P2P VPN 架构：与商业 VPN 有何不同

人们搜索“P2P VPN”时，通常指的是两种完全不同的东西，混为一谈很容易买错。第一种是一种网络架构：设备之间直接建立加密隧道，而不是把所有流量都送到同一台中央机器。第二种是一类服务，借用其他用户的家庭宽带作为出口。本文主要讲第一种，因为“VPN 点对点架构”指的就是它，但也会提醒你注意第二种的风险。

目标很实际：读完以后，你拿到一份产品说明，能判断它是直连式设计还是传统网关式设计，并清楚这对隐私、速度和日常使用意味着什么。如果你对隧道的基本概念还不熟，可以先读 VPN 隧道是什么。

VPN 网络的两种形状

几乎所有 VPN 都属于下面两种形状之一。

中心辐射式（hub and spoke）。 所有客户端都连接到同一个中央网关。手机连网关，笔记本也连网关，即使你自己的两台设备要互相通信，也得经过它。商业 VPN 就是这样工作的：网关由服务商运营，你的流量从那里出去，进入公开互联网。公司让员工远程办公的 VPN 形状相同，只是网关放在办公室。

点对点式（mesh）。 设备之间直接建立隧道。你的笔记本与家里的电脑有一条隧道，与手机有第二条，与办公室的机器有第三条，没有哪个网关承载全部流量。最简单的例子是两台电脑各持一对密钥，建立一条直接的加密链路。规模更大的 mesh 只是把同样的做法重复多次，实际用法见 mesh VPN 工具。

问题	中心辐射式（商业或公司 VPN）	点对点 mesh
流量走哪里	经过中央网关	条件允许时直接在设备间传输
主要用途	保护不可信网络上的流量，呈现另一个公网 IP	安全访问自己的设备，连接小型网络
单点故障	网关	基本没有，但建立连接时要依赖协调服务
自己设备之间的延迟	较高，因为要绕路	较低，因为路径直接
需要信任谁	网关运营方	密钥协调方，以及圈内每台设备
能否作为访问互联网的出口	能	只有把某台设备专门设为出口时才行

表格已经点出核心：两种形状解决的是不同的问题。把其中一种当作另一种的替代品，是最常见的误区。

设备如何找到彼此

两台设备不能直接“拨号”给对方，因为多数设备都躲在家用路由器或移动网络后面，真实地址是隐藏的。点对点 VPN 在任何加密流量开始之前，需要三个要素。

1. 身份。 每台设备持有一对密钥。公钥可以分享给其他设备，私钥永远不离开本机。WireGuard 这类现代设计，描述一个对端基本只需要它的公钥和允许使用的地址范围。
2. 协调。 对端需要知道彼此当前的公网地址和端口。一个小型的协调服务（有时叫 rendezvous 或控制服务器）负责传递这些信息和已批准的公钥列表，它并不需要看到你流量的内容。
3. 穿过路由器的办法。 由于存在地址转换（NAT），直连路径往往要“巧妙地”打通：双方在差不多同一时刻向对方发出小数据包，让各自的路由器临时开出一个口子。这类技术通常称为 NAT 穿透。

三项都顺利时，数据包直接在设备之间流动；否则系统会退回到中继。

中继：“直连”网络里安静的一环

没有哪个点对点网络是纯粹的点对点。有些家庭宽带处在运营商级别的地址共享之后，有些办公网络会拦截未经请求的入站数据包。这时两台设备无法打通直连路径，常见的做法是使用中继：一台公网机器，把已经加密的数据包从一端转发到另一端。

这里有两点值得注意。

• 中继读不到你的流量。 隧道是两个对端之间的端到端加密，中继看到的只是封好的数据包。不过它能看到有两个地址在通信，以及数据量多大，这属于元数据。
• 中继会拖慢速度。 流量要绕一圈，中继还会增加延迟。实际使用中，你的家用电脑可能是直连，而办公室笔记本走中继，不测量的话你未必察觉。

如果你的网络是多户共用一个公网地址，CGNAT 环境下使用 VPN 一文解释了为什么有时无法建立直连。

两种模型里，信任放在哪

隐私不只是加密的问题，还取决于谁占据了路径上的哪个位置。

在商业 VPN 中，你把原本属于网络运营商的位置交给了网关运营方。本地网络只看到一条加密隧道；运营方能看到你访问了哪些目的地（但看不到加密网页的内容）。这是真实的信任转移，所以条款是否透明很重要。完整说明见 VPN 服务商能看到你的什么信息。

在点对点 mesh 中，你的上网浏览并没有一个中间运营方，因为 mesh 本来就不是用来承载这件事的。需要信任的点是别的地方：

• 协调服务决定哪些密钥属于你的网络。如果它被攻破或配置有误，不该进来的设备可能被放行。
• 圈内每台设备都可能成为入口。一台被偷走、但仍在批准名单里的笔记本，可以访问规则允许的一切。
• 你自己的配置更重要。谁能访问哪台设备由你定，规则过松，暴露的就比你预想的多。

