VPN 与代理有什么区别？

VPN 和代理都在你与网站之间多了一层，但在覆盖范围、加密和信任上不同。本文用例子清楚对比。

阅读约 7 分钟更新于 2026年10月15日作者：XPASS Editorial Team

代理和 VPN 都会在你与所访问的网站之间放一台服务器，所以人们常把它们混为一谈。其实它们是不同的工具。代理通常只为一个应用（例如浏览器）转发流量，且往往不加密。VPN 则在操作系统层面建立加密隧道，设备的大部分或全部流量都会经过它。

本文分别介绍两者，并列表对比，再给出各自适用情形的实用建议。如果想先了解 VPN 的基本概念，请阅读 VPN 是什么。

代理做什么

代理服务器充当中间人。你配置某个应用，让它把请求发给代理；代理代你向网站发出请求，再把响应传回来。网站看到的是代理的 IP 地址，而不是你的。

常见类型：

HTTP 代理。 处理网页请求。HTTP 本身（定义于 RFC 9110）包含代理这类中间节点的概念，并有一种方法可请代理打开通往另一台服务器的隧道。普通 HTTP 代理能看到经过它的请求。
支持 HTTPS 的代理。 能够在不读取内容的情况下，转发加密的 HTTPS 连接，但仍能看到你联系的主机。
SOCKS 代理。 更通用的代理，可为任何支持它的应用转发 TCP（有时也包括 UDP）连接。它本身不加密。
透明代理或企业代理。 由机构在其网络上运行，用于过滤或缓存流量，往往无需你做任何配置。

关键点：代理改变的是请求看上去的来源，加密不是代理的职责。流量是否加密，取决于应用是否使用 HTTPS 之类的机制，而不取决于代理。

VPN 做什么

设备上的 VPN 客户端会创建虚拟网络适配器，并通过加密隧道把流量发往 VPN 服务器。操作系统会把大部分或全部流量按这条路径走，无论流量由哪个应用产生。VPN 是如何工作的一文逐步讲解了这个过程。

与代理相比：

它加密设备与 VPN 服务器之间的一切。
它覆盖所有使用网络的应用，包括根本没有代理设置的应用。
配置正确时，它还处理 DNS 查询，本地网络因而看不到。

并排对比

特性	代理	VPN
覆盖范围	单个应用或协议，需逐个配置	整台设备，或用分应用走隧道选择特定应用
到服务器的加密	自身通常没有	有，在隧道内
对本地 Wi-Fi 隐藏内容	仅当应用同时使用 HTTPS	是，隧道内的一切都隐藏
改变网站看到的 IP	是	是
DNS 处理	取决于类型和设置	通常包含在隧道内
设置方式	在每个应用里填写地址和端口	设备上一个应用或配置文件
典型用途	测试、在单个应用内简单更换 IP、企业过滤	不可信网络上的通用隐私保护、出行、远程接入
需要的信任	代理运营者能看到你的请求	VPN 服务商能看到你流量的目的地

一个具体例子

假设你在咖啡馆的网络上，把浏览器设置为使用一个免费代理。

浏览器的请求发往代理。如果页面使用普通 HTTP，咖啡馆网络可以读到前往代理途中的请求，代理运营者也可以读取并修改。
如果页面使用 HTTPS，内容在浏览器与网站之间仍是加密的，但咖啡馆网络仍能看到你的设备在与代理通信，代理则能看到你访问了哪个网站。
你的邮件应用、聊天应用和系统更新根本没有使用代理，它们直接连接，咖啡馆网络照常看到一切。

再来对比同一个网络上的 VPN。邮件应用、聊天应用、浏览器和系统服务都把流量送进隧道，咖啡馆网络只看到一条加密链路。HTTPS 仍在其上保护页面内容，而 VPN 运营者则成为能看到你访问目的地的一方。

代理适用的场合

快速测试。 开发者用代理查看网站从另一个地址访问时的响应，或检查自己的流量。
机构的过滤与缓存。 学校和公司用代理落实各类策略。
单个应用的转发。 如果你只希望某个应用的流量看起来来自另一个地址，又不需要加密，或本来就信任代理运营者，代理设置起来很简单。

VPN 更合适的场合

不可信网络。 在公共 Wi-Fi 上，整台设备的加密才是关键。参见公共 Wi-Fi 场景。
出行和远程办公。 你需要所有应用表现一致，包括邮件、聊天和工作工具。
减少网络运营商对你的可见度，且覆盖所有应用，而不仅是浏览器。

需要了解的风险

免费和来历不明的代理

由你无法确认身份的人运营的开放代理，会让那个人看到你的请求；对于未加密的流量，他们还可能注入广告、改动内容或截取凭据。很少有商业模式能解释为什么它是免费的，你通常也无从知道数据最终怎么处理。EFF 的 Surveillance Self-Defense 指南解释了为什么要认真考虑谁处在你的流量路径上。