什么是 VPN 协议？

当你连接 VPN 时，你的设备和 VPN 服务器需要就许多事情达成一致：如何证明各自的身份，使用什么加密方式，如何打包你的数据，以及网络短暂中断时怎么办。为这些事情约定的一整套规则，就叫作 VPN 协议。

你可以用好几年 VPN 而从不需要选择协议，因为应用或连接配置通常会替你处理。但这个词出现在每一个对比页面上，所以了解它的含义、知名的名称有哪些，以及哪些差异在日常使用中有影响，是有帮助的。

协议是什么

协议是一套通信时共同遵守的规则。网页浏览使用 HTTP 和 TLS，电子邮件使用自己的协议，而 VPN 使用隧道协议。如果双方不遵循相同的规则，连接就会失败，就像说不同语言的两个人无法交谈。

VPN 协议通常负责四项工作：

1. 身份验证。 双方证明自己就是所声称的身份，通常借助密钥、证书，或用户名和密码。这可以防止你的设备连接到冒充者。
2. 密钥交换。 双方约定用于加密的秘密密钥，而不会在网络上公开传送这些密钥。
3. 封装。 你的原始流量被包裹在发往 VPN 服务器的新数据包中，这就形成了"隧道"。
4. 加密与完整性。 被包裹的数据经过加密，其他人无法在网络上读取；同时进行校验，以便发现篡改。

更完整的背景，请参阅VPN 是如何工作的和什么是 VPN 加密。

你会看到的几个名称

有几种协议被广泛使用。下面是主要协议的概括介绍。这是该领域的背景知识，而不是对任何特定服务支持哪些协议的说明。

WireGuard

WireGuard 是一种相对较新的协议，设计目标是小巧、简单。它采用一组固定的现代加密组件，而不是提供许多选项，代码体量也很小，更便于审查。它往往连接迅速，并且能平稳处理网络切换，例如从 Wi-Fi 切换到移动数据。其设计在白皮书中有描述。

OpenVPN

OpenVPN 已被广泛使用多年，并且是开源的。它灵活、可高度配置，可以运行在不同的传输方式上，这在某些网络环境中有帮助。灵活性的代价是设置项更多、代码库更大。它有长期的使用记录和丰富的文档。

IKEv2/IPsec

IPsec 是一套用于保护 IP 流量的协议，见 RFC 4301；IKEv2 是建立并维护安全关联的协议，规范见 RFC 7296。IKEv2 以在网络变化后快速重新连接著称，因此在手机上很受欢迎。许多操作系统内置了它，所以往往不需要额外安装软件。

其他协议

还有一些较老的协议，例如 PPTP 和 L2TP。以现代标准看，PPTP 被认为较弱，在有更好选择时应避免使用。L2TP 通常与 IPsec 搭配使用以提供保护。有些服务还开发了自己的协议或改良版本，外部人员更难评估。

粗略的比较：

协议	通常的优点	通常的取舍
WireGuard	设计简单，连接快，能很好应对网络变化	较新，较旧的设备或软件可能不支持
OpenVPN	成熟、灵活、文档丰富	设置项更多，运行起来可能更重
IKEv2/IPsec	重新连接快，常内置于操作系统	在受限网络中不够灵活，不同平台的配置有差异
PPTP	非常古老，广为人知	安全性弱，有替代方案时应避免

想进一步了解前两者，请阅读WireGuard 与 OpenVPN 详解。

一个平实的例子

想象你在咖啡馆，连着 Wi-Fi，并在手机上启动了 VPN。

1. 你的手机联系 VPN 服务器，双方互相证明身份。
2. 它们约定密钥，这些密钥不以明文发送。
3. 手机把每个外发数据包包裹进一个新的、加密的数据包，发往 VPN 服务器。
4. 咖啡馆的网络只能看到发往 VPN 服务器的加密流量，看不到你访问了哪些网站或发送了什么。
5. 服务器拆开数据包并转发到目的地，再通过同一条隧道把回复送回来。

当你走出咖啡馆并切换到移动数据时，协议需要在新的网络上重建或延续隧道。这个过程有多顺畅，是协议之间实际存在的差异之一。

哪些差异在实际使用中有影响

在日常使用中，有些差异能被察觉，但效果更多取决于你的设备、网络和服务本身，而不仅仅是协议。

• 连接时间。 有些协议建立隧道比其他协议更快。
• 网络切换。 在 Wi-Fi 和移动数据之间切换时，可能平顺，也可能出现停顿。
• 电池消耗。 高效的协议可能在手机上更省电，不过差异通常不大。
• 兼容性。 有些网络限制某些类型的流量，有些设备对某些协议缺少内置支持。
• 速度。 协议设计会影响速度，但与服务器的距离、网络质量和服务器负载往往更重要。为什么使用 VPN 时网速会变化对此有解释。

如何选择，或者是否需要选择

大多数服务会选好合理的默认值并告诉你如何连接。如果你可以自行选择，一个简单的做法是：

1. 从默认值开始，也就是服务说明中推荐的选项。
2. 如果能连接但在移动网络上不稳定，试试以快速重新连接著称的选项。
3. 如果某个网络阻断了连接，试试服务提供的其他协议或传输方式。
4. 避开过时的选项，例如在有更好选择时不要用 PPTP。

对于 XPASS，支持的连接方式和设置说明显示在你的 My Pass 页面，请按照那里的说明操作，不要自行猜测。

局限与注意事项

• 协议不等于整个服务。 它保护你的设备与服务器之间的隧道。流量到达之后提供方如何处理、服务器如何运营、政策是什么，至少同样重要。
• 强大的协议不会让你匿名。 网站仍然知道你登录的账户，Cookie 和其他追踪器依然有效。参见VPN 能让你匿名吗。
• 营销名称可能产生误导。 "军用级"或"自研"并不是技术保证。公开规范并经过充分评审的设计，通常比保密的设计更值得信任。
• 没有哪个协议在所有地方都最合适。 在一个网络上最快的，在另一个网络上可能表现不佳。
• 配置很重要。 即使协议很好，也可能被配置得很糟，所以请使用服务推荐的设置。

小结

VPN 协议是你的设备与 VPN 服务器用来验证身份、约定密钥、把流量封装成隧道并加密的一套规则。WireGuard、OpenVPN 和 IKEv2/IPsec 是最知名的选项，它们在简洁性、灵活性以及应对网络变化的能力上各有取舍。对大多数人来说，合适的做法是使用服务设置说明中的默认值，只有在明确有理由时才更改。

如果你正在挑选服务，希望清楚地了解设置细节，工作原理页面是不错的下一步。