所以 mesh 与 零信任与 VPN 中讲的最小权限思路很搭。点对点减少了绕路，但并不能免去限制访问的必要。

三个场景，各自适合哪种

场景一：出差时访问家里的存储盒。 林把家人的照片放在家里的网络存储设备上。她想在酒店里打开，又不想在路由器上给整个互联网开端口。笔记本与家里设备之间的点对点隧道最合适：流量直达她自己的硬件，其他东西都没有被暴露。

场景二：在咖啡馆办公。 阿伦坐在咖啡馆，通过共用 Wi-Fi 处理客户文档。他的真正问题是周围不可信的网络，而不是要访问某台特定设备。网关式 VPN 才是正确的形状：它把笔记本发出的一切包进一条通往网关的加密隧道，咖啡馆只能看到这条隧道。如何更安全地使用公共 Wi-Fi 列出了配套的好习惯。

场景三：两个人的小办公室。 小梅和搭档各自在家办公，但在一间小租屋里共用打印机和文件服务器。mesh 能让两台笔记本直接访问那间屋子。如果去咖啡馆时还需要保护，就再叠加一个网关式 VPN，两者并不冲突。

可以看到，没有哪个场景要求一种设计去做另一种设计的工作。

另一种“P2P VPN”：借用他人的出口连接

有些免费或极便宜的服务采用另一种安排。它们不自己运营网关，而是让普通用户的流量经由彼此的设备出去。你获得使用权，代价是让自己的连接成为别人的出口。

这里需要明确警告：

• 陌生人的流量会从你的家庭 IP 出去，一旦发生不当行为，痕迹可能指向你的网络。
• 你的设备要为别人的流量消耗带宽、电量和流量额度。
• 你在使用同一网络时，等于把自己的流量托付给一个不认识的对象，而且很难核实对方如何处理。

这不是本文其余部分所讲的架构，也不适合想要朴素隐私保护的人。免费 VPN 安全吗 汇总了相关的警示信号。如果你看到类似“你的设备帮助驱动网络”的字眼，安装前请先读条款。

如何在两种模型之间选择

按顺序问自己几个问题。

1. 你到底想访问什么？ 是自己的设备，还是开放的互联网？
2. 周围的网络可信吗？ 咖啡馆、酒店、机场和共享楼宇的网络，指向网关式 VPN。
3. 你想避免在家里的路由器上开端口吗？ 那就看带 NAT 穿透的 mesh。
4. 涉及多少设备，你愿意自己管理密钥吗？ 两三台设备时 mesh 很轻，超过这个数量，除非有工具自动化，否则管理会越来越麻烦。
5. 你会持续维护吗？ 自建 mesh 需要更新和关注。服务商的预付通行证不需要维护，但你要依赖服务商。取舍见 自建 VPN 与商业 VPN。

很多人最终两者并用：自己的设备用 mesh，在公共网络上用网关式 VPN。

常见误区与局限

• 以为 mesh 会改变你的公网 IP。 它不会，除非你有意把某台设备设为出口。
• 让旧设备一直留在批准名单里。 不再使用的设备要及时移除，被遗忘的密钥相当于一份长期有效的邀请。
• 允许每台设备访问其他所有设备。 从严格的规则开始，需要什么再开放什么。
• 以为“直连”就一定“更快”。 直连避免了绕路，但仍受两端各自网速的限制。
• 混淆 P2P 的几种含义。 直连式架构、文件共享和借用他人出口，是三件不同的事。
• 把加密当作全部。 元数据、设备安全和账号习惯依然重要。

想更全面地了解隧道管不到的地方，请看 VPN 无法保护你的哪些方面。

做决定前的简单清单

真要挑工具时，可以拿一张纸，把下面几项逐条写下答案。

• 列出需要互相通信的设备，并标注每台在哪里：家里、公司，还是随身携带。
• 写下每天会用到哪些不属于自己的网络。如果有好几处，说明你也需要网关式的保护。
• 查清家里的宽带是独享公网 IP 还是与他人共用，这会影响能否建立直连。
• 决定由谁来批准或移除设备。家庭或小团队里，最好只指定一个负责人。
• 每三到六个月复查一次设备名单，清掉不再使用的旧设备。
• 正式使用前先测试，比如从手机网络和咖啡馆分别连一次，并与在家里连接时的速度比较。

把答案写下来，能帮你看清真实需求。很多时候你会发现，自己要的只是公共 Wi-Fi 上的保护，根本不需要搭 mesh。

总结

点对点 VPN 架构让设备直接相连，用一个小型协调服务帮它们互相认识，在路由器挡路时退回到中继。商业 VPN 把流量送过服务商的网关，帮你在不可信网络上得到保护，并让网站看到网关的公网 IP。两者解决的问题不同：一个是访问自己的设备，一个是保护你无法控制的网络上的流量。按任务选择，留意信任放在哪里，并及时移除不再使用的设备。

如果一张简单的预付式网关通行证适合你的出行和咖啡馆办公场景，可以随时看看 价格页面。