虚拟专用网络（VPN）详解：类型与用途

“虚拟专用网络”是一个人们天天挂在嘴边、却很少拆开来想的词。可是这三个字每一个都有实际含义；一旦弄懂每个词指什么，从公司给你的那种 VPN，到手机上的那个应用，就会显得是同一思路下的不同变体，而不是毫不相干的产品。

本文有意使用全称。我们逐字解读这个名称，梳理这一想法的发展脉络，用表格比较主要类型，说明背后的技术家族，最后给出把类型和需求对应起来的实用方法。如果你只想先看一个简短的定义，VPN 是什么 用几段话就说清楚了。

逐字解读名称：虚拟、专用、网络

我们倒着来，因为第三个词最简单。

网络。 网络就是一组能互相交换数据的设备。你家的 Wi-Fi 是一个网络，公司办公室的局域网是一个网络，整个互联网也是一个网络。关键在于，网络里的成员可以互相访问。

专用。 专用网络是只有获得授权的成员才能参与、外人读不到其中流量的网络。典型的办公室网络之所以是专用的，是因为它在上锁的门和防火墙后面。街上的人既不能接线进来，也无法窃听。

虚拟。 这是最巧妙的一个字。虚拟专用网络获得了专用网络的好处，却不必真的去建一个。它不在站点之间铺设专线，而是使用现成的、共享的互联网，用软件来造出“专用”的那一部分：流量被打包和加密，行为上就像走在一条封闭的专线上。

合起来，这个名称描述的是：一个建立在共享基础设施之上、以虚拟方式存在的专用网络。这个定义也解释了为什么 VPN 在实践中会如此不同。“专用”的部分可以是两个办公室之间的链路，可以是员工笔记本连回公司的连接，也可以是手机到开放互联网上某台服务器的受保护通道。变的只是两端。

关于“专用”这个词有一个有益的提醒：它描述的是传输的保密性，而不是身份的隐秘。VPN 防止别人在共享网络上读取你的内容和目的地，但它没有把 VPN 的运营方从图景里去掉，也不会让你登录的网站认不出你的账号。

这个想法的简要历史

早在互联网成为日常基础设施之前，企业就需要把自己的办公室连接起来。经典的办法，是向电信运营商租用连接每两个站点的专线。它私密、可靠，但昂贵，而且每增加一个办公室，成本就随之上升。

随后，运营商开始在共享网络上出售虚拟电路，让每个客户拥有逻辑上独立的网络，而不用物理上独立的线路。企业也发现，只要加以保护，公共互联网能以低得多的成本承载同样的流量。到了 20 世纪 90 年代，加密与封装流量的标准日趋成熟，其中包括 IPsec 家族，远程办公的人开始通过互联网接入，而不再打长途电话。

之后又有两个变化塑造了今天的样子。第一，普通网页安全技术成熟，基于保护网站的同类加密传输来构建 VPN 变得可行。第二，个人需求增长，因为人们开始在咖啡馆、酒店和机场使用公共 Wi-Fi。个人 VPN 应用把原本属于企业的技术打包给了个人：安装应用、登录、连接。

这段历史的重点不在年份，而在模式。每一步都是用共享的、软件定义的东西，取代昂贵的、专用的东西，同时保留最重要的特性：别人读不到你的流量。

VPN 的主要类型

同一个名字涵盖了几种差别很大的方案。下表比较你最可能遇到的几种。

类型	连接什么	典型用户	由谁运营
远程访问 VPN	一台设备连接到专用网络	在家或出差办公的员工	雇主
站点到站点 VPN	两个或多个完整网络	总部及其分支机构	机构本身或其 IT 合作方
运营商托管专网	企业的多个站点，经由运营商网络	有许多办公室的大型企业	电信运营商
个人 VPN 服务	一台设备连接到开放互联网上的服务器	在公共 Wi-Fi 或旅途中的个人	商业服务商
网状（mesh）或叠加网络 VPN	许多设备之间直接互联	小团队、懂技术的家庭	用户自己，借助协调工具

