USB 共享网络时，VPN 是怎样工作的

USB 共享网络（USB tethering）是把手机变成调制解调器的最简单办法：用数据线把手机连到笔记本，打开共享选项，笔记本就能通过手机的移动数据上网。远程办公的人在火车上常用，学生在宿舍网络出故障时用，不信任咖啡店 Wi-Fi 的旅行者也这样用。随之而来的问题是：VPN 放在哪里？实话实说，这取决于哪台设备运行 VPN，而这两种做法的表现相差很大。

本文讲的就是这种表现。它说明 VPN 装在笔记本上会发生什么，装在手机上可能发生什么，每个环节谁能看到什么，隧道额外占用多少流量，以及如何测试和解决常见问题。我们不保证某种设置在所有手机和笔记本上都有效，因为不同操作系统及版本对共享网络的处理并不相同。

USB 共享网络究竟做了什么

打开 USB 共享后，手机会通过数据线以网络适配器的身份向笔记本呈现自己。笔记本把上网流量发给手机，手机再转发进移动网络。对移动网络来说，这些流量看起来来自手机；对笔记本来说，手机就像线另一头的一台路由器。

它与 Wi-Fi 热点有三点不同。

1. 两台设备之间没有无线链路：笔记本不需要加入手机创建的 Wi-Fi，所以附近没有任何可以让别人尝试加入或监听的东西。
2. 电力反向流动：笔记本通常会通过同一根线给手机充电，这对共享时本来会快速掉电的手机很有帮助。
3. 速度通常更稳：数据线不受无线干扰，两台设备之间的链路很少成为短板。

它也不同于蓝牙共享，后者更慢也更耗电，这里不再讨论。

如果想进一步了解热点有何不同，通过手机热点共享 VPN 涵盖了 Wi-Fi 一侧，文章 Android 上 VPN 与热点的表现 对手机一侧有更详细的说明。

情形一：VPN 运行在笔记本上

这是我们推荐的方式，也是表现最可预测的一种。笔记本通过 USB 连到手机，然后笔记本上的 VPN 软件通过这条连接建立自己的隧道。

具体过程如下：

1. 笔记本把数据交给 VPN 软件，由它加密。
2. 加密后的数据经数据线送到手机。
3. 手机把它转发进移动网络，但读不到内容。
4. 移动网络把数据送到 VPN 服务器，由服务器解密并转发到互联网。

第 1 步之后的每一处，能看到的都只是加密数据。手机和运营商看到的是通向 VPN 服务器的连接，谁也读不到你在隧道里访问了哪些网站。这与 Cloudflare 的 VPN 讲解 中的一般原理一致。

最大的好处是，结果不取决于手机如何处理共享的流量。承担保护的是笔记本。不管是哪款手机、哪个版本，笔记本的隧道都像在任何互联网连接上一样正常工作。如果你使用 XPASS，设置与其他网络上相同：在笔记本上使用免费的 VPNclient 应用，登录信息是 My Pass 页面上的用户名和密码。步骤见 在 Windows 上设置 VPN。

情形二：VPN 运行在手机上

这种情形最容易让人困惑：你在手机上开了 VPN，然后共享网络。笔记本被覆盖了吗？

表现并不统一，所以对任何简单的“是”或“否”都应该保持怀疑。

• 在许多手机上，手机自己产生的流量会走 VPN 隧道，而它为共享网络转发的流量则不会。笔记本于是走的是普通的移动连接，而手机自己的应用受到保护。笔记本的主人可能误以为自己也被保护了。
• 在一些设备和版本上，共享的流量会被送入手机的 VPN。这往往取决于 VPN 应用以及它建立隧道的方式。
• 操作系统或应用更新之后，结果可能改变。

所以唯一可靠的办法是测试。在手机 VPN 关闭时，用笔记本打开一个显示公网地址的页面，再在开启后重复一次。如果两次地址相同，说明笔记本没有经过手机的隧道；如果地址变了，则说明经过了，但更新之后要再检查一遍。Android 关于 连接 VPN 的官方帮助，描述的是 VPN 对手机自身的支持，而不是对共享流量。

如果你依赖手机的 VPN 来保护笔记本，结果发现它没有覆盖共享的流量，办法很简单：在笔记本上安装 VPN。不要同时运行两个隧道，因为叠加往往会拖慢速度或导致连接失败。

各种设置下，谁能看到什么

VPN 的意义就在于改变谁能看到哪些数据。下表做了归纳。“看到网站”指能看到你的流量要去的网站和服务，而不是加密页面的内容。

角色	没有 VPN	VPN 在笔记本上	VPN 在手机上，且覆盖共享	VPN 在手机上，但不覆盖共享
移动运营商	看到网站和使用情况	看到通往 VPN 服务器的加密流量	看到通往 VPN 服务器的加密流量	看到网站和使用情况
手机本身	能转发全部内容	转发的是加密数据	对共享的流量加密	转发的是明文流量
你访问的网站	看到运营商的地址	看到 VPN 服务器的地址	看到 VPN 服务器的地址	看到运营商的地址
VPN 服务商	什么也看不到	看到你访问了哪些网站	看到你访问了哪些网站	只看到手机自己的流量

最后一行提醒我们：VPN 转移了信任，而不是消除了信任。文章 VPN 服务商能看到你的哪些信息 对此有详细说明。

为什么选 USB 而不是 Wi-Fi 热点

两种方法都在共享移动连接。对于使用 VPN 的人，有一些具体理由让人更偏向数据线。

• 暴露更少：Wi-Fi 热点会广播网络名称并需要密码。如果密码很弱，附近的陌生人就可能加入。数据线没有可以被攻击的无线链路。
• 对电池更友好：手机运行热点时发热快、掉电快。数据线可以让笔记本给手机补电。
• 环节更少：没有会和咖啡店网络混淆的热点名称，也不用选择频段或信道。
• 延迟更可预测：视频通话和远程桌面在数据线上的抖动更小。

