公共 Wi-Fi 安全：VPN 能做什么，不能做什么

关于公共 Wi-Fi 的说法，几乎都落在两个阵营里。一派说它是陷阱，没有 VPN 绝对不能碰；另一派说那是神话，HTTPS 已经解决了一切，VPN 毫无意义。两派都只对了一部分，也都有点偷懒。真相是一张具体威胁的清单，每一种威胁都有自己的条件和最佳防御。

本文把这张清单拆开来讲。对每一种威胁，说明攻击者需要具备什么才能得手，VPN 是能阻止、能减轻还是毫无作用，以及你还应该做什么。如果你想要整个主题的简短版本，如何更安全地使用公共 Wi-Fi是一份精简的检查清单，而本文是它背后的详细地图。本文刻意不重复其他文章里已经写过的机场和咖啡馆场景。

公共 Wi-Fi 改变了什么

在家里，你掌控路由器，知道网络里有谁。在公共 Wi-Fi 上，有三点不同。

1. 你和陌生人共用本地网络。
2. 网络运营方控制数据去往互联网的路径。 那可能是一家企业、一个场所，也可能是自己架设热点的陌生人。
3. 你无法检查设备。 你不知道固件版本、配置如何，也不知道有没有人在监控。

不变的是，即使在家，你的数据也要经过许多网络。在家时，网络运营商能看到你的访问目的地；公共 Wi-Fi 只是让更多方处在同样的位置。VPN 的核心作用是在你的设备和 VPN 服务商运营的服务器之间建立加密隧道，参考资料中的 Cloudflare VPN 介绍对此有说明。这里要关心的是，这条隧道能挡住哪些威胁。

七种威胁逐一分析

下面每一种威胁都按同样的顺序来讲：是什么、攻击者需要什么、什么能阻止它。

威胁一：被动嗅探

是什么。 同一网络里的人用免费工具捕获在空中或路由器上传输的数据包。

需要什么。 一台笔记本、免费软件，以及物理上靠近。除了照着教程操作，不需要特别的技能。

如今能得到什么。 在开放（无密码）的网络上，数据包可以被捕获。但如果页面使用 HTTPS，内容已被 TLS 加密，对方基本只能看到网站名称和数据量。老旧的应用、某些游戏、某些智能家居设备以及写得不好的软件，仍可能以未加密的方式发送数据。

VPN 能阻止吗？ 能。隧道会加密从设备到 VPN 服务器的所有流量，包括那些不加密的应用，所以嗅探者只能看到你连着 VPN 服务器。

其他防御。 优先选择有密码的 WPA2 或 WPA3 网络，到处使用 HTTPS，并保持应用更新。

威胁二：山寨热点（邪恶双胞胎）

是什么。 取了与正规热点相似的名字、用来吸引设备连接的热点。

需要什么。 一台能充当接入点的路由器或笔记本，加上一个看起来可信的名字。

能得到什么。 一旦你的设备加入，每个数据包都要经过对方的设备。对方可以看到流量的元数据，并尝试篡改、投放假登录页面或阻断某些内容。

VPN 能阻止吗？ 部分能。隧道限制了对方能读到的内容，因为正文和目的地都在加密之内。但对方仍控制着你的第一跳：他可以阻断 VPN，显示假的登录页诱使你输入什么，或者干脆让你断网。VPN 不会验证热点本身的身份。

其他防御。 向店员确认准确的名称，删除旧网络，关闭自动加入，处理敏感事务时用移动数据。什么是 VPN Kill Switch里介绍的断网保护，可以防止 VPN 掉线时流量泄露到隧道之外。

威胁三：中间人攻击与降级把戏

是什么。 攻击者坐在设备与网站之间，试图读取或修改流量，比如诱使浏览器使用某个网站的未加密版本，或者出示假的安全证书。

需要什么。 对网络路径的控制（山寨热点或被攻陷的路由器可以提供），以及一个会点过警告的受害者。

什么能阻止。 主要是 TLS 和你的浏览器。现代浏览器会验证证书，出现问题时发出强烈警告，对许多网站甚至拒绝加载未加密版本。参考资料中的 TLS 1.3 规范（RFC 8446）是技术基础。

