VPN over TLS：工作原理与意义

打开银行网站时，浏览器在后台悄悄运行 TLS：检查网站证书、协商密钥，并加密之后的一切内容。TLS 是世界上被审查最多、部署最广的安全协议之一，所以很多 VPN 借用它并不奇怪。"VPN over TLS"就是这种设计的名字，它之所以重要，是因为它决定了 VPN 怎样连接、在哪里能用、怎样出问题，以及速度如何。

本文从第一次握手一路讲到隧道里的数据包。它不针对任何具体产品，而是把机制讲到足够清楚，让你看到设置页面或错误提示时能明白发生了什么。至于 VPN 与普通 HTTPS 的对比，可以读 HTTPS 与 VPN。这里的问题更窄：TLS 在 VPN 内部究竟做了什么？

"VPN over TLS"的两种含义

这个说法用得比较宽松，常见的两种含义表现并不相同。

TLS 作为控制通道。 有些 VPN 只用 TLS 来发起连接。客户端和服务器进行 TLS 握手，互相验证，并商定密钥。之后真正的数据以 VPN 自己的数据包格式传输，由这些密钥保护。TLS 负责介绍，而不是送货。

TLS 作为数据通道。 另一些设计中，整条隧道都在一条 TLS 连接里。你设备发出的每个 IP 数据包被放进 TLS 记录，通过普通 TCP 连接发送，通常发往标准的安全网页端口。服务器取出数据包再转发。TLS 既负责介绍，也负责送货。

人们说 VPN"看起来像 HTTPS"时，通常指第二种。第一种只是用 TLS 做认证和密钥交换的 VPN。一个产品可以采用任一种，文档应该说明是哪一种。VPN 协议是什么 把这些设计与其他主要协议家族放在一起做了对照。

握手期间发生了什么

基于 TLS 的 VPN 连接，起点与安全网页一样，只是为 VPN 多了几步。用通俗的话说，顺序如下。

1. 连接。 设备向 VPN 服务器的地址和端口建立 TCP 连接。
2. 问候。 客户端宣告它支持的 TLS 版本和加密套件，服务器从中选一种。现代部署偏好 TLS 1.3，协商更快，也去掉了许多过时的选项。
3. 服务器证书。 服务器出示证书。设备检查它是否由受信任的机构签发、有没有过期、名称是否与想要连接的服务器一致。
4. 密钥协商。 双方生成新的会话密钥。现代套件使用临时密钥，这意味着即使长期密钥以后泄漏，过去的会话依然安全，这种性质叫前向保密。
5. 客户端认证。 VPN 需要知道你是谁。视设计而定，可能是在加密通道里发送的用户名和密码、客户端证书，或令牌。
6. 配置。 服务器分配隧道的内部地址和设置，比如要使用的 DNS，以及哪些流量要进入隧道。
7. 数据传输。 此后，数据包在协商好的密钥保护下经过隧道。

第 3 步和第 5 步最值得弄懂。第 3 步证明服务器就是你想连接的那个；第 5 步向服务器证明你是客户。TLS 提供了做第一件事的工具，第二件事则由 VPN 的设计决定。

记录里的数据包

当 TLS 作为数据通道时，技术图景很简单。TLS 连接是一条被切分成记录的字节流。VPN 客户端把每个 IP 数据包放进一个带长度前缀的小帧，再写入这条流。服务器从流里读帧，取出数据包并发往互联网，回复沿同样路径返回。

由此产生三个后果。

• 数据流可靠且有序。 TCP 保证送达和顺序，丢了的包会先重传，之后的数据才会交付。这对文件传输有利，对实时流量不利，下文会再谈到。
• 你的应用毫不知情。 浏览器、游戏和邮件客户端把普通数据包发给它们以为的普通网络接口，隧道对它们是透明的。
• 大小很重要。 帧和 TLS 记录会给每个数据包增加字节。如果数据包加上开销超过路径上限，就会被分片或丢弃。这就是隧道设置里有 MTU 值的原因，也是 RFC 1191 描述的路径 MTU 发现存在的原因。隧道尺寸不对，会出现奇怪的现象：小网页能打开，大网页卡住。

较新的标准 RFC 9484 描述了直接通过 HTTP 承载 IP 数据包。思路相似，也是借用网页本身的机制作载体，说明这个想法仍在演进。

TLS 能验证什么，不能验证什么

TLS 回答的是特定的问题，弄清楚是哪几个很有帮助。

问题	TLS 能回答吗	说明
我连的是证书上写的那台服务器吗	能	设备会验证证书链和名称
其他人能读到传输中的数据吗	不能	加密保护了通道
服务器运营方值得信任吗	不能回答	有效证书不说明其行为
服务器知道我是谁吗	仅在你认证时	由密码或客户端证书完成
运营方解密后能看到我的流量吗	能	VPN 服务器是终点
我通过隧道访问的网站是真的吗	不能回答	那是另一个 TLS 会话，或根本没有

关于信任的那一行值得注意。证书只显示名称和签发者，而像 Let's Encrypt 的运作方式 所介绍的那种免费自动化机构，会为任何证明自己控制域名的所有者签发证书。锁形图标说明名称正确、通道已加密，但并不说明运营方会怎样处理你的数据。关于这一点，请读 VPN 服务商能看到你的什么。

