咖啡馆 Wi-Fi 一定要开 VPN 吗？

你坐在咖啡馆里，面前是笔记本、一杯咖啡和一个截止日期。Wi-Fi 密码印在小票背面。问题很简单：该不该打开 VPN，会不会小题大做？

老实的回答是"看你做什么"。你在咖啡馆 Wi-Fi 上做的有些事情本来就受到很好的保护，VPN 增加不了多少；另一些事情暴露得足够多，VPN 是一个合理且省事的额外保护层。本文帮你逐项任务做判断，也会谈到与网络无关的风险，比如陌生人看你的屏幕。内容集中在咖啡馆场景；关于一般意义上谁需要 VPN，请看我需要 VPN 吗。

咖啡馆网络里实际发生了什么

你加入咖啡馆的网络时，设备与店里的路由器通信，房间里的其他人也都在同一台路由器上。在典型的配置里，有三件事是真实存在的。

1. 路由器能看到流量的目的地。 管理者通常能看到你的设备联系了哪些网站和服务，有些情况下还会记录。
2. 其他顾客在同一个局域网里。 好一点的路由器会让访客互相隔离（通常叫客户端隔离），但便宜的不会，而且你坐在座位上也无法检查。
3. 你控制不了路由器。 它可能运行着旧固件，可能还是默认的管理密码，也可能是由去年在网上下单买来的人配置的。

这并不意味着有人在攻击你。大多数咖啡馆是无害的，大多数顾客只是来喝咖啡。关键在于你无从验证，所以明智的人会对重要的操作采取成本很低的预防措施。

在大多数情况下，咖啡馆网络做不到的是读取使用 HTTPS 的页面的内容。HTTPS 会加密浏览器与网站之间的对话，同一个 Wi-Fi 上的人能看到你访问了某个网站，却看不到你输入或阅读了什么。参考资料中的 Cloudflare 关于 HTTPS 的页面对此有说明。这就是为什么标题所问的问题，答案并不是理所当然的"要"。

HTTPS 已经覆盖了什么，空缺在哪里

由于如今大部分网站使用 HTTPS，在现代浏览器里访问邮箱、银行网站或社交媒体本来就是加密的。空缺比 VPN 的宣传所暗示的要窄，但确实存在。

内容	不用 VPN 时，咖啡馆 Wi-Fi 上的人能看到吗
HTTPS 页面的内容，以及你在其中输入的密码	看不到
你连接的网站名称	通常能
哪些应用在通信、大致流量多少	常常能
加密做得不规范的应用所发出的流量	可能能
设备为查找网站而做的域名查询（DNS）	常常能，除非设备对其加密
设备名称和局域网内的一些设备信息	常常能
你是否在使用某项服务	常常能

VPN 把所有内容放进同一个加密隧道，从而堵上了下面大多数几行的空缺。但在你登录之后，网站本身对你的了解不会因此改变。HTTPS 与 VPN一文介绍了这两层如何配合。

逐项任务决策指南

坐下来时对照这张表。"有帮助"表示 VPN 增加了值得的一层保护；"可选"表示风险较低；"避免"表示能换地方做就换。

任务	不开 VPN	开 VPN	更好的选择
看新闻、文章、菜谱	没问题	可选	无需
看视频	没问题	可选	无需
刷社交媒体	可以接受	对隐私有帮助	保持应用更新
通过 HTTPS 使用网页邮箱和聊天	可以接受	有帮助	两步验证
工作文件、共享网盘、客户文档	有风险	有帮助	VPN 加上公司规定
登录工作系统或管理后台	有风险	非常有帮助	手机热点
网上银行、刷卡支付	有风险	有帮助	移动数据
使用旧应用或不走 HTTPS 的程序	有风险	有帮助	更新或停用
下载软件	来自官网则没问题	可选	核实来源
输入护照或身份证号码	避免	有帮助	回家再做

这张表里最重要的是最后一列。VPN 是一个不错的选项；对于最敏感的任务，用自己的移动数据更好，因为你根本不用共用网络。

如果你不确定自己要保护什么，建立简单的隐私威胁模型里的练习可以把含糊的担忧变成一份简短的清单。

VPN 管不到的咖啡馆风险

人们总盯着 Wi-Fi，却忘了身处的房间。实际上，几件简单的事出问题的频率比网络攻击高得多。

• 偷看屏幕。 身后的人可以看清你的屏幕，或看着你输入密码。防窥膜或背靠墙的座位可以解决。
• 设备无人看管。 笔记本开着放在桌上就去柜台，是世界上成本最低的盗窃。每次都锁屏，或者带着设备走。
• 山寨网络。 在真正的"Cafe_Guest"旁边出现一个叫"Cafe_Free"的热点，是经典的把戏。向店员询问准确的名称，只加入那一个。
• 钓鱼。 诈骗信息或假登录页面并不在乎你在哪个网络。在如何识别钓鱼网站中学习识别特征。
• 弱密码且没有第二重验证。 如果密码在任何地方泄露，两步验证能阻止账号被使用。什么是两步验证介绍了各种选择。
• 软件过时。 更新能堵住攻击者依赖的漏洞。
• 充电。 桌上的公共 USB 口既传电也传数据。使用自己的充电头。

