VPN、杀毒软件与防火墙有什么区别？三样都需要吗？

很多人会问，到底该买 VPN、杀毒软件还是防火墙，好像这三样是同一个问题的几个竞争答案。其实不是。它们回答的是三个不同的问题：我发出去的流量在路上谁能看到？我刚下载的东西有没有害？哪些连接有资格访问我的设备？一个工具在其中一项上很出色，在另外两项上可能几乎没用，所以那些暗示单个产品能覆盖“一切”的宣传，值得保持一点怀疑。

本文用通俗的语言说明三者各自做什么、在哪里止步、有哪些重叠，以及怎样判断你真正需要什么。文中不推荐任何具体的杀毒软件产品，对任何特定 VPN 也只讲这项技术通用的工作原理。

三种工具，三种不同的任务

区分它们最简单的方法，是问每一样“看守”的是什么。

• VPN 看守道路。 它加密你的设备与 VPN 服务器之间的连接，路径中间的人，例如咖啡馆、酒店或你的网络运营商，就读不到流量内容。Cloudflare 对 VPN 的概述很好地解释了这个隧道的概念。它还会改变网站看到的 IP 地址。
• 杀毒软件看守文件。 它扫描程序、下载内容、邮件附件，有时还包括网页，查找已知的恶意代码或可疑行为，并能隔离或清除发现的威胁。
• 防火墙看守大门。 它按规则决定哪些连接可以进入或离开设备或网络。互联网上的任何对象都可能是来访者，由防火墙决定谁能进来。

想象一座房子。VPN 是一辆封闭的送货车，替你运送信件，路上没人能拆开读。杀毒软件是在包裹进门之前检查每一件有没有危险物品的人。防火墙是门上的锁，以及“只有预期的客人才能进门”的规矩。封闭的车拦不住危险的包裹，再好的锁也保护不了在路上被人偷看的信。

VPN 能做什么，不能做什么

VPN 保护传输中的数据，并改变网站看到的地址。这在公共或共享网络上很有价值，因为那里的其他人可能观察甚至篡改未加密的流量。美国联邦贸易委员会（FTC）关于公共 Wi-Fi 的指南解释了开放网络为何风险更高，而 VPN 是合理的应对办法之一。想了解全貌，请阅读VPN 究竟保护什么。

它做不到的事：

• 不会扫描或清除恶意软件。如果你通过 VPN 下载了一个被感染的文件，文件在传输中被加密、完整地到达，但它依然是被感染的。
• 不会拦截钓鱼页面。通过 VPN 打开的假银行网站，仍然是假银行网站。
• 不会像防火墙那样过滤对你设备的入站连接尝试。
• 不会保护使用弱密码的账号。
• 不会让你匿名。VPN 服务商能看到你的流量元数据，网站仍可凭登录信息和 Cookie 认出你。

这些局限在VPN 无法保护你的哪些方面中有进一步说明。

杀毒软件能做什么，不能做什么

杀毒软件，现在常被称为反恶意软件或终端防护，检查的是设备上以及即将到达设备的东西。它把文件与已知威胁比对，监测类似勒索软件或键盘记录器的行为，也能拦截已知的危险网站。这很重要，因为恶意软件通过附件、破解软件、伪造的更新和恶意广告传播，这些与你用的是哪个网络无关。

它做不到的事：

• 不会加密你的流量，也不会隐藏 IP 地址。
• 不能识别所有新威胁。检测总是落后于攻击者，全新的恶意软件可能在一段时间内不被发现。
• 不能阻止你在一个足够逼真的假登录页面里输入密码，尽管有些产品会提醒已知的钓鱼网站。
• 不能代替软件更新。许多攻击利用的是新版本里早已修复的漏洞。

现代操作系统自带的防护，在保持更新并开启的情况下，对许多用户已经够用。付费产品会增加一些附加项，比如更高级的检测、身份信息监控和家长控制。这些附加项是否值得花钱，取决于你怎样使用设备。

防火墙能做什么，不能做什么

防火墙按规则过滤连接：哪个应用、哪个端口、哪个方向、哪个地址。常见的有两类。

• 主机防火墙 运行在你的笔记本或手机上，是操作系统的一部分，决定哪些程序可以接受入站连接。
• 网络防火墙 位于路由器或办公网络中，保护它后面的一切。大多数家用路由器还会做网络地址转换（NAT），本身就能防止未经请求的入站连接到达具体的设备。

防火墙工作时很安静，所以许多人忘了它的存在。它防范的是有人试图访问你机器上运行的服务，也能阻止设备上的软件向不该联系的地方发出连接。

它做不到的事：

• 不读取也不扫描文件内容，所以分不清无害的下载和有害的下载。
• 流量离开设备后，它不会对其加密。
• 对你自己请进来的威胁无能为力，例如你自己安装的程序或点开的链接。
• 不会向你访问的网站隐藏 IP 地址。

