Chrome 的 VPN 扩展能保护什么

打开 Chrome 网上应用店，搜索“VPN”，会看到几十个小扩展，都说一键就能保护你。它们安装快，就放在地址栏旁边，价格低甚至免费，所以很容易让人以为点一下按钮，效果就和在电脑上装一个完整的 VPN 一样。其实不一样，而且如果你的用途不只是随便看看网页，这个差距相当关键。

本文只回答一个问题：Chrome 的 VPN 扩展到底保护什么，又完全不碰什么。你会看到它的工作原理、保护范围的内外边界、它申请的权限，以及三个自己就能做的检查。想了解和完整应用的整体对比，可以读 VPN 浏览器扩展与 VPN 应用的区别；这一篇只聚焦 Chrome。

Chrome 的 VPN 扩展是怎么工作的

Chrome 给扩展提供了一个改变浏览器上网方式的工具，也就是代理设置。当你打开 VPN 扩展，它会让 Chrome 先把网页请求发给远端服务器，由服务器替你取回页面。网站看到的是服务器的地址，而不是你自己的。

这就是核心思路，本文几乎所有结论都由它推出。扩展控制的只是 Chrome 的路由，它不会在电脑里创建虚拟网卡，也不会接管其他程序的流量。完整的 VPN 应用则相反，它工作在操作系统层面，几乎能接管设备发出的全部流量。

有两个细节值得了解。

• 连到代理服务器的那一段可能加密，也可能没有。 有的扩展通过 HTTPS 连接服务器，这一段受保护；有的使用普通代理，浏览器到服务器之间没有你自己的加密层。商店页面通常不会说明是哪种。使用 HTTPS 的网站本身仍会端到端加密内容，但在公共 Wi-Fi 上信任它之前，你应该弄清楚代理这一段的情况。
• Chrome 决定扩展能做什么。 扩展在 Chrome 的扩展框架内运行，这个框架这些年一直在变。做得好的扩展能在框架内稳定工作，粗糙的则可能在更新后失效，或者悄悄停止转发流量。

想看它和传统代理的区别，可以读 VPN 与代理有什么不同。现在只需记住：扩展是浏览器里的一项设置，不是整台设备的网络隧道。

扩展确实能保护的部分

在 Chrome 范围内，一个正常工作的扩展可以做到这些。

• 改变网站看到的地址。 对在 Chrome 里加载的网页，网站看到的是扩展服务器的公网地址，而不是你家或公司的地址。这是多数人最想要的功能。
• 对本地网络隐藏浏览行为。 在咖啡馆或酒店网络里，管理路由器的人只会看到你连向一台服务器，而不是你打开的每个页面。页面内容本来就有 HTTPS 保护；如果代理这一段也加密，扩展还能隐藏你访问了哪些网站。
• 切换很快。 一次点击即可开关，适合只在某个时段需要保护的人，比如在共用网络上登录网页邮箱。
• 只作用于 Chrome。 如果想让工作用的浏览器配置文件走另一条路径，而不影响其他程序，扩展可以做到。

对在图书馆用公用电脑的学生、在酒店 Wi-Fi 上查订单的旅行者，或只想让几个网页显示不同公网地址的人来说，这些好处是真实的。只是要记得“在 Chrome 里加载的网页”这个范围，远比“我的整个上网连接”小。

扩展覆盖不到的部分

很多人忽略的正是这一部分。下面这些内容，在只装了 Chrome 扩展的情况下，通常仍走你原来的网络。

流量或功能	Chrome 扩展是否覆盖	原因
在 Chrome 中打开的网页	通常覆盖	Chrome 会通过代理发送
同一台电脑上的其他浏览器	不覆盖	扩展只存在于 Chrome 内
邮件、聊天、云同步客户端	不覆盖	它们不遵循 Chrome 的代理设置
系统更新与后台服务	不覆盖	不属于浏览器
浏览器之外的游戏和流媒体应用	不覆盖	直接使用系统连接
Chrome 自身的后台服务，例如同步	视情况而定	有些不受扩展控制
WebRTC 通话与点对点连接	往往不覆盖	WebRTC 可能暴露本地和公网地址
DNS 查询	视情况而定	可能发生在代理之外

其中两行值得多说几句。

WebRTC。 网页可以用浏览器的 WebRTC 技术做视频通话和文件共享，即使代理已开启，它也可能暴露连接的真实地址。做得好的扩展会设置 Chrome 的 WebRTC 策略来避免，做得差的则不会。请阅读 什么是 WebRTC 泄漏，并按下文方法测试。

DNS。 把网站名称换成地址的查询，仍可能发给你网络运营商的解析器，而不是扩展服务器。如果这样，运营商依然能看到你查询的域名。症状可参考 DNS 泄漏指南。

实用规则很简单：只要不是在 Chrome 里加载的网页，就假定扩展没有管它。

权限：浏览器扩展真正的代价

点击“添加至 Chrome”时，会弹出一个框列出扩展能做的事。VPN 扩展常常有这样一行：可以读取和更改你访问的网站上的数据，有时是所有网站。这听上去吓人，也确实应当重视。

它为什么要这个权限？管理代理需要 proxy 权限，有些功能（如拦截广告）要向网页注入脚本。开发者常常一次申请很宽的网站访问权，实际只用其中一小部分。但无论开发者谨慎还是随意，权限本身是一样的。有了宽泛权限，扩展理论上可以读取你在网页里输入的内容，包括登录表单。

