VPN 服务器是什么？它怎么工作，和 VPN 应用有何不同

人们说“连接 VPN”的时候，脑子里通常想到的是手机上的那个应用。但应用只是整个安排的一半，另一半是远处某个地方一台全天开机、等着你的设备来“敲门”的计算机。那台计算机就是 VPN 服务器，而不同 VPN 服务之间几乎所有的差别，都藏在这些服务器是怎样被运营的里面。

本文只聚焦服务器本身：它到底是什么机器，一个请求到达后它会做些什么，它与应用、与你听说过的其他服务器有什么区别，以及哪些现象说明问题出在服务器一侧。如果想先了解全貌，可以从介绍 VPN 是什么的基础文章读起。

VPN 服务器就是一台承担特定工作的计算机

把宣传话术剥掉，VPN 服务器就是一台普通计算机：有处理器、内存、存储和网卡，运行着操作系统。它通常租用或放置在数据中心里，那里提供供电、散热和极高速的互联网连接。操作系统之上是 VPN 软件，负责监听外来的连接请求，核对来者身份，然后处理所有被放行用户的流量。

它与一般办公室服务器有三点不同。

• 有一个不隐藏的公网地址。 你的设备要能找到它，所以它有一个客户端从任何地方都能访问的固定公网 IP。关于这种地址是什么，可以看看讲公网 IP 地址的文章。
• 同时扮演两种网络角色。 一侧面向接入的用户，通过加密通道通信；另一侧面向开放的互联网，代替用户出面访问。
• 加密工作量又重又持续。 进出的每个数据包都要加密或解密，所以服务器的规格和软件的选择都围绕这一负载来设计。

最好丢掉一种常见的想象：VPN 服务器是个神秘的黑盒子或者特殊设备。它是一台标准机器，按一套定义清楚的流程在工作，而这套流程正是下一节要讲的内容。

服务器如何处理一个请求：逐步拆解

假设你连着 VPN 去打开一个新闻网站。在服务器这一端，会依次发生下面这些事。

1. 你的设备封好请求。 应用把请求用加密包装起来，收件人写的是服务器，而不是新闻网站。在你本地网络里旁观的人，只能看到一个发往服务器的包裹。
2. 服务器接受连接。 真正的数据传输之前，双方先完成一次握手：服务器核对你的账号信息，双方商定临时密钥，这些密钥只用于本次会话。
3. 服务器拆开包裹。 它解密内容，发现你原本要发给新闻网站的请求。
4. 服务器换上自己的地址。 请求发出时，来源地址是服务器的公网 IP，而不是你的。这就是地址转换这一步，也是网站看到的是服务器地址的原因。服务器会维护一张小表，记住哪个回复属于哪位用户。
5. 网站把回复发给服务器。 因为请求看上去是从服务器发出的，所以回复就送到了服务器。
6. 服务器查表并重新封装回复。 它查出回复属于哪位用户，用那位用户的会话密钥加密，再沿着隧道发回去。
7. 你的应用拆开回复。 页面显示出来，就像什么特别的事都没发生。

这七步对每一个连接重复，每秒很多次，对同一台机器上的所有用户都是如此。由此有两个结果。第一，服务器是你的流量以可读形式短暂出现的唯一地方，这正是 VPN 服务商能看到什么 这个问题重要的原因。第二，由于网站看到的是服务器地址，许多人会共用同一个地址，下文还会谈到。

服务器、应用、代理，以及容易混淆的几个词

初学者常把相近的术语混在一起。下表把它们分开。

术语	所在位置	作用
VPN 应用（客户端）	你的手机或电脑上	加密流量并发给服务器
VPN 服务器	数据中心里	解密、转发到互联网、把回复送回
网站服务器	你访问的网站那边	提供页面；使用 VPN 时看不到你的真实地址
代理服务器	任何地方	转发某些特定请求，通常不会加密全部内容，可参考 VPN 与代理的比较
DNS 服务器	由网络、服务商或 VPN 运营	把 example.com 这样的名字翻译成地址

应用与服务器是同一个连接的两端，设计出来就是为了互相通信，缺了哪一个都没用。应用商店页面上的“服务器列表”“服务器位置”，说的是第二行，尽管你实际操作的是第一行。

协议则是这两端约定的“语言”。想知道它们怎样协商，可以去读关于 VPN 协议的文章。这里不再重复，因为语言和机器是两个不同的话题。

你会听到的几种 VPN 服务器

VPN 服务器并不都一样，描述它们的词也值得弄懂。

物理机与云实例

有些服务器是机架上的独立物理机，有些则是从更大的物理主机上切分出来的虚拟机。两种都能很好地承载 VPN 流量。实际差别在于谁控制硬件、扩容有多容易，而不是你从应用里能看到的东西。

共享地址与独享地址

在多数面向个人的 VPN 服务里，许多用户同一时刻经过同一台服务器，共用它的公网地址。独享地址则只属于一位用户。两者对那些盯着异常行为的网站有不同的影响，详见 共享与独享 VPN IP 的区别。

物理位置与“虚拟”位置

服务器有真实的位置，因为它放在真实的机房里。但服务商也可能把服务器标成与硬件所在地不同的国家，常见原因是地址数据库登记该网段的方式。如果位置显示不对，为什么 VPN 显示的位置不对 里有解释。请把位置标签视作服务商做的设置，而不是保证。

