几十位顾客。机场是一座大建筑，有许多接入点，几千人全天候来来往往，还有好几个看起来相似的网络：机场自己的、航空公司贵宾厅的、连锁咖啡店的、商铺的，有时还有酒店或电信运营商的热点。

这种混合造成了在别处很少见的四种情况。

1. 许多网络名字相似。 可能有好几个都带着机场的名字，而你的手机还可能保存着以往旅行时连过的几个。
2. 时间压力。 登机口快关闭时，人们接受条款、授予权限和点击链接都会更快，而这正是攻击者所依赖的。
3. 每次都要过登录页。 多数机场 Wi-Fi 使用强制门户（captive portal），也就是在放行任何流量前，要求你接受条款、输入邮箱、验证码或手机号的页面。
4. 用户不断更替。 网络里的人每隔几分钟就换一批，你无从知道邻桌拿着笔记本的人是谁。

老实说，大多数机场 Wi-Fi 运维得当，大多数旅客用起来也没出过问题。需要小心的重点不在于每个机场都危险，而在于你无法仅凭名字分辨好网络和坏网络，所以你的保护不应该建立在"信任网络"之上。

主要风险，以及 VPN 对每一项的作用

机场里的风险	VPN 有帮助吗	说明
同网络的人读取未加密流量	有	隧道将你的流量对本地网络隐藏
网络运营方看到你打开了哪些网站	大部分有	他们只能看到通往 VPN 服务器的加密连接
名字相似的"邪恶双胞胎"网络	部分有	会加密通过的内容，但你仍可能处在会阻断或篡改连接的恶意网络上
假登录页或钓鱼页面	没有	VPN 不会判断页面是否真实
恶意下载带来的恶意软件	没有	需要更新和谨慎，而不是隧道
密码被偷看或盗取	没有	使用密码管理器和两步验证
设备被盗	没有	使用屏幕锁和设备追踪
官方人员检查设备	没有	这不是 VPN 能改变的

大部分价值来自前两行。许多网站和应用已经使用 HTTPS，它同样会加密你与网站之间的内容，参见 HTTPS 与 VPN 的区别。VPN 补充的是 HTTPS 没有覆盖的部分，比如你访问了哪些网站，以及那些不够谨慎的应用发出的流量。

邪恶双胞胎问题

"邪恶双胞胎"是被设置成与正规热点相似的恶意热点。有人带着一台笔记本和一个便宜的接入设备，就能把它命名为"Airport Free Wi-Fi"，如果名称与你手机保存的一致，手机可能自动加入。VPN 会加密经过的流量，限制了热点运营者能读到的内容，但并不能消除一开始就连上恶意网络的风险。所以下一节比任何工具都重要。

选对网络

在连接任何网络之前，请这样做。

1. 找到真正的名称。 看信息台附近、登机口或机场官方网站上的标识，或者直接询问机场工作人员或你所坐店铺的店员。
2. 只连那一个。 忽略多一个词、多一个数字、拼写不同或"free"位置不同的名称。
3. 删除不再需要的已保存网络。 在手机设置里"忘记"旧的机场、酒店和咖啡馆网络，并关闭自动加入开放网络。
4. 对不寻常的要求保持怀疑。 正规的机场 Wi-Fi 可能会要邮箱或手机号，但不应该要银行卡号、护照号、要求安装应用或社交账号密码。
5. 重要事务用自己的流量。 有当地 SIM 卡、eSIM 或漫游套餐的话，银行和工作登录就用它。先看清价格，以免账单惊吓。
6. 留意要求安装证书或配置描述文件的弹窗。 拒绝。正常的机场网络从不需要这个。

经常出行的话，如何选择出行用的 VPN里有更全面的清单，涉及应用、付费模式和套餐时长。

登录页：什么时候连接 VPN

这是最让旅客困惑的实际问题。许多机场网络会先显示一个页面，要求接受条款，之后网页才能打开。如果 VPN 已经在运行，它可能把第一个请求发进隧道，而这个请求被网络挡住，于是页面永远不出现。VPN 还显示"已连接"，但什么都打不开。

通常有效的顺序：

1. 关闭 VPN，或确认它没有连接。
2. 加入机场 Wi-Fi，打开任意一个普通网页来触发登录页。以 http 开头的普通地址往往更容易触发。
3. 接受条款或输入验证码。
4. 确认网络已经可用。
5. 打开 VPN，等它显示已连接。
6. 之后再打开邮箱、银行或办公工具。

如果通过页面后 VPN 仍然连不上，可以换一个位置、断开重连，或者关闭再打开 Wi-Fi。关于强制门户与 VPN 的问题的文章，以及帮助指南在公共 Wi-Fi 上连接 VPN，对步骤有更详细的说明。

Kill switch（断网保护） 是在 VPN 掉线时阻断上网流量的设置。机场里在登机口之间走动时连接经常掉线，所以它很有用。什么是 VPN Kill Switch一文解释了取舍：它能防止泄露，但网络变化时你可能需要手动重连。