缺点则是实际操作层面的：需要支持数据传输的线和合适的接口；有些笔记本需要为手机的网络适配器安装驱动；而且不像热点，无法同时共享给多台设备。如果想更全面地比较手机共享与公共网络，如何更安全地使用公共 Wi-Fi 说明了为什么用数据线连接的手机往往比开放的咖啡店网络更安全。

流量消耗、运营商规则与注意事项

在共享网络的笔记本上使用 VPN，可能比人们预想的多消耗移动流量，原因有三个。

1. 加密开销：每个数据包会稍微变大。长时间使用会累积，但通常只是不大的百分比。VPN 会多用流量吗 给出了数字和原因。
2. 笔记本很耗流量：操作系统更新、云备份、照片同步和浏览器标签页，都在笔记本后台运行，而它们是按照快速、包月固定费用的家庭宽带来设计的。一天的共享网络可能用掉相当于手机一周的流量。
3. 看不见的后台任务：不知道自己处于计量网络的笔记本，会不经询问就下载大型更新。请检查笔记本里“按流量计费的连接”（metered）选项并启用。

运营商规则是另一回事。有些套餐对共享的流量有限制或计费不同，超过一定用量后会限速，或要求套餐包含特定功能。VPN 不会改变这些规则，也不该被用来试图向运营商隐瞒共享行为。请阅读套餐条款，了解哪些规定适用于你。

驱动和系统方面也有些细节。Windows 可能把手机连接称为“remote NDIS”之类的适配器；macOS 在连接时可能需要你点击信任这台手机；Linux 通常用自带驱动就能工作。如果 VPN 在共享链路就绪之前启动，可能连接失败，需要重新启动。不同版本的菜单用词不同，所以我们不给出确切的菜单名称。

设置与测试清单

按这个顺序操作，并把每一步看到的情况记下来。

1. 查看套餐：确认允许共享网络，并记下流量上限。
2. 使用数据线：只能充电的线无法传输数据。如果笔记本毫无反应，就换一根线。
3. 解锁手机再插上：如果手机询问这次连接的用途，选择文件传输或共享网络选项，具体用词各不相同。
4. 打开 USB 共享：在手机的网络或热点设置中开启。
5. 检查笔记本：应出现一个新的、可以上网的网络连接。
6. 不开 VPN 先测试：打开一个显示公网地址的页面并记下来。
7. 在笔记本上启动 VPN，再测一次，地址应该变化。
8. 把笔记本设为按流量计费，防止大文件在后台悄悄下载。
9. 如果也想保护手机，可以在手机上运行 VPN，但要把它视为与笔记本隧道各自独立，不要叠加。
10. 用完之后：断开 VPN，关闭共享，拔下数据线。

三个现实场景

火车上的远程办公者：索菲亚上午十点有个电话会议，人在旅途中。列车 Wi-Fi 每隔几分钟就掉线一次。她把手机插到笔记本上，开启 USB 共享，并在笔记本上启动公司的 VPN。会议很稳，公司流量也经过加密。她事先把笔记本设为计量连接，所以通话期间没有更新涌入。

宿舍网络故障时的学生：阿金在交作业的最后期限前给笔记本共享网络。他在手机上装了 VPN 应用，以为它也保护了笔记本。随后他在笔记本上查看公网地址，发现是运营商的地址，说明他这部手机的隧道没有覆盖共享的流量。他在笔记本上装了 VPN，才看到地址发生变化。

机场里的旅客：安娜不想用开放的机场 Wi-Fi 登录账号。她用数据线共享网络，在笔记本上启动 VPN，手机上的应用保持原样。她每小时检查一次流量余额，因为笔记本消耗流量的速度超出了她的预期。

故障排查

现象	可能原因	可以尝试
笔记本检测不到手机	数据线只能充电，或 USB 模式不对	换数据线，解锁手机，选择共享网络选项
显示已连接但网页打不开	手机没有流量、漫游限制或驱动问题	先测试手机本身的移动数据，再重启共享
通过共享连接无法连上 VPN	VPN 启动过早，或运营商屏蔽了某些内容	等不开 VPN 时链路能正常使用后，再启动 VPN
公网地址与没有 VPN 时相同	隧道未生效，或开的是手机的 VPN 而非笔记本的	在笔记本上启动 VPN 后再检查
速度非常慢	移动信号弱，或两个隧道叠加	移到信号更好的位置，只使用一个隧道
流量额度很快用完	笔记本的后台更新	设为按流量计费并暂停云同步

如果隧道已连接但什么都加载不出来，VPN 已连接但无法上网？如何解决 涵盖了这种情况下的检查项。

总结

使用 USB 共享网络时，最稳妥也最可预测的做法，是把 VPN 运行在笔记本上，因为这样手机转发的只有加密数据。装在手机上的 VPN 可能只保护手机自己的流量，让共享的流量留在隧道之外，具体取决于设备和版本，所以要通过对比公网地址来测试。数据线比 Wi-Fi 热点更稳定也更私密，但笔记本可能很快用完移动流量，而且 VPN 还会增加一点开销。请检查套餐关于共享网络的规定，把连接设为按流量计费，并且每次只使用一个隧道。

如果不自动续费的预付通行证适合你在路上的工作方式，可以随时在 价格页面 查看详情。