VPN 无法保护你的哪些方面

VPN 保护的只是一件具体的事：你的设备与 VPN 服务器之间流量所走的路径。这很有价值，尤其是在你无法控制的网络上。但“保持网络安全”涵盖的远不止网络路径，人们在网上受到伤害的常见方式，大多发生在隧道之外。

本文列出 VPN 做不到的事，附简单的例子和应有的做法。其中许多话题在关于 VPN 安全的常见误区中以误区的形式出现，这里着重于实际防护。想了解 VPN 确实覆盖了什么，见VPN 实际保护什么。

1. 钓鱼与假网站

VPN 会把你的流量送到你要求的任何目的地。如果你点击一封逼真邮件中的链接，在假的银行页面上输入密码，VPN 会像对待真银行一样乖乖地把密码送到攻击者手里。

有效的做法：

• 看浏览器地址栏里的网址，而不是链接上显示的文字。
• 重要网站通过手动输入网址或书签访问。
• 对紧急催促、威胁和意外的附件保持怀疑。
• 阅读如何识别钓鱼网站，以及网络安全机构 CISA 关于识别和举报钓鱼的建议。

2. 恶意软件与恶意下载

VPN 不扫描文件，也不判断软件是否安全。藏在破解程序里的木马，无论有没有 VPN 都会照常运行。已经在你设备上的恶意软件，还能在数据被隧道加密之前读取数据。

有效的做法： 保持操作系统和应用更新；只从官方应用商店或开发者网站安装软件；使用设备自带或信誉良好的安全工具；谨慎对待邮件附件。

3. 弱密码、重复密码或被盗密码

如果攻击者拿到了你的密码，他们可以在任何地方登录，VPN 与此无关。密码会在公司数据泄露中外泄，太短或太常见就会被猜到，在多个网站重复使用时，一次泄露就能打开许多扇门。

有效的做法： 使用密码管理器，为每个账号设置长而唯一的密码，并在可用的地方开启双重验证。CISA 的“More than a Password”页面阐述了多重验证的价值，什么是双重验证介绍了各种选择。FIDO Alliance 介绍的通行密钥（passkey），在支持的网站上能让密码退出舞台。

4. 账号、Cookie 与指纹追踪

登录某项服务后，无论你的 IP 地址是什么，它都知道你是谁。Cookie 让广告商能在不同网站上认出同一个浏览器。浏览器指纹把屏幕尺寸、字体和设置等细节组合成一个标识，完全不需要你的 IP 地址。

有效的做法： 不需要登录时就退出账号；使用追踪防护较强的浏览器；清理或限制 Cookie；为不同用途使用不同的浏览器配置文件。EFF 的 Surveillance Self-Defense 指南对此有深入讲解。另见VPN 能让你匿名吗。

5. VPN 运营方与对端的网站

VPN 转移的是信任。你的网络服务商和咖啡馆的网络不再以同样的方式看到你的网站和内容，但 VPN 运营方现在处于能观察流量元数据的位置。因此要慎重选择信任的对象，并寻找清晰、具体的说明，而不是口号。没有哪种 VPN 能让你无需信任任何人。

在另一端，你访问的网站仍会收到你发送的内容。如果你发布个人信息，无论用什么方式连接，网站都会保存。

有效的做法： 选择对自己的做法说得清楚的服务，阅读其条款，只分享你愿意让目的地知道的信息。

6. 被入侵的设备

如果有人能接触到你已解锁的手机，或者恶意软件控制了你的电脑，VPN 也在为他们工作。屏幕录制、键盘记录器和远程控制工具都在你的设备上，位于隧道的上游。

有效的做法： 用 PIN 或生物识别锁屏、开启设备加密、及时更新，并删除你不认识的应用。

7. 公司保存的数据

公司会保留你提供的信息的副本：姓名、地址、订单记录、消息。公司一旦遭到入侵，你的数据可能被暴露，而 VPN 与此无关。雇主、学校或商店处理信息时的失误也是如此。

有效的做法： 只向服务提供必要的信息；在可行时为每项服务使用不同的邮箱别名或密码；留意泄露通知。

8. 过度分享与社会工程

陌生人如果从社交媒体帖子里得知你住在哪里、在哪里工作、去哪里旅行，就无需破解任何加密。攻击者还会冒充客服人员、朋友或同事，劝你交出验证码。

有效的做法： 检查隐私设置；发布实时位置前先想一想；绝不分享一次性验证码；通过另一个渠道核实请求。

9. 法律与政策问题

VPN 不会改变什么是合法的，也不会改变网站的服务条款、雇主的规定或某个国家的法律。用 VPN 去做违法的事，并不会让这件事变得可以接受，而且各国对 VPN 使用本身的规定也不同。请确保你所做的事在所在地是被允许的。

速查表

威胁	VPN 能阻止吗	更有效的办法
钓鱼	不能	核对网址、双重验证
恶意软件	不能	更新、官方来源、安全工具
弱密码或被盗密码	不能	密码管理器、通行密钥、双重验证
Cookie 与账号追踪	部分（仅限 IP）	隐私设置、退出登录
浏览器指纹	不能	抗追踪的浏览器
公共 Wi-Fi 上的窃听	大体可以	VPN 加 HTTPS
向网站隐藏你的地址	可以，仅限 IP	了解还有什么能识别你
公司数据泄露	不能	唯一密码、少量分享

按顺序该怎么做

1. 先保护最重要的账号。 先处理邮箱、银行和手机账号，使用强且唯一的密码和双重验证。
2. 保持设备更新，并使用锁屏。
3. 对链接和附件放慢速度。 点击之前先核实。
4. 使用 HTTPS 网站，并留意浏览器的警告。
5. 在 VPN 擅长的场景加上它，例如公共 Wi-Fi。参见公共 Wi-Fi 安全。
6. 偶尔测试你的 VPN 是否如预期工作。参见如何检查 VPN 是否正常工作。

小结

VPN 保护的是数据的旅程，而不是你的判断力、密码、设备，也不是你打交道的网站和公司。它只是多层防护中有用的一层。对大多数人来说，最大的安全收益来自强且唯一的密码、双重验证、保持更新的软件和谨慎点击，在网络隐私重要的地方再加上 VPN。

如果网络隐私是你计划的一部分，定价页面说明了不自动续费的预付套餐如何运作，帮助中心可帮助你设置并检查连接。