如果你最大的风险是上面这些之一，VPN 解决不了。把它与其他工具对照一下，可以看看VPN、杀毒软件与防火墙，了解哪一层负责哪类问题。

建立安全的咖啡馆使用习惯

习惯胜过你疲惫时做出的决定。一套好习惯用不了一分钟。

1. 向店员确认网络名称，只加入那一个。
2. 如果有登录页，先打开它，接受条款，并确认连接可用。
3. 登录页之后再连接 VPN。 如果 VPN 导致页面无法显示，先关闭它，完成登录，再重新打开。帮助指南在公共 Wi-Fi 上连接 VPN讲了这一点。
4. 检查连接：加载一个普通网站。加载成功之前不要开始工作。
5. 本次使用期间关闭文件共享和类似 AirDrop 的可见性，如果笔记本询问网络类型，选"公用"。
6. 每次起身都锁屏。
7. 离开时断开连接，如果不再回来就"忘记"该网络，并退出在共用设备上打开的所有账号。

使用 XPASS 时，VPN 部分就是免费的 VPNclient 应用：用 My Pass 页面上的用户名和密码登录，详见开始使用你的 XPASS 套餐。这个应用并不绑定某家咖啡馆或某个网络。

VPN 反而碍事的时候

咖啡馆的网络在许多小地方都很老派。可以预料到：

• 开着 VPN 时登录页可能不出现。在那一步先关掉它。
• 银行或支付类应用可能拒绝通过 VPN 运行。那一次操作改用移动数据，或在你信任的网络上暂时关闭 VPN。
• 如果咖啡馆 Wi-Fi 信号弱，视频通话可能卡顿。关掉 VPN 测试一下，看是 VPN 还是 Wi-Fi 的原因；Wi-Fi 差的话，就用手机热点。帮助页面通过移动热点共享 VPN解释了两者如何配合。
• 某些网站可能会比平时多出验证码。这是防护系统的正常行为，不是故障。

咖啡馆场景示例

自由职业者。 小达每周四天在同一家咖啡馆工作。她处理客户合同，所以连着咖啡馆网络时一直开着 VPN。她使用密码管理器和两步验证，去柜台时给笔记本锁屏，还用了防窥膜。这是 VPN 最划算的典型情形。

写论文的学生。 小琳坐在咖啡馆写论文、读期刊文章。她访问的网站都是 HTTPS，不做网银，设备也都是最新的。她大部分时间关着 VPN，只在登录学校门户时打开。这是合理的选择。

第一天办事的旅行者。 马可抵达一座新城市，坐在咖啡馆里查酒店订单，并给房东转一笔钱。他不确定这里的网络是否可靠，所以转账用移动数据，其余事情用咖啡馆 Wi-Fi 并开着 VPN。

带平板的家长。 小乔让孩子在咖啡馆 Wi-Fi 上看视频。平板上没有敏感账号，所以她不在意 VPN，但确保平板没有登录她的支付账号。

常见错误

• 以为有密码的咖啡馆网络就是私密的。
• 以为开了 VPN，消息里的链接就可以放心点击。
• 笔记本不锁屏就留在桌上。
• 明明有移动数据，却在咖啡馆 Wi-Fi 上做银行转账。
• 一直开着文件共享。
• 因为"免费 VPN"是搜索结果第一条就从不明来源下载。参见免费 VPN 安全吗。
• 笔记本从睡眠中唤醒后忘了重新连接 VPN。

一分钟决策流程

问自己三个问题。

1. 我是否正在登录或处理一件丢了会非常后悔的东西？ 如果没有，VPN 可有可无；如果有，进入第 2 题。
2. 现在能用自己的移动数据吗？ 如果能，这是处理最敏感事务的最佳选择；如果不能，进入第 3 题。
3. 设备是否已更新、账号是否有两步验证、网络名称是否已确认？ 如果都是，使用咖啡馆 Wi-Fi 并开启 VPN；如果不是，先解决这些问题，或者等一等。

总结

你不需要在咖啡馆 Wi-Fi 上每一分钟都开着 VPN，因为 HTTPS 已经保护了大多数页面的内容。当你处理工作文件、登录重要账号、使用旧应用，或者不想让咖啡馆看到你访问的目的地时，VPN 才有实实在在的价值。同时配合 VPN 无法替代的基础工作：正确的网络名称、更新、两步验证、锁定的屏幕，以及对链接保持警惕。对于最敏感的任务，移动数据胜过任何共用的 Wi-Fi。

如果你想要一款在咖啡馆里可以随时打开、而且无需记续费日期的 VPN，可以在价格页面查看预付套餐，并在下载页面获取免费的 VPNclient 应用。