企业网关

公司的 VPN 服务器是进入办公室私有网络的网关，配置目的是让员工访问内部系统，通常还要求第二重验证。而面向个人的 VPN 服务器则是通向开放互联网的出口网关。同一类软件，用途不同。

为什么有的服务器表现不同

你有时会读到某台服务器“快”、另一台“慢”。几个很普通的因素就能解释这种差距。

因素	对你的影响
距离	每多出一千公里就多一份延迟，通话和游戏中能感觉到
负载	繁忙的服务器要把处理能力和网络带宽分给更多人
网络出口	出口带宽细的服务器，不管多少人连着，都搬不动多少数据
到目的地的路径	从服务器到网站的路径可能直接，也可能绕路
硬件与软件	现代处理器与调优良好的软件，让加密工作更轻松
你自己的网络	VPN 不可能比你到服务器之间最弱的一环更快

一个简单算例可以看出负载为何重要。设想一台服务器通过一条能承载 1 Gbit/s 的链路接入互联网。如果 400 个人在同一时刻同时看视频，每人平均只有约 2.5 Mbit/s。实际上不会所有人同时活跃，好的运营方也会在链路占满之前扩容，但这笔账解释了为什么拥挤的服务器晚上会觉得卡，而空闲的服务器清晨却很流畅。关于延迟这一面，Cloudflare 讲解 latency 的文章提供了清晰的背景。

谁在运营服务器，这对你意味着什么

服务器的运营方在技术上有能力看到经过它的流量，因为解密就发生在那里。所以由谁运营很重要。有几点需要坦率地说清楚。

• 运营方能看到服务器代你联系了哪些目的地。至于是否保存、保存多久，则是政策与工程设计的问题。请阅读服务商公开的条款，而不是相信口号。
• 受 HTTPS 保护的内容，即使在 VPN 里，也仍然在浏览器与网站之间保持加密，所以运营方看到的是目的地，看不到页面内容。
• 你是把对本地网络的信任，换成了对服务商的信任。这是一种交换，而不是逃离信任。

如果想把服务商从方程里拿掉，你可以自己架设服务器，但随之而来的是一堆责任：更新系统、配置防火墙规则、持续监控，以及一个指回你自己的固定地址。自建 VPN 与商业 VPN 的比较 做了公平的对比，对多数读者来说，结论是商业服务才是实际可行的选择。

与服务器有关的现象，以及可以尝试的办法

感觉哪里不对时，服务器是合理的怀疑对象，因为它是你唯一看不见的部分。下面这些现象指向它。

现象	可能的服务器侧原因	可以尝试
连接很久才建立，建立后正常	服务器繁忙或距离较远	从列表里选一个更近的位置
用了一会儿之后所有页面都卡住	当时出现拥塞或线路故障	断开再连接，换第二个位置试试
某个网站拒绝你，其他网站正常	该网站不信任这个共用地址	换一个位置；如果是你付费使用的服务，联系该网站
应用显示已连接，却什么都打不开	服务器到互联网的连接有故障	等几分钟，再换位置
在任何网络上都连不上	账号或服务器侧的问题	检查账号状态，联系客服
手机流量可用，某个 Wi-Fi 不行	该 Wi-Fi 阻断了通往服务器的路径	在那个地方改用手机流量

永远一次只改一个变量：先换位置，再换网络，最后重启应用。如果三个不同位置在三种网络上都失败，原因更可能出在账号、设备或应用，而不是某一台服务器。

如何在服务器之间合理选择

你很少需要关心某一台具体的机器。几条简单的原则就能覆盖大多数情形。

1. 日常浏览和保护共用 Wi-Fi，选一个距离近的位置。距离是你最能控制的因素。
2. 如果某个位置慢，就换一个，不要立刻断定整个服务不好。
3. 如果晚上总是很慢，换个时段再连一次。负载是随钟点变化的。
4. 没有理由就不要追逐冷门位置。它们增加距离，却很少为多数人想要的那种保护带来好处。

关于如何决定，如何选择 VPN 服务器位置 有更详细的讨论，是读完本文后自然的下一步。

打个比方：替你分拣信件的邮局

如果觉得不好想象，可以把它比作你托付代收信件的一家小邮局。你把信放进一个厚信封，寄给邮局。那里的工作人员拆开外层信封，读到里面信封上的目的地址，然后用邮局自己的寄件地址转寄出去。收到回信时，工作人员记下这封信属于谁，再装进厚信封寄回给你。

站在你家门口的旁观者，只看到你把厚信封寄到了邮局；最终的收信人，只看到信是从邮局寄来的。但邮局里的工作人员，同时知道来源和去向。这就是为什么要挑一家值得信任的邮局，也是为什么不应该把 VPN 服务器当作魔法，而应当把它看成一个职责明确、也有局限的中间服务。

总结

VPN 服务器是数据中心里一台始终在线的普通计算机：它接受你的加密连接，解密你的请求，用自己的公网地址转发到互联网，再把回复经隧道送回来。应用则是这段对话的另一端。服务器在距离、负载、网络容量和运营方上各不相同，这解释了速度和表现上的大部分差异，而运营方所处的位置，正是对服务商的信任之所以重要的原因。出问题时，一次只改一个变量：先换位置，再换网络，最后才是应用。

如果你想要一种用免费应用连接、没有自动续费的预付通行证，可以在方便的时候看看 价格页面。