开了 VPN，公共 Wi-Fi 上的黑客还能看到什么

很多人想象中的公共 Wi-Fi 黑客，是坐在隔壁桌、能看见你打开每一个页面的人。开了 VPN 之后，这个画面大部分已经不成立，但也不是完全不成立。比起问“安全不安全”，更有用的问题是：坐在邻座的攻击者仍然能了解或做到什么，隧道又真正替你挡掉了什么。

本文就针对标题里的这个具体场景：在咖啡店、酒店、机场或共享办公室的网络上开着 VPN。我们会依次说明哪些信息被隐藏、哪些仍然可见、哪些攻击 VPN 根本管不到，最后给出一套简短的操作流程。关于公共网络的整体习惯，可以再看如何更安全地使用公共 Wi-Fi。

没有 VPN 时，同一 Wi-Fi 里的人能做什么

要判断 VPN 去掉了什么，先要知道没有它时有哪些可能。连到同一个接入点的人处在同一片无线空间里，在很多网络中还处在同一个本地网段。掌握基础工具的人可能做到下面这些事。

• 被动监听。 在开放网络或共用密码的网络中，其他用户有可能截获空中传输的数据。现代网站用 HTTPS 隐藏页面内容，但目标名称和数据量仍然可见。
• 看出你联系了哪些网站。 即使页面内容已加密，你请求的域名通常仍会被网络所有者或监听连接的人看到。
• 架设假热点。 恶意设备可以使用与真网络相同的名称。设置了自动连接已知网络的手机，可能在你不知情时连上去。
• 把你引到别处。 在管理不善的网络上，攻击者可能尝试用虚假信息回应设备的查询，使对某个地址的请求被带到别处。
• 探测你的设备。 同网络的其他电脑可能尝试访问你笔记本上开着的文件共享、远程桌面等服务。

这些正是消费者保护机构建议谨慎使用共享网络的原因。美国联邦贸易委员会（FTC）用通俗的话解释了公共 Wi-Fi 的风险，其中关于 HTTPS 和及时更新的建议，在你开启 VPN 之后依然适用。

VPN 隧道从攻击者手里拿走了什么

VPN 连接后，你的设备会把上网流量包进一条通往 VPN 服务器的加密隧道，只有这条被包起来的数据流经过 Wi-Fi。想了解原理，可以读 Cloudflare 对 VPN 的说明。对共享网络而言，结果如下。

攻击者想要的信息	没有 VPN	VPN 已连接
你打开了哪些网站	以域名形式可见	隐藏在隧道内
未加密网页或应用的内容	可读	隐藏
你的域名查询（DNS）	在本地网络中可见	应用正确处理 DNS 时在隧道内传输
本地网络中悄悄改道请求	在薄弱网络上可能	难得多，因为你的流量不再以普通本地请求的形式传送
后台有哪些应用在通信	常常能猜到	看不到

所以主要收益是隐藏内容和目的地。坐在旁边截获 Wi-Fi 数据的人，拿到的只是发往单一地址、无法阅读的加密数据。

这个收益在不同设备上大小不同。手机和笔记本会在后台不停联系服务器，用于更新、同步、备份和通知。其中很多连接并非你点击触发，所以你无法靠看地址栏的小锁来判断。隧道一次性覆盖了所有这些连接，这也是为什么即使你只浏览“看起来安全”的网站，它仍然有用。

即使开着 VPN，网络上仍然能看到什么

必须把剩下的部分说清楚，因为过度自信正是出问题的地方。

1. 你在这个网络里。 接入点能看到设备的硬件地址和连接。不少手机会为每个网络随机化这个地址，有帮助，但并非所有设备都这样。
2. 你在使用 VPN。 观察者能看到发往某个地址、特征像隧道的流量。读不了内容，但往往能判断那是隧道。
3. 流量多少和时间。 数据量和时间点可见。持续的大流量像视频，短促的突发像聊天。没人能读到内容，但模式是存在的。
4. VPN 服务器的地址。 设备要先联系 VPN 服务器才能建立隧道，这个地址是可见的。
5. 隧道建立之前的一切。 如果 VPN 还没连上，或已经掉线，你的流量会在重连之前以明文方式发出。

最后一点是实践中的弱点。手机和笔记本一进入网络就开始发送数据：检查邮件、更新应用、云同步。如果你在连上 Wi-Fi 三十秒后才开 VPN，最初那批请求已经没有保护地发出去了。如果你的 VPN 应用提供断线保护（kill switch），可以减轻这个问题，原理见VPN 断线保护是什么。

