Windows 自带 VPN 与第三方 VPN 应用有何不同

Windows 系统本身就带有 VPN 客户端，不少人是在已经下载了 VPN 应用之后才发现这一点。于是有了一个很自然的问题：既然系统自己就能连 VPN，为什么还要用别的？老实说，这取决于你想做什么、谁在管理这台电脑，以及你愿意手动配置到什么程度。

本文用通俗的语言比较 Windows 自带 VPN 和第三方 VPN 应用：自带客户端到底是什么，支持哪些连接类型，独立应用多提供了什么，以及在几种常见场景下该怎么选。文章不对任何产品排名，也不承诺在每一种网络上都能成功。

Windows 自带 VPN 客户端究竟是什么

在当前版本的 Windows 中，它位于 设置 > 网络和 Internet > VPN（Windows 10 与 Windows 11 之间，以及不同更新之间，菜单名称和布局会略有差异）。点击 添加 VPN 后，系统会让你填写几项内容：

• 只有你自己看得到的连接名称
• 服务器名称或地址
• VPN 类型
• 登录信息类型，例如用户名和密码
• 用户名和密码本身

这就是它的全部。Windows 不会附带服务器、账号或位置列表。它是一个连接工具，有点像 Wi-Fi 面板：知道怎么加入别人提供的网络，却不能替你创建网络。服务器地址、连接类型和登录凭据，都得由你的公司、学校或 VPN 服务商提供。

因为它属于操作系统的一部分，所以确实有几个实在的优点：无需下载，因此在不允许安装软件的受限电脑上也能用；通过 Windows 更新获得维护；企业 IT 部门可以一次性把同样的设置推送到几百台笔记本；Windows 还能自动启动某些公司连接。这些功能主要是为企业使用设计的，所以对个人用户来说，它能用，但比较朴素，有时提示也很简短。

Windows 原生支持哪些连接类型

Windows 内置的连接类型是一小组固定的选项，超出这个范围就要额外的软件。

内置类型	简要说明	需要了解
PPTP	最古老的类型，设置极简单	按现代标准属于较弱方案，处理敏感内容时应避免
L2TP/IPsec	外面包一层 IPsec 保护，使用预共享密钥或证书	常见于企业设备；密钥必须逐字符一致；在部分家用路由器后面可能出问题
SSTP	隧道封装在普通 HTTPS 类流量中	Windows 特有；常能通过允许普通网页流量的网络
IKEv2	基于 IPsec 的现代类型，网络切换后恢复较快	见 RFC 7296；适合经常换网络的笔记本
自动	让 Windows 依次尝试它认识的类型	服务商没有说明类型时比较省事

有两点值得注意。第一，WireGuard 和 OpenVPN 不在这张表里。两者都是广受认可的协议（参见 WireGuard 项目和我们的文章 WireGuard 与 OpenVPN 对比），但 Windows 需要额外的程序或驱动才能使用它们。第二，能用哪种类型并不由你单方面决定，对端的服务提供什么才是关键。如果你不清楚连接类型是什么，可以读一读 VPN 协议，里面不堆砌术语。

第三方 VPN 应用多提供了什么

独立的 VPN 应用把同样的基本思路（通向服务器的加密隧道）包装成更完整的产品。不同应用细节不同，所以请把下面当作需要留意的清单，而不是对某个具体产品的承诺。

• 保存好的账号：登录一次，应用记住信息，不用像手动方式那样每个服务器单独维护一条记录。
• 位置列表：不必手打服务器名，直接从应用维护的列表里选。
• 一键连接与断开：一天要开关好几次时很有用，比如进行网银操作前后。
• 自动重连：Wi-Fi 断开又恢复后，应用可以自行重建隧道，不必你再去设置里操作。
• 更多连接方式：应用通常带有自己的驱动，支持 Windows 原生没有的协议。
• 附加保护：有些应用把 kill switch、分应用隧道或 DNS 保护做成普通开关，详见 VPN kill switch 是什么。
• 独立的更新渠道：应用不必等 Windows 发新版就能改进，但你需要自己保持更新。

代价是多了一个程序。应用会安装网络驱动，需要你授权，而你等于信任开发者能访问系统的这一部分。为了方便，这个代价是合理的，但也正因如此，安装前应先了解应用及其发布者，免费应用尤其如此。

两种方式并排对比

问题	Windows 自带客户端	独立 VPN 应用
需要安装吗	不需要	需要，还会弹出驱动授权提示
谁提供服务器和账号	要自己准备	通常随服务一起提供
设置难度	手动，每个字段都要填对	通常登录后即可连接
更换服务器	编辑条目或新增一条	从列表中选择
Kill switch	没有简单开关	常有设置项，但不保证
分隧道	可用高级设置或 PowerShell 实现	常有设置项，因应用而异
自动重连	有限	常内置
错误提示	数字代码，如 809、789、691	应用自己的文字提示
适合公司管理的电脑	很适合，IT 可集中配置	取决于公司政策
连接类型	Windows 的固定清单	取决于应用