对每一种做几点说明。

远程访问 VPN。 当你“登录公司 VPN”时，用的就是这种。笔记本上的软件建立一条通往办公室网关的隧道，让你访问文件共享或内网页面等内部工具。它通常会要求第二重验证，也可能检查你的设备是否已更新。NIST 的远程办公指南介绍了机构通常采取的安全措施。

站点到站点 VPN。 没有人坐在键盘前去连接它们。两台路由器或防火墙之间保持一条永久的加密链路，任何一侧后面的所有设备，都能像在同一栋楼里那样访问另一侧。用户不需要安装任何东西。

运营商托管专网。 大型机构有时向运营商购买专网，而不是自己在互联网上搭建。运营商在自己的基础设施上，从逻辑上隔离每个客户的流量。这是较早期、运营商意义上的“虚拟专用网络”，除非客户自己另外加密，否则它不一定对流量加密。

个人 VPN 服务。 多数消费者说的就是这种。你连接到服务商运营的服务器，流量再从那里出去到开放互联网。目的是在与陌生人共用的网络上得到保护，而不是进入某个私有办公室。它与企业 VPN 的区别，在 企业 VPN 与个人 VPN 里有更深入的说明。

网状（mesh）或叠加网络 VPN。 它们把设备直接互联，所以笔记本无需在家用路由器上开放端口，就能访问家里的电脑。Mesh VPN 工具 一文介绍了它什么时候有用。

底层的技术家族

在这些类型背后，有少数几种技术路线。你不用背下来，但认得这些名字，有助于阅读技术文档。

家族	基本思路	出现在哪里
IPsec	在网络层（IP 层）提供安全保护，由一组标准定义	站点到站点链路、操作系统内置客户端
基于 TLS（常称 SSL VPN）	复用保护网站的同类加密传输	企业远程接入、基于浏览器的门户
WireGuard	一种现代、精简、便于审查的协议	个人及企业 VPN，详见其官网
OpenVPN	历史悠久、基于 TLS 的开源 VPN	企业与个人均有使用
PPTP 等较早的协议	早期设计，如今被认为较弱	基本已淘汰

IPsec 由 RFC 4301 中的安全架构定义，NIST 的 IPsec VPN 指南说明了机构应如何选择与配置。如果想直接比较这两种讨论最多的开源协议，可以去看关于 WireGuard 与 OpenVPN 的比较。对初学者来说，关键一点是：家族决定性能与兼容性，而不是决定它算不算 VPN。

“专用”涵盖什么，不涵盖什么

有必要说得精确一些，因为“专用”这个词容易让人想多。

虚拟专用网络确实提供：

• 设备与 VPN 端点之间流量的保密性，共享路径上的人读不到。
• 完整性校验，也就是传输途中被篡改能被发现。
• 身份认证，只有持有有效凭据的人才能加入。
• 流量可见来源地址的改变：从你自己的，变成端点的。

它不提供：

• 匿名性。运营方、你的账号以及浏览器仍然能识别你。
• 对恶意软件、钓鱼或弱密码的防护。
• 端点之后的安全。离开个人 VPN 服务器后，流量走的是普通互联网，所以 HTTPS 仍然重要。
• 每个网站或应用都会接受这个连接的保证。

企业网络还有一点：远程访问 VPN 会赋予你与办公室内部人员相同的权限。如果攻击者窃取了凭据，也就继承了这些权限。因此许多机构如今会把 VPN 与更严格的检查配合使用，这个话题在 零信任与 VPN 里有介绍。

日常用途与类型的对应

看看真实的场景，更容易记住类型表。

在机场 Wi-Fi 上的旅客。 她希望邮件和银行信息，不会被同一网络上的其他乘客读到。个人 VPN 服务就是合适的类型。她的工作并不需要访问某个私有的办公室网络。