公共 Wi-Fi 上 VPN 拦不住的攻击

网络只是出问题的地方之一。下面这些事，VPN 帮不上忙。

• 虚假登录页。 很多咖啡店网络的入口页会让你同意条款或填邮箱。仿冒网络可能展示索要更多信息的页面，比如银行卡号、社交账号密码、手机号。VPN 不判断一个页面是否诚实。CISA 关于识别钓鱼的指引，以及我们的如何识别钓鱼网站，才是这里该用的工具。
• 设备上的恶意软件。 如果已经装了恶意程序，或者你按热点页面上“必须更新”的提示安装了它，它能在隧道加密之前读取数据。
• 弱密码或重复使用的密码。 VPN 不会让泄露的密码失效，能做到这一点的是双重验证。
• 设备自身的权限设置不当。 出门在外时，文件共享、屏幕共享和远程登录都应关闭。
• 有人偷看屏幕。 这是人的问题，不是网络的问题。

更完整的清单见VPN 无法保护你的哪些方面。

HTTPS 是不是已经够用了

对网页来说，大体上是。网站使用 HTTPS 时，页面内容、你提交的表单和随请求发送的 Cookie 都在浏览器与网站之间加密，Wi-Fi 上的攻击者只靠监听读不到你的密码。我们对 HTTPS 与 VPN 的比较详细说明了两者的分工。

HTTPS 不隐藏的是网站名称，而且它只覆盖真正使用它的流量。下面是共享网络上这个缺口起作用的几个例子：

• 通过设置不当的连接与自家服务器通信的应用。
• 本地网络里的智能家居或打印设备。
• 因为你输入地址时没带安全前缀，而悄悄降级成普通 HTTP 的网站连接。
• 没有任何可见小锁、却在后台向公司上报数据的服务。

只依赖 HTTPS，浏览器这部分覆盖得很好，其余部分参差不齐。VPN 能把这些拉平。如果两者都用，看着 Wi-Fi 的人既看不到页面内容，也看不到网站名称。

一个真实场景：机场的咖啡店

假设旅客小莎因航班延误在候机。她连上“Airport_Free_WiFi”，同意了条款页，打开邮箱，又查了一下银行余额。

没有 VPN 时，附近带着笔记本的攻击者最多能做到：记下她访问了银行的域名，记下她用的是哪家邮件服务；如果她连的是同名的假热点，还可以给她展示一个看起来很可信的登录页。

如果她在条款页之后立刻开启 VPN，情况会这样变化：

1. 她的邮件和银行流量处在隧道内，攻击者只能看到发往一个地址的加密数据。
2. 攻击者仍然能看出她在用 VPN，也能大致看出数据量。
3. 如果热点是假的、并要求她输入邮箱密码，VPN 帮不上忙。她必须自己意识到：一个免费 Wi-Fi 页面索要邮箱密码是不对的。

第三点就是教训。VPN 降低了一个风险，另一个风险它没有碰。剩下的保护来自小莎自己的习惯，这也是为什么下面的流程与工具本身同样重要。

一套真正可行的简短流程

不需要很长的清单，五步就覆盖了大部分情况。

1. 向店员或看板确认网络名称，忽略名称相近的网络。
2. 关闭开放网络的自动连接，并删除不再使用的旧热点记录。
3. 在条款页或登录页之后立刻开启 VPN，再打开敏感应用。如果你使用的是 XPASS，具体步骤见在公共 Wi-Fi 上连接 VPN。
4. 输入密码前看一下小锁和网址，并为邮箱、银行和社交账号开启双重验证。
5. 离开时断开并忘记该网络，同时保持系统和应用更新。

如果某个热点似乎不让 VPN 流量通过，有些网络确实会限制。遇到这种情况，敏感操作改用手机移动数据，而不是去找什么取巧的办法。酒店网络有自己的特点，见在酒店 Wi-Fi 上使用 VPN。

常见错误

• 以为“VPN 开着”就等于“一切安全”。 隧道只覆盖网络路径。
• 开得太晚。 连上网络后的第一分钟最容易暴露。
• 没发现 VPN 悄悄掉线。 信号弱时可能断开，登录前看一眼状态图标。
• 在 Wi-Fi 注册页填太多个人信息。 能少填就少填，必须填邮箱时用备用地址。
• 认为所有免费 VPN 应用都一样。 有些收集的比保护的还多，在热点上安装之前先看免费 VPN 安全吗。
• 使用借来的或公用的电脑。 机器上的键盘记录程序会让任何隧道失去意义。

总结

开着 VPN 时，同一公共 Wi-Fi 上的人读不到你的网页、消息和域名查询，只能看到你已连接、在使用隧道，以及大致的数据量。VPN 没有挡住的东西同样重要：虚假登录页、恶意软件、弱密码、隧道建立前的空窗期，以及你误连的假热点。请把 VPN 与谨慎选网络、尽快开启、系统更新和双重验证结合起来使用。

如果你想为出行或几周的咖啡店办公找一个简单的选择，可以随时看看价格页面。