并排对比

	VPN	杀毒软件	防火墙
回答的核心问题	网络上谁能看到我的流量？	这个文件或程序有害吗？	哪些连接可以进出我的设备？
防范对象	路径上的窥探、本地网络的观察者	恶意软件、勒索软件、恶意下载	未经请求的入站连接、不需要的出站连接
改变网站看到的 IP	是	否	否
扫描文件	否	是	否
常见位置	设备或路由器上的应用	设备上的软件	操作系统、路由器或公司网络
需要你关注什么	需要时打开	保持更新并查看扫描结果	通常静默运行
最大盲区	恶意软件和钓鱼仍然有效	看不到网络上的窥探	你自己请进来的内容

你到底需要哪几样？

几乎每个人默认都已有前两层，因为它们是内置的。防火墙已经在操作系统和家里的路由器里运行，当前大多数操作系统也自带防病毒保护。请确认两者都已开启，并设置为自动安装更新。在此之后，更有用的问题是：你面临哪些额外风险？

• 经常使用公共 Wi-Fi。 VPN 在这里确实有价值，因为它保护共享网络上的流量。关于威胁如何发生，请阅读公共 Wi-Fi 安全。
• 从许多来源下载软件、共享文件或与家人共用电脑。 可靠的杀毒防护和细心的更新习惯，比 VPN 更重要。
• 在家运行服务，如媒体服务器或远程桌面。 防火墙规则最重要，要有意识地选择开放哪些端口。
• 处理敏感数据的远程办公。 雇主可能要求使用公司 VPN，而像 NIST 的远程办公建议这样的指南，把远程访问保护、终端安全和强身份验证视为一个整体。
• 希望运营商或本地网络看到的更少。 VPN 适合这个需求，代价是你要改为信任 VPN 服务。

日常场景

在咖啡馆办公的人。 她在咖啡馆编辑文档，最大的暴露面是共享网络，所以值得开启 VPN。邮件附件带来的最大风险是恶意软件，所以保持更新的杀毒防护同样重要。防火墙则在她不知不觉间运行。

共用笔记本的学生。 他从许多网站下载学习资料，有时会安装免费软件。对他来说，杀毒软件和及时更新最重要。除非他经常在公共网络上学习，否则 VPN 是可选项。

出行的人。 他使用酒店和机场的 Wi-Fi。VPN 保护这些网络上的流量，而杀毒软件和防火墙仍然保护笔记本本身。三者缺了一个，每次暴露的缺口都不同。

在家搭实验环境的爱好者。 她把一台小服务器暴露在互联网上。防火墙是她的主要工具，再配合强密码和更新。她可以用 VPN 从外面安全地访问家里的网络，而不是把它开放给所有人。

重叠之处，以及营销如何模糊界限

有些安全套装把三样打包在一起，也有些 VPN 应用增加了拦截已知恶意网站或广告之类的功能。这些附加项可能很方便，但它们不是 VPN 之所以成为 VPN 的原因。VPN 的核心是加密隧道和可见地址的变化。如果某个附加功能对你很重要，请核实它是否真的存在、如何工作，而不要凭产品名称去猜。

请警惕“全面防护”“军用级”“绝对安全”这类说法。三种工具无论怎样组合，都不能让设备百毒不侵。它们各自降低特定的风险，每一样都有另外几样补不上的局限。

常见错误

• 把 VPN 当杀毒软件用。 隧道不会清理文件。
• 同时运行多个杀毒软件。 重叠的实时扫描程序可能互相冲突并拖慢系统。一个维护良好的产品就够了。
• 为了解决问题而关掉防火墙。 应该添加具体的规则，或在测试后重新打开。
• 忽视更新。 未打补丁的软件是最常见的入侵途径之一。
• 只依赖工具而忽略习惯。 强且唯一的密码、双重验证，以及对意外链接保持谨慎，能挡住任何工具都看不到的攻击。CISA 的钓鱼识别指南是不错的起点，电子前哨基金会（EFF）的 Surveillance Self-Defense 指南则以务实的方式讲解如何思考威胁。
• 购买自己说不清用途的防护。 如果你说不出一个产品防范什么，多半你得不到想要的东西。

局限与注意事项

这三种工具都不能保护你免受自己做出的决定。如果你批准了一次登录请求、打开了陌生人发来的文档，或重复使用了已经泄露的密码，工具没有立场替你拒绝。同样，被关闭、已过期或没更新的工具不提供任何保护，所以要时不时检查它们的状态。就 VPN 而言，要记住它把信任转移给了服务商，因此付费前先弄清自己买的是什么。付费购买 VPN 前要检查什么是一份实用的清单。

小结

VPN 保护你在网络上的流量并改变网站看到的地址；杀毒软件查找设备上的恶意文件和行为；防火墙过滤哪些连接可以进出设备。它们解决不同的问题，所以彼此互补，没有哪一个能替代另一个。保持内置防火墙和杀毒功能开启并更新，在使用无法控制的网络时加上 VPN，再用强密码和双重验证把一切托底。

如果你认为 VPN 对公共网络有帮助，XPASS 预付通行证提供固定天数、不自动续费的使用方式，帮助中心里有设置方法。