VPN 能阻止吗？ 它多加了一层：本地网络上的攻击者无法读取或篡改隧道内的流量。但如果你无视浏览器对 VPN 另一端网站的警告，它保护不了你。保持浏览器更新，不要为了登录重要账号而点过证书警告。

威胁四：DNS 把戏

是什么。 DNS 把 example.com 这样的名字翻译成地址。恶意网络可能给出错误的地址，把你送到假网站，或者只是记录你查询的名称。

需要什么。 对网络里 DNS 应答的控制，这对热点的路由器来说很平常。

能得到什么。 你请求过的网站清单，以及把你重定向到相似页面的能力。HTTPS 和证书能限制重定向造成的损害，但你的查询记录仍然是可见的。

VPN 能阻止吗？ 能，前提是你的 DNS 请求确实走了隧道。如果 VPN 把 DNS 泄露给本地网络，就丧失了这一保护。什么是 DNS 泄漏讲了如何检查，DNS over HTTPS 与 VPN 的比较对比了保护查询的两种方式。

威胁五：会话与 Cookie 窃取

是什么。 攻击者不偷密码，而是偷网站在你登录后发给浏览器的小令牌，然后用它冒充你。

需要什么。 能拿到令牌。在未加密的连接上很容易，在 HTTPS 上则难得多。令牌也会被设备上的恶意软件或恶意浏览器扩展偷走。

VPN 能阻止吗？ 在网络路径上有帮助，因为令牌在隧道内传输。对于从你设备本身被盗的令牌，它无能为力。

其他防御。 从敏感网站退出登录，尽量少装浏览器扩展，使用两步验证，让被盗的密码用处变小。什么是两步验证介绍了各种选择。

威胁六：钓鱼与假登录页面

是什么。 看起来像银行、航空公司或 Wi-Fi 服务商的消息、弹窗或页面，向你索要信息。

需要什么。 与网络毫无关系。钓鱼邮件在家里、咖啡馆或火车上的效果都一样。

VPN 能阻止吗？ 不能。VPN 不是页面真假的裁判，它会同样忠实地加密通往假网站和真网站的连接。

其他防御。 在如何识别钓鱼网站里学习识别特征，使用只在正确域名下自动填充的密码管理器，并参考 CISA 关于识别和举报钓鱼的指引。

公共 Wi-Fi 会增加一个变化：要求"登录后继续"的页面索取了不该要的东西。真正的网络登录只会要邮箱、验证码或房间号，不会要你的银行密码。

威胁七：恶意软件与不安全的下载

是什么。 损害设备或窃取数据的软件，通过假更新、恶意下载或有害附件送达。

需要什么。 需要你去运行它。

VPN 能阻止吗？ 不能。VPN 不扫描文件，也不拦截有害程序。它保护的是传输，而不是你选择下载的内容。

其他防御。 通过操作系统自带的机制安装更新，从官方渠道下载软件，保持基础的安全工具开启，并对任何声称设备已被感染或需要特殊更新的弹窗保持怀疑。可以参阅 VPN、杀毒软件与防火墙的区别了解各层如何分工。

评分表

公共 Wi-Fi 上的威胁	VPN 的效果	最佳补充防御
被动嗅探	能阻止	WPA2 或 WPA3，HTTPS
山寨热点	减少可被读取的内容	确认网络名称，使用移动数据
中间人与降级攻击	增加一层保护	更新浏览器，重视警告
DNS 把戏	无 DNS 泄漏时可阻止	检查是否泄漏
会话与 Cookie 窃取	传输途中有帮助	退出登录，两步验证
钓鱼	无作用	学会识别，使用密码管理器
恶意软件	无作用	更新、可信来源、安全工具
设备被盗或偷看屏幕	无作用	屏幕锁、防窥膜
重复密码导致账号被接管	无作用	唯一密码，两步验证

