VPN 究竟能保护什么？

VPN 保护的东西范围不大，但很有价值：你的数据在设备与 VPN 服务器之间那一段的传输。它加密这一段，让本地网络和网络运营商看不到你访问了哪些网站，并把你的 IP 地址换成服务器的。它并不保护你的设备、账号或整体身份。清楚界线在哪里，才能把 VPN 用对，避免产生错误的安全感。

本文列出 VPN 确实能保护的内容并配以具体例子，然后指出人们常误以为有保护的地方。想深入了解后一部分，请看 VPN 无法保护你的哪些方面。

保护的边界

把你的连接看作由三段组成的链条：

1. 设备到 VPN 服务器。 这是加密隧道，VPN 保护的就是这一段。
2. VPN 服务器到网站。 流量在这里离开隧道。之后是否仍然加密，取决于网站是否使用 HTTPS。
3. 网站和你的账号。 网站上发生的一切，包括它如何存放你的数据，都不在 VPN 的控制范围之内。

VPN 所保护的一切都在链条的第一段，外加一个附带效果：第二段使用的是服务器的 IP 地址而不是你的。

VPN 保护得好的方面

不可信网络上的流量

在你无法掌控的网络上，例如酒店、机场或咖啡馆的 Wi-Fi，其他用户和运营者有可能查看或篡改未受保护的流量。FTC 关于公共 Wi-Fi 的指引建议在这类网络上谨慎行事，并指出加密很重要。

VPN 在设备与服务器之间给流量包上加密，因此同一个 Wi-Fi 上的人只能看到发往同一个地址的乱码。举个实际的例子：你在火车站的网络上查看邮件。没有 VPN 时，运营者能看到你的设备联系了哪些域名；有 VPN 时，他们只看到一条加密链路。

这并不意味着公共 Wi-Fi 一下子变得安全，而是其中一大类风险，即本地网络上的截获，被降低了。更全面的习惯请参阅 如何更安全地使用公共 Wi-Fi。

本地网络和运营商能看到什么

你的网络运营商、学校、公司或楼宇网络，通常能记录你联系了哪些域名。使用 VPN 后，他们看到的是你连接了 VPN 服务器和数据量，看不到隧道里的网站。如果你不希望运营商保存你的浏览去向记录，VPN 就把它们从这个角色中移除了。

代价是，这些信息改由 VPN 服务商看到。你选择的是由谁来拥有这个视角，而不是让它消失。

网站看到的 IP 地址

网站和广告系统会记录你的公网 IP 地址，它通常对应你的网络运营商和大致位置。使用 VPN 后，它们记录的是服务器的地址。这意味着：

• 网站不能仅凭 IP 地址就把这次访问与你家的网络对应起来。
• 多个 VPN 用户可能共用同一个地址，使基于 IP 的追踪不那么精确。
• 在网络游戏大厅或点对点连接等其他参与者可能看到你 IP 的场景中，你家的 IP 地址暴露得更少。

这保护的是 IP 地址本身，并不能防范其他方式的追踪，下文和 VPN 会隐藏你的 IP 吗一文都有说明。

正确处理时的 DNS 查询

每次访问网站，设备都会做 DNS 查询。设置正确的 VPN 会让这些查询也经过隧道，本地网络就看不到。如果它们漏了出去，就是 DNS 泄漏，会抵消一部分 VPN 的意义。

不使用 HTTPS 的网站

多数网站使用 HTTPS，在浏览器与网站之间加密。一些较旧或配置不当的服务仍使用明文 HTTP 或未加密协议。VPN 会在前往服务器的路上加密这些流量，本地网络因而读不到；过了服务器后，它又以未加密形式传输。所以 VPN 减少了暴露，却没有修复根本的弱点。HTTPS 与 VPN一文对两者做了比较。

VPN 不能保护的方面

下面是最常见的误解。

误以为	实际情况
“VPN 让我匿名。”	不是。VPN 服务商能看到你的真实 IP，网站也能通过登录、Cookie 和指纹识别你。
“VPN 能挡住病毒。”	不能。恶意下载在隧道里仍然是恶意的。
“VPN 能阻止网络钓鱼。”	不能。假登录页面通过 VPN 访问也一样起作用。
“VPN 保护我的账号。”	不能。起作用的是强且不重复的密码和双重验证。
“VPN 能挡住广告追踪。”	只能部分。Cookie、账号登录和浏览器指纹仍会跟着你。
“网站被黑，VPN 也能保护我。”	不能。被入侵的网站所存的数据不受你的隧道影响。
“VPN 能保护被感染的设备。”	不能。设备上的恶意软件可以在数据加密之前读取它。

一个完整的例子

假设你出差，使用酒店 Wi-Fi。你连接 VPN，在浏览器里打开邮箱，读到一封带链接的银行邮件，并点击了链接。

• VPN 保护的： 其他住客和酒店网络看不到你的笔记本联系了哪些域名，因为流量在隧道内。你访问的网站看到的是 VPN 服务器的地址，而不是酒店的。
• 由 HTTPS 保护、VPN 并不负责的： 你所读页面的内容，在浏览器与网站之间是加密的。
• 两者都保护不了的： 如果邮件里的链接通向一个仿真度很高的假银行页面，而你输入了密码，攻击者就拿到了。只有仔细核对和双重验证才有帮助。

防护是分层的：VPN 保护网络路径，HTTPS 保护与每个网站的连接，而你自己的习惯保护你的账号。

获得预期保护的实用步骤

1. 在使用不可信网络之前连接，而不是之后。一加入 Wi-Fi 就打开 VPN。
2. 确认连接成功。 检查应用显示已连接，并且你可见的 IP 地址已经改变。帮助中心有一篇关于检查 VPN 是否正常工作的指南。
3. 如有 kill switch 或类似功能，请保持开启，避免隧道断开时流量悄悄漏到隧道之外。
4. 保持 HTTPS 和更新。 不要忽视浏览器关于证书的警告，并及时安装系统更新。
5. 单独保护账号。 使用密码管理器和双重验证。

值得记住的局限

• 信任转移到了服务商。 VPN 服务器的运营者在技术上能看到你的流量去向。请选择能读到清晰信息的服务商，除非服务商明确声明，否则不要假定它有某种日志政策。
• 各国对 VPN 的态度不尽相同。 法律各异，VPN 不会凌驾于法律或网站的服务条款之上。
• 性能会变化。 加密和多出来的一跳可能影响速度。

小结

VPN 保护设备与 VPN 服务器之间的这一段，减少本地网络和网络运营商能看到的浏览信息，并在网站眼中替换你的 IP 地址。它不保护你的设备、密码、账号，也不能让你在登录的网站面前隐藏身份。把它用在最有帮助的场景，例如公共 Wi-Fi 和出行，并配合 HTTPS、系统更新和双重验证。

如果这符合你的需求，定价页面列出了可选的通行证，帮助中心则涵盖设置方法。