这不是恐慌的理由，多数扩展表现正常。它只是提醒你养成几个习惯。

1. 每次都看权限框。 如果一个简单的代理开关要求访问浏览历史、标签页和所有网站，就该问一句为什么。
2. 查开发者是谁。 有公司名称、网站、隐私政策和支持邮箱的，比匿名账号更容易判断。
3. 留意所有权变更。 扩展有时会被转卖。更新带来新权限时，Chrome 会请你确认，请认真看一遍。
4. 不用的就删掉。 闲置的 VPN 扩展仍然拥有访问你网页的权限。
5. 不需要时就关掉。 比如网上银行，多一段中转带来的风险可能大于好处。

评估服务时可以用更通用的评分思路，见 如何比较 VPN 服务商，对扩展同样适用。

无痕窗口、配置文件和其他 Chrome 特性

Chrome 有几个功能会以意想不到的方式影响扩展。

无痕模式。 默认情况下，Chrome 在无痕窗口里停用扩展。如果你打开私密窗口，以为 VPN 扩展在工作，它可能其实是关的。请从扩展菜单进入详情页，打开允许在无痕模式下运行的选项。还要记得，无痕只是不在本机保存历史，并不能对网站或网络隐身，谷歌自己的帮助页也这么说。完整对比见 VPN 与无痕模式。

配置文件。 扩展属于某个 Chrome 配置文件。如果你有工作和个人两个配置文件，在一个里装的扩展不会出现在另一个里。很容易在错误的配置文件里浏览，却以为已经受保护。

同步。 如果用谷歌账号登录 Chrome 并同步扩展，VPN 扩展可能出现在你的每台设备上，但每台设备都需要单独配置和开启。

多个扩展。 同一时间只有一个扩展能控制代理设置。如果装了两个代理或 VPN 扩展，其中一个可能覆盖另一个，Chrome 会提示有其他扩展正在控制你的设置。请卸载其中一个，而不是来回切换。

受管设备。 在工作或学校的电脑上，管理员可能禁用扩展，或集中管理代理设置。如果扩展无法打开，原因可能在这里。

安装后做三项检查

信任但要验证。装好任何 VPN 扩展后，花五分钟做这三项检查。不需要技术基础，只需几个能显示网站看到什么的网页。

1. 地址检查。 在关闭扩展时打开一个查询 IP 的网页，记下显示的地址和城市。再打开扩展，刷新页面对比。地址应当改变。如果没变，说明扩展没有转发这个标签页的流量。
2. DNS 检查。 开启扩展后运行 DNS 泄漏测试页，看显示的解析器。如果名称对应你的网络运营商或家庭网络，说明查询绕过了代理；如果对应扩展服务方，则说明正常。
3. WebRTC 检查。 打开 WebRTC 测试页。如果出现你真实的公网或本地地址，说明浏览器在泄漏。做得好的扩展应能阻止，至少提供相关设置。

在新窗口里重复测试；如果你依赖无痕模式，也请在允许扩展后在无痕窗口里测试。如何测试 VPN 中的详细步骤还涵盖速度和断网保护，但浏览器扩展很少具备断网保护。

最后这点很重要：如果扩展崩溃或代理服务器宕机，Chrome 可能悄悄回到你的普通连接，而且没有任何提示。登录重要账号之前，先看一眼扩展的状态。

谁适合用扩展：四个场景

图书馆里的学生。 小美不能在公用电脑上装软件，但可以在自己的 Chrome 配置文件里添加扩展。她用它浏览网页和网页邮箱，清楚它只保护 Chrome，所以不会指望聊天程序同样受保护。这是合理的用法。

机场里的旅行者。 阿伦登机前有二十分钟，需要查一张订单。笔记本上的完整 VPN 应用会更好，但他用的是借来的电脑。他启用扩展，确认地址变了，用完后退出登录并删除扩展。

用多种工具的远程工作者。 小琳用聊天软件、文件同步客户端、会拉取依赖包的代码编辑器，还有用于网页应用的 Chrome。扩展只覆盖四个里的一个。她需要覆盖整台设备的应用，扩展最多是辅助。

家庭共用笔记本。 全家共用一台电脑和一个 Chrome 配置文件。装在上面的任何东西都会影响每个人。他们避免添加来历不明的扩展，改用覆盖整台设备的应用。

如果你的需求像后两个，覆盖整台设备的客户端是更好的基础。XPASS 套餐配合免费的 VPNclient 应用使用，支持 iPhone、Android、Windows 和 macOS；下载页面 列有官方链接，登录信息在你的 My Pass 页面。

局限与常见错误

• 把扩展当成完整 VPN。 它只保护 Chrome 的流量。
• 忘了无痕窗口。 不允许的话，扩展在那里是关闭的。
• 跳过泄漏测试。 工具栏开关写着“已连接”，只有测试能说明有没有真的起作用。
• 装搜索结果里的第一个。 商店排名不等于安全审计，取舍见 VPN 浏览器扩展与 VPN 应用。
• 忽略权限变更。 更新可能增加访问范围，请读提示。
• 指望做到完全匿名。 登录谷歌账号、Cookie 和浏览器指纹仍能识别你。详见 VPN 无法保护你的哪些方面。
• 换了地址后不加思考地登录账号。 地址突然变化可能触发某些服务的额外验证，这是安全机制，不是故障。

总结

Chrome 的 VPN 扩展通过远端服务器转发浏览器请求，改变 Chrome 访问网络的方式。它能改变网站看到的地址，并对本地网络隐藏页面请求，但不覆盖其他浏览器、桌面应用、系统服务，有时也包括 DNS 和 WebRTC。它申请的宽泛权限是一种信任决定，无痕模式需要主动允许，三项快速检查能告诉你它是否做到了所宣称的。如果需要覆盖整台设备，请使用完整的 VPN 应用。

如果你想要按固定天数计费、不会自动续费、覆盖整台设备的方案，可以在 价格页面 慢慢比较。