VPN 与防火墙有什么区别？

很多人把 VPN 和防火墙放在同一个标签下，叫做“安全的东西”，然后纳闷是不是有了一个另一个就多余了。其实它们在设备与互联网之间的路径上，处于不同的位置，做不同的事。防火墙是规则检查员，VPN 是受保护的路线。把两者混为一谈会留下漏洞，比如指望 VPN 拦住不请自来的传入连接，或者指望防火墙对咖啡馆的网络隐藏你的浏览记录。

本文不重复与杀毒软件的宽泛对比，那部分在 VPN、杀毒软件与防火墙的比较里。这里我们顺着真实的网络流量，一个数据包一个数据包地走过这两样工具，让你清楚看到每一样在哪里起作用，又对什么不作处理。

先说结论：门卫与运输车

想象一栋楼。防火墙是入口的保安台，对照规则清单检查谁进谁出，不在名单上的就挡回去。VPN 是一家押运公司：在你家门口收下包裹，锁进保险箱，开到中转站，再从那里转运出去。

• 保安台决定谁可以通过，但不会把你的包裹封起来。
• 运输车保护的是旅途，但它不决定大楼应当接待什么样的访客。

记住这两幅画面，文章其余部分就只是细节了。防火墙回答的是：“这个连接应该被允许吗？” VPN 回答的是：“这些流量在路上谁能读到？”

防火墙实际在决定什么

防火墙观察网络连接并应用规则。规则一般用到下面这些字段。

• **方向：**入站（有东西试图访问你的设备）或出站（你的设备主动向外联系）。
• **地址：**涉及哪个源或目的 IP 地址，或哪一段地址。
• **端口和协议：**比如网页流量用众所周知的端口，其他服务用别的端口。
• **应用程序：**在电脑上，有些防火墙还能按程序单独决定。
• **状态：**有状态防火墙会记住你发出的请求，放行对应的回复，但拒绝不请自来的传入连接。

常见的默认规则很简单：允许你发起的出站连接，允许其回复，拦截不请自来的入站连接。光这一条默认规则，就挡掉了来自互联网的大量不受欢迎的探测。

家用路由器还有一个相关功能，叫网络地址转换（NAT）。家里所有设备共用一个公网 IP，路由器保存一张表，记录内部哪台设备请求过什么。由于内部地址来自 RFC 1918 规定的私有地址段，外部的人无法直接向它们发送流量。配合路由器的防火墙，除非你特意打开某些东西，否则家里的设备从外面是访问不到的，这一话题在 VPN 端口转发详解里有说明。

留意防火墙不做的事：它不会加密放行的流量。如果防火墙允许你的笔记本和某个网站通信，处于两者路径上的任何人仍可能观察到这个连接。

VPN 在网络层面实际做什么

在数据包层面，VPN 做的事不一样。VPN 应用会在你的设备上创建一个虚拟网络接口，操作系统被告知把流量送到这个接口。应用拿到每个出站数据包，加密，再装进一个发往 VPN 服务器的新数据包里，这叫封装。VPN 服务器解密后转发到目的地，回复时则反向处理。IP 世界里这一思路的标准架构，在 RFC 4301 和 NIST 的 IPsec VPN 指南中有说明，其他协议形态相同，细节各异。

有三个结果对于比较很重要。

1. **本地网络看到的是一条加密的数据流。**咖啡馆的路由器看到的是发往 VPN 服务器的数据包，看不到里面的站点。
2. **目的地看到的是 VPN 服务器。**网站收到的连接来自服务器，而不是你的本地网络。
3. **不对放行内容作任何判断。**隧道运送你送进去的东西。如果设备上有恶意程序发送流量，VPN 同样会忠实地运走。

所以 VPN 关乎保护并转移路径，它不是过滤器。隧道如何建立，可见 VPN 是如何工作的。

并排对比

问题	防火墙	VPN
主要任务	按规则允许或拦截连接	加密并通过隧道运送流量
作用位置	设备上（主机防火墙）和网络边缘（路由器或专用设备）	设备上，另一端是 VPN 服务器
查看内容	方向、地址、端口，有时包括应用程序	把数据包整体包起来，不作判断
防范对象	不请自来的入站连接，不需要的出站连接	路径上的其他人读取或篡改你的流量
不防范	观察者读取已放行的流量	对设备的入站连接尝试，你自己运行的恶意程序
网站能否察觉	完全察觉不到	服务器的地址取代你的地址
通常是否已有	有，操作系统和家用路由器里都有	没有，需要自己添加
典型故障	某条规则开得太宽	隧道悄悄断开而你没发现

表格让关键点显而易见：“防范对象”和“不防范”两行几乎互为镜像。这就是两样都用的人并没有白费功夫的原因。

顺着真实流量走一遍

看看某个晚上的几个瞬间。

**在家里打开新闻网站。**笔记本的主机防火墙允许这个出站连接，路由器防火墙允许连接及其回复。VPN 关闭时，网络运营商看到你联系了该网站；VPN 开启时，运营商看到流量去了 VPN 服务器。两种情况下防火墙的表现完全相同，因为它只决定是否放行连接。

