手机热点与公共 Wi-Fi：搭配 VPN 哪个更安全

当咖啡馆的 Wi-Fi 看起来不太可靠时，很多人会改用一个更简单的规则：用手机热点。这个直觉没错。个人热点把人群挡在了你的网络之外。但它并没有挡住所有风险，还带来了自己的风险和成本。那么，当你共享手机网络时，VPN 处于什么位置？

本文从安全角度比较手机热点与公共 Wi-Fi，介绍热点本身最重要的几项设置，并指出在每种情形下 VPN 何时真正有用。内容偏重实操，不夸大 VPN 做不到的事，也不声称任何一种方式在所有情况下都安全。关于共享网络的基本风险，可以配合阅读如何更安全地使用公共 Wi-Fi。

个人热点到底是什么

个人热点，有时叫网络共享（tethering），能让手机变成一台小型 Wi-Fi 路由器。手机连接移动网络，再通过 Wi-Fi、USB 或蓝牙，把这条连接共享给笔记本、平板或朋友的手机。路径上有三方。

1. 你的设备， 加入热点。
2. 你的手机， 充当网关。
3. 移动运营商， 把一切送出到互联网。

与咖啡馆相比，区别在于谁共用第一跳。在咖啡馆里，几十个陌生人共用同一个接入点。在你自己的热点上，只有你允许的人能加入，你还能查看已连接设备的名单。仅这一点，就消除了一大类近距离攻击。

没有改变的是，运营商仍然经手你的流量。它通常能看到你联系的域名和传输的数据量，我们在运营商能看到你的 VPN 流量吗一文里有说明。

公共 Wi-Fi 的薄弱之处

公共 Wi-Fi 有四个反复出现的弱点。

• 运营者不明。 你不知道谁在运营这个网络，维护得怎么样。
• 同一网络上有其他用户。 配置不当的网络会让设备彼此可见或可以互相访问。
• 仿冒网络。 有人可以建立一个与场所名称相近的热点。
• 登录页面收集过多信息。 强制门户有时会索取与上网无关的资料。

美国联邦贸易委员会（FTC）在公共 Wi-Fi 网络的指南中描述了这些顾虑。HTTPS 保护大多数网页的内容，从而降低危害，但它不会隐藏你的访问目的地，也不能保护那些不够谨慎的应用。

并排比较

问题	自己的热点	公共 Wi-Fi
网络上还有谁	只有你允许的设备	陌生人和未知设备
谁在运营网络	你自己，加上移动运营商	场所、承包商或不明的一方
其他用户能访问你的设备吗	只有你让他加入时才可能	在配置不当的网络上可能
网络运营者能看到什么	没有 VPN 时运营商看到目的地	没有 VPN 时运营者看到目的地
仿冒网络风险	在你自己的手机上没有	确实存在
成本	消耗你的移动流量套餐	通常免费
电量	手机耗电更快	只消耗设备自身的电
速度	取决于信号和套餐	取决于场所
VPN 的价值	中等：向运营商隐藏目的地	高：还能防范其他用户和场所

这张表说明了为什么在这两个选项之间，热点通常风险更低，也说明了为什么 VPN 在公共 Wi-Fi 上的作用最大。

加固你的热点

热点只有设置到位才安全。出门前花两分钟检查一下。

1. 修改网络名称， 用中性的名字。避免使用全名或手机型号，这会向周围的人泄露多余信息。
2. 使用较长且唯一的口令。 四五个随机词比一个短数字更容易输入，也更难猜。不要与其他账号共用密码。
3. 选择手机提供的最高安全级别， 通常是 WPA2 或 WPA3。避免完全没有密码的开放热点。
4. 限制谁可以加入。 有些手机可以限制设备数量，或逐个批准。时常查看热点设置里的已连接设备名单。
5. 用完就关闭热点。 很多手机在闲置一段时间后会自动关闭，但不要完全依赖这一点。
6. 保持手机更新。 热点功能是操作系统的一部分，更新会修补已知的漏洞。
7. 方便时优先用数据线。 USB 共享避免了本地链路上的无线暴露，不过对运营商这一方没有帮助。

这些步骤处理的是你的设备与手机之间的本地链路，与 VPN 的作用是分开的，两者相互配合。

VPN 在哪个位置

可以把路径看成两段：设备与接入点之间的本地一跳，以及它之外的长途路线。

• 在公共 Wi-Fi 上， VPN 同时保护两段。它对本地一跳加密，其他用户和场所就无法读取你的流量，同时也向网络运营者隐藏你的目的地。
• 在你自己的热点上， 本地一跳本来就在你的控制之下，所以 VPN 的主要贡献是对移动运营商隐藏目的地，并保持一致的使用习惯。