在家办公的顾问。 他需要打开只存在于客户大楼内部的文件服务器。客户给他提供了远程访问 VPN，配有公司账号和第二重验证。他自己的个人 VPN 无法让他访问那台文件服务器，因为那台服务器不在开放互联网上。

有第二家分店的小商店。 店主希望第二家分店的收银机能与第一家的库存系统通信。两台路由器之间的站点到站点 VPN，让两处共用一个专用网络，而且员工不用连接任何东西。

家里有存储硬盘的一家人。 他们想在旅途中查看存放在家里的照片。mesh 或叠加网络 VPN 让每个人的设备都能直接访问家里的电脑。把硬盘向整个互联网开放要危险得多。

合租公寓里的学生。 所有住户共用一个网络，她不知道上面还有谁。个人 VPN 服务保护她在这个网络上的流量，当学校系统要求额外验证时，她可以先断开。

注意，每个答案都是从“要访问或保护什么”出发，而不是从产品名称出发。这个习惯能避免买错工具。

选对类型：一份简短的决策指南

请按顺序提出下面这些问题。

1. 我需要访问某个不在公共互联网上的私有资源吗？ 比如公司文件服务器或家里的电脑。如果是，你需要所有者提供的远程访问 VPN，或者用于自己设备的 mesh/叠加网络工具。
2. 我需要连接两个完整的网络吗？ 如果是，考虑站点到站点。
3. 我主要担心的是自己所处的这个网络吗？ 咖啡馆、酒店、机场、合租房都属于这一类，个人 VPN 服务合适。远程办公的人 往往把它与雇主提供的工具搭配使用。
4. 我信任谁来运营端点？ 使用个人 VPN 服务时，服务商可以在解密后看到你的流量去了哪里。请阅读它公开的条款，冷静地比较各个选项。
5. 我需要用多久？ 订阅会一直续费，直到取消；按固定天数计算的预付通行证会自己结束，更适合一次旅行或一个项目。要确认付款方式符合你的需要。

混淆类型，是初学者最常犯的错误。买了个人 VPN 却指望打开办公室文件服务器的人会失望；而用公司 VPN 来做日常浏览的人，可能是把个人活动经由雇主的系统在走。

容易混淆的相关概念

有几个邻近的概念，常被与虚拟专用网络混为一谈。

• 代理 转发特定的流量，通常不会加密一切。
• Tor 把流量经由多个志愿者运营的中继转发，目标和取舍都不同。
• 零信任 是一种安全思路：检查每一个请求，而不是信任网络内部的任何人。
• 隐私浏览模式 只是让你的浏览器不在本机保存历史记录。

它们各自解决不同的问题。虚拟专用网络最好理解为穿越共享网络的一条专用路径，这份清单上的其他东西则是另外的事。

选用任何一种 VPN 前都该问的几个问题

不论是哪一种类型，有几个问题能帮你避免走偏。

• 谁控制隧道的端点？我凭什么信任他们？
• 条款是否清楚说明了会保存哪些数据？如果说得含糊，那是需要警惕的信号。
• 有没有适合我设备的应用？它是否好用到我真的会每天打开？
• 出了问题，可以联系谁，用什么语言？
• 如果我不再使用，账号和后续费用会怎样处理？

这些问题既适用于公司给你配的 VPN，也适用于你自己购买的 VPN。如果你得到清楚、坦率的回答，就更有可能用上一件与需求相符的工具。

总结

虚拟专用网络是以虚拟方式创建的专用网络：它不用专线，而是借助共享的基础设施，并通过封装和加密来保护流量。主要类型有远程访问、站点到站点、运营商托管、个人和 mesh，它们的区别在于连接什么、由谁运营，而不是基本思路。请把类型和你要访问或保护的东西对应起来，记住“专用”意味着保密而不是匿名，并且谨慎选择端点的运营方。

如果个人 VPN 适合你的情况，可以随时看看 价格页面。