可以看到，VPN 只能完全应对第一行和第四行，并对另外两行的一部分有帮助。这不是缺陷，而是传输层工具的本质。这也是为什么像VPN 无法保护你的哪些方面这样的文章会一再强调要配合良好习惯。

VPN 本身何时成为风险

转移信任并不等于消除信任。使用 VPN 意味着服务商的服务器会看到你的本地网络原本能看到的东西：你的流量去向哪里，尽管看不到正确加密的页面内容。所以选择服务商很重要，来路不明的免费应用尤其令人担心。依赖任何一款之前，请先阅读 VPN 安全吗和免费 VPN 安全吗。

还有一个问题：VPN 自己会不会出故障。配置错误、软件过期或程序缺陷都可能造成泄漏，VPN 会被黑吗讨论了这意味着什么、不意味着什么。请亲自测试你的 VPN，而不是想当然，步骤见如何检查 VPN 是否正常工作。

公共 Wi-Fi 的分层防御

想象五层防护。VPN 只是其中之一。

1. 选择网络。 确认准确的名称，尽量避开开放网络，最敏感的事务用移动数据。
2. 传输保护。 到处用 HTTPS，在共用网络上开启 VPN。
3. 设备卫生。 更新、锁屏、安全工具，不安装未知的应用或配置描述文件。
4. 账号保护。 密码管理器、唯一密码、两步验证或通行密钥。
5. 行为习惯。 不要通过弹窗登录，不点击意外的链接，把敏感事务留到更安全的网络上做。

一层的弱点由另一层补上。如果你上了钓鱼页面的当（第 5 层），救下账号的是强力的两步验证（第 4 层），任何 VPN 都做不到。

付诸实践

在共用网络上度过一天，可以采用这样的流程：

1. 出门前：更新设备，充满电，检查 VPN 应用已安装并已登录。
2. 加入网络时：确认名称，在 VPN 关闭的状态下通过登录页，再连接 VPN。帮助文章在公共 Wi-Fi 上连接 VPN列出了步骤。
3. 使用期间：浏览、邮件、聊天和工作使用 VPN；银行和任何你输不起的事务使用移动数据。
4. 看到异常时（证书警告、意外的登录提示、不认识的页面）：停下来，改用移动数据。
5. 离开时：断开连接，忘记该网络，从共用设备上退出登录。

使用 XPASS 时，VPN 部分是免费的 VPNclient 应用，用 My Pass 页面上的用户名和密码登录。

常见误解

• "VPN 让公共 Wi-Fi 绝对安全。" 不对。它覆盖的是网络层，而不是钓鱼、恶意软件或账号被盗。
• "有了 HTTPS，VPN 就没有意义。" 不对。HTTPS 保护页面内容；VPN 还会隐藏你的访问目的地，并覆盖跳过加密的应用。
• "有小锁图标说明网站可信。" 不对。它只表示连接已加密，假网站也可以有小锁。
• "Wi-Fi 有密码就是私密的。" 不对。知道密码的人都在同一个网络里。
• "浏览器的隐私模式能在公共 Wi-Fi 上隐藏我。" 不对。它只改变浏览器在本地保存什么。

总结

在公共 Wi-Fi 上，VPN 可以可靠地阻止被动嗅探，减少恶意热点或路由器能读到的内容，并在无泄漏的配置下保护你的 DNS 查询。但它对钓鱼、恶意软件、弱密码或重复密码，以及偷看屏幕的人毫无作用。把它当作五层防御中的传输层，同时配合网络选择、设备更新、强力的账号保护和谨慎的行为，最敏感的任务则使用移动数据。

如果想用一个到期自动结束的预付套餐来增加这一传输层，可以在价格页面查看选项，并在下载页面找到适合你设备的免费 VPNclient 应用。