这种设计为什么重要

基于 TLS 的设计有几个实际的吸引力。

• 能通过许多防火墙。 几乎所有网络都允许出站连接到标准安全网页端口，否则网页就无法使用。该端口上的 TLS 隧道因此能在其他协议连不上的地方连上。这是兼容性特性，并不意味着可以违反网络规则去使用它。
• 建立在成熟的组件上。 TLS 库经过大量研究、持续修补，也被广泛理解。证书检查、密钥协商和加密套件都来自经过几十年检验的组件。
• 与代理和负载均衡配合良好。 运营方可以在 VPN 服务前面放置标准基础设施，有利于扩展和维护。
• 认证简单。 证书和凭据天然适配，既适合个人用户登录，也适合企业管理的设备。
• 灵活。 它只是普通的软件层，几乎能在任何平台上运行，不需要操作系统的特殊支持。

这并不意味着这样的隧道比其他设计良好的协议更强。基于现代内核级协议的隧道同样可以很安全，差别主要在于它如何、在哪里连接，以及性能表现。WireGuard 与 OpenVPN 的对比展示了即使是口碑良好的方案，设计也各不相同。

运行在 TCP 上的代价

以 TLS 作数据通道的主要取舍在于传输层。TCP 里的隧道承载的往往本身就是 TCP 流量，比如网页，于是产生两层重传。

在良好的线路上丢一个包，影响很小。当线路较差，比如拥挤的 Wi-Fi 或微弱的移动信号时，内层和外层 TCP 都会设法修复丢失，各自有自己的计时器。两层可能互相干扰：外层在恢复时扣住后续数据包，内层发现情况不佳于是进一步放慢，你看到的是先停顿再爆发。这种现象有时被称作 TCP 崩溃（TCP meltdown）。

其他代价较小：

• 开销。 每个数据包都带有 TLS 记录封装，再加上 VPN 自己的帧。
• 队头阻塞。 一个迟到的包会让后面所有的包等待，对通话和游戏的影响大于下载。
• 握手时间。 网络切换后重连需要重新握手，比恢复轻量级的 UDP 会话更慢。

如果设计在传输数据时使用 UDP 风格的数据报，只在控制时使用 TLS，就能避开这些代价，这也是有些产品采用前文第一种含义的原因。关于哪些因素可以控制、哪些不能，可参考 为什么用 VPN 后网速会变化。

出问题时：证书与 TLS 错误

TLS 为这类 VPN 带来了一组容易诊断的故障模式，了解之后就很好排查。

1. 日期或时间错误。 证书只在两个日期之间有效。设备时钟不对时，完全正常的证书看起来也像已过期或尚未生效。请开启自动设置日期和时间，然后重试。
2. 证书过期或被更换。 如果服务器证书已经失效或轮换，而应用还绑定着旧证书，连接就会失败。这通常是服务商的问题，请更新应用并联系客服。
3. 名称不匹配。 证书是为某个名称签发的，而应用以另一个名称访问了服务器。请确认你是从列表中选择了有效位置，而不是手动输入地址。
4. 网络截获 TLS。 一些公司或学校网络在中间放置了会重新签发 TLS 证书的设备。你的设备看到来自未知签发者的证书就会拒绝。正确的 VPN 客户端应当拒绝。请换到你可控的网络，而不是试图忽略警告。
5. 端口被封锁或限速。 握手无法完成，因为端口被过滤。换一个网络试试，比如移动数据。
6. MTU 问题。 隧道能连上，但大文件下载卡住。如果应用提供该选项，可以尝试调低 MTU。

绝不要在 VPN 应用里点击跳过证书警告。这项检查正是为了防止中间人冒充你的服务器。帮助文档 VPN 连接不上 和 VPN 已连接但无法上网 会按顺序带你做常规检查。

VPN 中的 TLS 1.2 与 TLS 1.3

你可能会看到这两个版本。对隧道而言差别比对网页更重要，因为隧道常常重连。

项目	TLS 1.2	TLS 1.3
开始所需往返次数	两次	一次，支持恢复
前向保密	可选，取决于套件	密钥交换必须具备
旧的加密选项	很多，有些较弱	已移除
握手可见性	明文字段更多	握手大部分被加密
重连速度	较慢	恢复时更快

配置良好的 VPN 应当优先选择 TLS 1.3，并拒绝过时版本。作为用户你很少需要选择，只要应用和服务器保持更新，就能受益。这也是要为 VPN 应用安装更新的又一个理由。

两个简短场景

酒店 Wi-Fi 上的旅行者。 小美的笔记本在酒店连不上 VPN，但同一个应用通过手机热点就能连上。这种模式指向酒店网络，它可能过滤了异常流量或截获了 TLS，问题不在她的账号。她不去尝试绕过任何警告，而是为敏感操作换用移动数据，并向前台反映问题，因为酒店的规则由酒店决定。

遇到证书错误的远程办公者。 阿杰每天早上同一时间看到证书警告。他的笔记本电池夜里耗尽，时钟被重置为旧日期，直到同步才恢复。时钟正确之后，错误就消失了。知道证书取决于日期，让他省下一张工单。

总结

VPN over TLS 是用与 HTTPS 相同的安全层来构建 VPN。TLS 可以发起隧道、通过证书验证服务器并协商密钥，在某些设计里它还承载每一个数据包。这让它能在只允许普通安全网页连接的网络上工作，并建立在成熟、审查充分的软件之上。代价是 TCP 的开销、线路差时可能出现停顿，以及需要了解一组新的证书错误。有效证书证明的是服务器名称和加密通道，而不是运营方的行为。

如果想试用按固定天数购买的 VPN 通行证，可以在价格页面了解它是如何运作的。