表中没有哪一行说明其中一种“整体更好”。公司替你配置好的连接，最好继续用自带客户端；个人电脑上想在咖啡馆快速连一下，用应用通常更简单。

四种场景，各自适合什么

公司笔记本

雇主给你一台笔记本和一个 VPN 配置。这种情况下，自带客户端（或公司自己的工具）几乎总是正确选择。IT 已经设好类型、证书和路由，再叠加一个个人 VPN 可能让你连不上内部系统。未经询问，不要在公司管理的电脑上装个人 VPN，也不要修改工作配置。

用私人笔记本的学生

在宿舍或校园 Wi-Fi 下想私密浏览的学生，手里并没有服务器信息可填。只需用户名和密码的应用才是可行路线。只有当服务同时给出了服务器地址和 Windows 支持的类型，自带客户端才用得上。

带备用 Windows 平板出行的旅行者

短途旅行用的是短期通行证，没有人想在机场学习连接设置。登录后即可快速连接的应用更合适。如果经常出行，出行如何选择 VPN 列出了出发前该检查的事项。

被锁定的公共电脑

在图书馆、网吧或学校机房，你可能什么都不能装。如果 VPN 服务提供了服务器地址和 Windows 支持的类型，自带客户端也许是唯一的连接办法。先看清场所的规定：有些公共电脑根本不允许修改 VPN 设置，你应当遵守。

用五个问题来决定

按顺序往下看，答案明确就停。

1. 这台电脑有别人管理吗？ 如果有，添加或修改任何 VPN 之前都要先问对方。
2. 你的服务提供了服务器地址和 Windows 支持的类型吗？ 没有的话，就无法手动添加，只能用应用。
3. 你是否经常在不同地点连接？ 越频繁，应用带来的便利越有价值。
4. 需要 kill switch 或分隧道吗？ 找把它们做成设置项的应用，并在设置后进行测试。
5. 这台电脑能安装软件吗？ 不能的话，自带客户端就是唯一选择。

实在拿不准也不必担心，这个选择可以撤回。先用其中一种，之后再换，不会损失任何东西，因为 VPN 连接只是一个配置而已。

在两种方式下使用 XPASS 通行证

XPASS 销售预付费通行证。通行证开通后，你的用户名和密码会出现在 My Pass 页面，同时附有设置说明和适用于你账号的连接方式。多数用户安装 VPNclient，这是适用于 Windows、macOS、iPhone 和 Android 的免费应用，可从下载页面获取，并用 My Pass 上显示的用户名和密码登录，而不是 XPASS 网站的邮箱和密码。

如果你更想用自带客户端，而 My Pass 列出了 Windows 支持的方式，Windows 设置指南会带你逐项填写。My Pass 没有列出的连接类型，请不要自己猜。

局限、常见错误与注意事项

• 同时开两个 VPN：如果既有自带配置又有应用，一次只连一个。两条隧道叠加是网页变慢和奇怪报错的常见原因。
• 因为简单而选 PPTP：它设置快，但按今天的标准偏弱，不要用于敏感场合。
• 手动输入凭据：自带客户端用数字而不是说明来报告问题。请复制而不是重打。如果出现错误代码，常见 Windows VPN 错误列出了各代码通常的含义。
• 指望客户端修好网络：两种方式都无法穿过完全阻断 VPN 流量的网络，换一个网络往往是最快的测试。
• 以为任何一种方式能带来匿名或全面保护：VPN 加密的是你与服务器之间的流量，并不能阻止钓鱼、恶意软件，也管不了你在网站上输入的内容。
• 忘记更新：自带客户端随 Windows 更新，独立应用需要单独更新，请定期检查。

如果 VPN 在手机上能用、在电脑上不行，原因多半在电脑的设置、防火墙或网络，而不在于选了自带还是独立客户端。

总结

Windows 自带的 VPN 客户端是朴素而可靠的连接工具，适合公司管理的笔记本、被锁定安装的电脑，以及已经掌握全部服务器信息的人。独立 VPN 应用更适合个人使用：想要保存登录、快速连接，以及部分应用提供的 kill switch 之类附加功能。请根据谁管理这台电脑、服务提供了什么、你多久连接一次来选择，并且不要同时开启两条隧道。如果你想要一份可配合应用使用的短期通行证，可以在价格页面查看选项。