在哪里运行 VPN 很重要。如果应用运行在笔记本上，笔记本的流量从笔记本出发就被加密，包括到手机的 Wi-Fi 链路。如果只在手机上运行，那么连接到手机的设备可能会把流量发送到通道之外，具体取决于手机和应用。帮助文档通过手机热点共享 VPN说明了各种选项。简单的做法是在每台需要保护的设备上安装 VPN 应用。

如果想了解 VPN 覆盖什么、不覆盖什么，VPN 究竟保护什么用通俗的话做了梳理。

共享网络的成本与副作用

热点并不是没有代价的。

• 流量。 连接设备的所有活动都会计入你的移动套餐。笔记本因为后台更新和云同步，是用量大户。共享之前先暂停它们。
• 套餐条款。 有些套餐对共享的流量单独限量或限速，甚至完全不允许共享。事先读清条款，别等做事做到一半才发现限制。
• 电量。 手机的无线电和处理器更卖力，电量下降很快。条件允许就一直插着电。再叠加 VPN，耗电会再多一点，详见VPN 会不会耗电。
• 发热。 手机放在温暖的包里共享网络可能过热。尽量放在通风处。
• 信号。 信号弱会让所有连接的人都很慢，VPN 无法解决这一点。

四种日常情形

网络来历不明的咖啡馆。 阿杰一小时后有客户电话会议。咖啡馆的 Wi-Fi 名称，连店员也无法确认。他用强口令打开手机热点，连上笔记本，启动 VPN 应用，然后加入会议。他查看了一次已连接设备的名单，只看到自己的笔记本，就继续工作了。

Wi-Fi 很差的火车。 小琳乘坐的火车 Wi-Fi 总是掉线。她的手机信号不错，于是改用热点。连接稳定多了，只是流量额度在减少。她暂停了云同步，在笔记本上开启 VPN 处理工作文件，而在查看不涉及隐私的地图时关掉它。

合租的房子。 小邓和室友用的路由器密码设得很差。他对同一网络上有什么感到不安，所以办理网银时改用手机热点。VPN 在这里是第二层措施，更重要的做法是请室友修改路由器密码并保持固件更新。

会议展会。 在一次展会上，几百人使用会场 Wi-Fi，附近还冒出了仿冒网络。美玲避开会场网络，用手机共享网络并开启 VPN 收发邮件，这与 NIST 关于远程办公与远程访问安全的出版物中的一般性指导相一致。

常见错误

• 热点保留默认名称和密码。 默认值很容易被猜到。
• 为了方便使用开放热点。 附近任何人都能加入，并读取未加密的流量。
• 忘了运营商能看到你的目的地， 以为热点对所有方都是私密的。
• 以为手机上的 VPN 会覆盖被共享的设备。 需要逐台检查。
• 把热点放在包里或口袋里开着， 热量会积聚。
• 让笔记本在按流量计费的共享网络上更新， 白白消耗套餐。
• 把密码告诉很多人，之后再也不改。 应定期修改，尤其是在广泛分享之后。
• 把热点当作放松对钓鱼警惕的理由。 网络并不是虚假登录攻击的主要危险。请参阅如何识别钓鱼网站。

快速决策指南

• 你在陌生的场所，且手机信号良好： 使用自己的热点，配上强密码。VPN 是加分项。
• 你必须使用场所的 Wi-Fi： 在通过登录门户之后，先连接 VPN，可能的话避免敏感操作。
• 你在笔记本上处理敏感文件： 无论选哪种网络，都在笔记本上使用 VPN。
• 流量或电量不足： 重任务用可信的 Wi-Fi 加上 VPN，把热点留作应急。
• 你在帮别人上网： 只与信任的人共享热点，事后把他们从名单中移除。

帮助文档在公共 Wi-Fi 上连接 VPN介绍了在现场的步骤顺序。

为两种情形设置 VPN

如果使用 XPASS，请在免费的 VPNclient 应用中，用 My Pass 页面显示的用户名和密码登录，官方链接见下载页面。在每台需要保护的设备上安装，并在家里分别通过 Wi-Fi 和共享网络测试一次，这样出门后就心里有数。预付通行证从账号创建时开始计时，而不是第一次连接时，所以请在临近使用时再购买。

总结

个人热点通常比公共 Wi-Fi 风险更低，因为你控制谁能加入，但移动运营商仍能看到你的目的地，而且热点需要强口令和合理的设置。VPN 在公共 Wi-Fi 上价值最大，在你自己的热点上则有较小但真实的好处。在每台需要保护的设备上安装它，留意流量套餐和电量，并坚持那些任何网络设置都无法替代的基本习惯。

如果简单的预付通行证适合你的工作方式，可以随时看看价格页面。