出发之前

真正的保护大多发生在出租车到达之前。

• 在每台随身设备上安装并测试 VPN，用家里的 Wi-Fi，这样遇到问题可以从容解决。使用 XPASS 时，你用 My Pass 页面上的用户名和密码登录免费的 VPNclient 应用；预付方案见价格页面。套餐有效期从账号创建时开始计算，所以应在临近行程时购买，但要留足测试时间。
• 更新手机、笔记本和各类应用。 许多攻击利用的是更新已经修复的已知漏洞。
• 为邮箱、银行和旅行账号开启两步验证。 即使密码泄露，第二重验证仍能保护账号。
• 把证件离线保存。 截图或下载登机牌、酒店订单、签证信和地图。这样断网只是不方便而已。
• 充满电，自带数据线和充电宝。 这样就不必使用公共 USB 口。
• 设置屏幕锁，并开启查找设备功能。
• 规划哪些事用哪个网络。 提前决定：银行用移动数据；日常浏览和聊天可以用机场 Wi-Fi，并开着 VPN。

分阶段指南：每一步怎么做

安检排队时。 手机可能开始自动连接网络。在需要之前关闭 Wi-Fi，至少关闭自动连接。把设备放进包里，不要在别人看得到的地方打开敏感页面。

登机口。 多数人在这里联网。按上一节的顺序操作，使用防窥膜或调低亮度。走去商店时，不要让笔记本保持解锁状态。

贵宾厅。 贵宾厅 Wi-Fi 往往是独立网络，密码印在卡片上。因为使用的人较少，风险比普通候机区低，但仍是共用的。沿用同样的习惯。

飞机上。 机上 Wi-Fi 是另一个共用网络，有自己的登录页。建议相同。有些航空公司和国家对电子设备有规定，请遵从机组指示。

抵达时。 手机可能切换到漫游网络，或询问是否加入当地机场 Wi-Fi。连接任何网络之前，先确认手机没有设成自动加入。这是再次打开 VPN 的好时机。

机场里的钓鱼与假页面

机场里最常见的骗局并不是技术性的，而是看起来像航空公司、Wi-Fi 服务商或酒店订房网站的假页面。附带链接的"航班变更"短信、贴在桌上承诺免费 Wi-Fi 的二维码，以及声称设备需要更新的弹窗，套路都一样。

• 不要扫描陌生的二维码来获取 Wi-Fi 或机场服务，使用网络名称和官方应用。
• 自己进入航空公司的官方应用或网站，不要通过消息里的链接。
• 加入网络后自己弹出的页面，不要在上面登录，普通的网络登录页除外。
• 查看地址栏里的域名是否正确、是否有锁形图标，但要记住锁只表示连接已加密，并不代表网站值得信任。CISA 的钓鱼识别指南和我们的如何识别钓鱼网站讲解了该留意什么。

VPN 对这些骗局无能为力。它们针对的是人，而不是网络。

充电站与共用设备

公共 USB 口和充电柜很方便，但 USB 口既能传电也能传数据。尽量用自己的壁式充电头或充电宝。如果非用公共接口不可，仅充电的数据线或小型 USB 数据阻断器可以去掉数据针脚。不要在商务中心的共用电脑上办理银行或查看邮件；如果实在不得不用，结束后要完全退出登录并清除浏览记录。

场景示例

转机的一家人。 李家转机要等四小时，带着两部手机和一台平板。他们在家里设置好 VPN，在候机楼里加入机场真正的网络，只在一部手机上过登录页，然后在孩子玩游戏之前、家长查看邮件之前打开 VPN。平板只播放已下载的视频。

商务旅客。 卡琳娜要在登机口开视频会议。她加入网络，通过登录页，连接 VPN，打开公司的工具。涉及客户敏感文件时，她改用手机热点，因为公司政策更倾向于这样。

预算有限的学生。 汤姆乘坐廉价航空，没有漫游。他在家里下载好机票，只用机场 Wi-Fi 给房东发消息，并全程开着 VPN。

常见错误

• 连上看到的第一个 Wi-Fi 名称。
• 因为页面"看上去已经安全"就关闭 VPN。
• 在登录页之前就打开 VPN，然后疑惑为什么什么都打不开。
• 站在拥挤的队伍里登录网银。
• 使用公共 USB 口充电。
• 扫描二维码来连接 Wi-Fi。
• 行程结束后忘了关闭自动连接。

总结

机场 Wi-Fi 很方便，但它是共用的，你无法从名字判断一个网络。确认准确的网络名称，先通过登录页，再连接 VPN，之后才进行敏感操作。出发前做好准备：测试应用、更新设备、开启两步验证、离线保存证件。VPN 可以保护流量不被本地网络窥探，但无法阻止钓鱼、假页面或密码被盗。

如果一个短期的预付套餐适合你下次的旅行，可以在价格页面查看选项，并在下载页面找到适合你设备的免费 VPNclient 应用。