**互联网上的扫描程序探测你家的地址。**它向你的公网 IP 发送不请自来的数据包。路由器防火墙把它们丢掉，因为内部没有任何东西请求过。VPN 在这里不起作用，这条攻击路径由防火墙负责。

**连上咖啡馆的 Wi-Fi。**此时你的主机防火墙成了主要的门卫，因为咖啡馆的路由器不属于你。如果配置了相应规则，它会继续拦截该 Wi-Fi 上其他设备对你笔记本的入站连接。与此同时，VPN 对那些人隐藏你的流量。各自做对方做不到的事。

**笔记本上的某个程序开始向陌生地址发送数据。**按应用设置的防火墙规则可能提醒你或直接拦截；VPN 则会把这些数据装进隧道，不置一词。

**你在家里架了个小型文件服务器，想在出差时访问。**你可以在路由器上开放端口，这会让服务向所有人暴露；也可以通过 VPN 入口接入家庭网络，只向通过身份验证的用户开放。这是两者配合的地方：防火墙规则只放行 VPN 的入口，而 VPN 保护这条路径。

在组织内两者如何相遇

在公司里，防火墙和 VPN 是一起设计的。公司防火墙位于互联网与内部网络之间，不让外人随意进入。VPN 网关则是穿过这堵墙的一个有意开放、需要认证的入口。远程员工连接网关，证明身份，获得对选定内部系统的访问权。进来之后这位 VPN 用户能到达什么，再由防火墙规则决定。

更新的设计，比如 NIST SP 800-207 描述的零信任，减少了对单一网络入口的依赖，但仍使用类似防火墙的策略决策。零信任与 VPN 的比较一文解释了这种新模型与 VPN 的关系。

这也是为什么个人用 VPN 和公司 VPN 是不同的产品。前者保护你到通用服务器的路径；后者则打开一扇受控的门，通向私有网络。更多内容见 企业 VPN 与个人 VPN。

防火墙拦截 VPN 的时候

因为防火墙决定什么可以通过，它也可以限制 VPN 连接。学校、公司、酒店和一些公共网络出于政策、带宽或合规的考虑，设置规则限制或禁止 VPN 流量。如果你的 VPN 在这种网络上连不上，通常表现为一直停在“连接中”，或反复失败。

可以这样做：

1. 检查同一个 VPN 在别的网络，比如手机流量下能否连上。如果能，说明第一个网络在限制它。
2. 阅读该网络的使用规定。如果禁止 VPN，请遵守。
3. 询问网络所有者或 IT 团队是否允许使用 VPN，以及该怎么做。
4. 如有需要，改用手机流量完成那件事。

不要把网络的防火墙规则当作要攻破的谜题。它们是所有者的政策，违反可能让你失去访问权限，甚至丢掉工作。帮助文章 VPN 连不上怎么办按顺序讲了常见原因的排查办法。

常见误区

• **指望 VPN 阻止入站攻击。**它不做过滤。请保持操作系统和路由器的防火墙开启。
• **指望防火墙隐藏浏览记录。**它让已放行的流量以明文通过，共用网络仍可观察。
• **“VPN 开着”就关掉主机防火墙。**两者相互独立，VPN 隧道并不能取代设备上的入站过滤。
• **为图方便在路由器上开端口，然后忘掉。**每个开放的端口都是防火墙上的一个洞，不用的要关掉。
• **以为有了 VPN，防火墙规则就无关紧要。**主机防火墙规则仍然适用于应用产生的流量，包括隧道里的。
• **受管网络拦截 VPN 时怪 VPN。**拦截是政策，不是缺陷。

实用清单

1. 确认每台笔记本和台式机上系统自带的防火墙已开启。
2. 确认家用路由器的防火墙已开启，且没有开放不需要的端口。
3. 使用共用 Wi-Fi 前，先开启 VPN 保护路径，同时保持主机防火墙开启以保护设备本身。
4. 如果你在家里运行服务，尽量通过 VPN 入口访问，而不是把端口暴露到互联网。
5. 如果你使用随 XPASS 通行证搭配的免费应用 VPNclient，请从下载页面安装，并用 My Pass 页面显示的用户名和密码登录。
6. 偶尔测试一下你的设置，可参考 如何检查 VPN 是否在工作中的流程。

小结

防火墙是按规则决定哪些连接可以通过的门卫。VPN 是受保护的路线，加密流量，并向你访问的网站呈现另一个地址。两者所处位置不同，防范的对象不同，出问题的方式也不同，所以谁也取代不了谁。让防火墙一直开着，应对不请自来的流量；在使用共用网络或希望对运营商保持隐私时加上 VPN；遇到受管网络的拦截，把它当作需要尊重的政策。

如果你觉得这幅图里 VPN 那一半适合你的出行或工作，可以看看价格页面了解预付通行证是怎么回事。