什么是 VPN 断网保护（Kill Switch）？

VPN 通过加密隧道转发你的流量，这种保护只在隧道存在时有效。如果连接中断几秒钟，你的设备可能不声不响地改用普通的互联网连接。Kill Switch 就是用来堵住这个缺口的功能。

本文从一般意义上介绍这个概念：VPN 断开时会发生什么、Kill Switch 通常如何工作、怎样测试以及它的局限。文中不介绍任何具体产品的功能。

VPN 连接中断时会发生什么

VPN 连接并不是永久不断的，有许多很普通的原因会使它中断：

• 手机从 Wi-Fi 切换到移动数据。
• Wi-Fi 信号变弱，或路由器重启。
• VPN 服务器繁忙或重启。
• 设备从睡眠中唤醒，旧的隧道已经过期。
• 某个网络阻断或干扰了 VPN 所用类型的流量。

隧道断开后，操作系统通常会退回到普通路径。正在下载的程序、聊天应用或浏览器标签页会继续运行，但此时走的是你的常规网络。网站会看到你的真实 IP 地址，能看到该网络上流量的人（例如公共 Wi-Fi 热点的所有者）也能再次看到连接信息。你可能毫无察觉，因为网页照常加载。

一个简单的例子

你在咖啡馆用 Wi-Fi 登录公司门户，VPN 已开启。咖啡馆的路由器故障了四秒钟，VPN 断开又重连，但在这四秒里，你的笔记本电脑通过咖啡馆网络、用真实地址向某个云服务发送了一次后台同步。没发生什么大事，但你以为一直存在的保护其实并不连续。Kill Switch 会在隧道恢复之前阻止这次同步。

Kill Switch 如何工作

原理很简单：如果本应开着 VPN，那么不经过 VPN 的流量就会被阻止。常见做法有两种。

类型	行为	常见取舍
应用级	VPN 应用监视连接。隧道断开时，关闭指定的应用或阻止它们联网，直到 VPN 恢复。	实现较简单，但断开与响应之间可能有短暂空档。
系统级（防火墙规则）	应用或操作系统设置规则，只允许经过 VPN 接口的流量出去。隧道断开时，其他流量都出不去。	更强、通常更快，但在重新连接前会让人觉得“网络坏了”。

有些系统还提供第三种行为，常称为“始终开启”（always-on）的 VPN：由操作系统自己保持 VPN 连接，并可选择阻止所有不走 VPN 的连接。Android 和一些桌面操作系统提供类似的设置。

想进一步了解隧道如何承载流量，可以阅读 Cloudflare 的 VPN 介绍和我们的文章VPN 是如何工作的。

Kill Switch 在什么时候最重要

• 公共 Wi-Fi。 热点是无保护瞬间最容易被网络上其他人看到的地方。参见公共 Wi-Fi 安全。
• 远程办公。 如果你访问公司系统或敏感文件，意外退回到开放连接，暴露的信息可能比普通浏览器标签页更多。NIST 的远程办公指南等文件强调，安全的远程访问是持续性的要求，而不是一次性的步骤。
• 长时间下载与后台应用。 会自动重连的应用会使用任何可用的网络。
• 频繁切换网络。 通勤、在不同 Wi-Fi 区域间走动或在移动数据与 Wi-Fi 之间切换，都会引发重连。

如何测试 Kill Switch

测试只需几分钟，却能让你知道自己的设置到底做了什么。

1. 打开 Kill Switch，在应用或系统设置中开启（如果你的环境提供）。
2. 连接 VPN，用 IP 查询页面确认地址已改变。
3. 打开一个持续运行的内容，比如一段视频或一个大文件下载。
4. 安全地中断 VPN。 例如在另一个窗口断开 VPN 服务器连接，或短暂开启飞行模式。不要拔掉你依赖的设备。
5. 观察流量。 Kill Switch 有效时，视频或下载应当停止或卡住。如果仍在继续，说明设备已退回普通连接。
6. 恢复 VPN，确认只有连接成功后流量才恢复。

如果测试发现流量泄漏，请检查应用权限、更新应用，并阅读你所用方式的官方说明。通用的检查流程见如何检查 VPN 是否正常工作。

局限与注意事项

• 它是安全网，不能解决连接不稳定的问题。 如果 VPN 经常断开，要找出原因。VPN 断开后如何重新连接和如何提高连接稳定性是合适的下一步。
• 它只覆盖已配置的范围。 只关闭特定应用的应用级开关，会让其他应用继续运行；系统级规则范围更广。
• 响应时间不为零。 即使是好的 Kill Switch，在隧道失效到阻断生效之间，也可能有极短暂的泄漏。
• 它不能修复其他泄漏。 隧道正常时也可能出现 DNS 泄漏或 WebRTC 泄漏。
• 它看起来可能像断网。 如果阻止了一切却忘了 VPN 已关闭，你会奇怪为什么什么都打不开。先检查 VPN 状态。
• 不同系统表现不同。 Windows、macOS、Android 和 iOS 的设置与措辞不同，也不是每种协议或应用都支持相同的选项。

小结

VPN Kill Switch 在 VPN 隧道失效时阻止流量，使设备无法悄悄继续使用不受保护的连接。应用级版本是在断开后做出反应，系统级规则则阻止任何流量绕开隧道出去。无论用哪一种，都要有意识地测试它，了解它的局限，并把它当作后备，而不是稳定连接的替代品。

如果你想选择有固定天数、不自动续费的 VPN，定价页面说明了预付套餐的运作方式，帮助中心提供设置与故障排除指南。