如何让 VPN 在 Windows 开机时自动连接

很多人偏偏会在最需要 VPN 的早晨忘记打开它：笔记本在酒店 Wi-Fi 上醒来，浏览器恢复了昨天的标签页，等你想起来的时候，邮件和聊天软件早已在没有保护的情况下和网络通信过了。把 Windows 上的 VPN 自动连接设置好，就能消除这种遗忘。本文介绍如何让 VPN 自己启动，如何让它真正“连接”而不仅仅是“打开窗口”，以及怎样解决那些让“自动”显得不可靠的时机问题。

这些步骤适用于 Windows 10 和 Windows 11。菜单措辞会随版本变化，找不到时请使用“设置”里的搜索框。

在 Windows 上，“自动连接”到底是什么意思

下面三件事必须依次发生，而一个设置往往只能控制其中一件。

1. Windows 启动程序。 发生在登录或开机时，通过启动项列表、启动文件夹、计划任务或系统服务来完成。
2. 程序连接隧道。 有些应用一打开就连接；另一些应用打开后停在登录页或主页，等你按下连接按钮。
3. 网络已经就绪。 在 Wi-Fi 或以太网拿到地址之前，隧道无法建立。开机时这可能要花几秒钟，而在酒店或咖啡馆的网络上，还可能需要先通过一个网页登录。

当有人说“我的自动连接不管用”，几乎总是这三环中的某一环出了问题，而不是整条链路。所以要记住：修复方法取决于哪一环薄弱。

还有一个概念值得单独区分：掉线后重连与开机时连接并不是一回事。如果隧道后来因为 Wi-Fi 切换而断开，需要的是另一种保护机制，可以看看VPN 断开后如何重新连接这篇指南。

先看看 VPN 应用自己的设置

最干净的方案永远是应用自己提供的那个，因为应用清楚自己的启动顺序和凭据。打开应用设置，找名称类似“登录时启动”“随 Windows 启动”“启动后连接”或“自动连接”的选项。不同应用和版本的确切措辞不一样。

• 如果既有启动选项又有连接选项，两个都打开，重启 Windows，看看是否已经够用。通常是够的。
• 如果只有启动选项，应用会在登录时打开，但很可能停下来等待。请看后面的任务计划程序部分。
• 如果两个都没有，至少要用下面的 Windows 方法来启动程序。

XPASS 用户使用的免费 VPNclient 应用，其应用商店说明没有详细到足以判断你的版本显示哪些选项，所以请查看自己手上应用的设置界面，并以它为准，而不是以本文为准。入门步骤可以参考在 Windows 上设置 VPN，下载页提供官方安装包链接。

让应用在登录时自动启动

如果应用没有启动选项，Windows 可以替你启动。有三个地方可以做到，由易到灵活。

设置和任务管理器。 打开“设置 > 应用 > 启动”。已登记的应用会出现在带开关的列表里，打开 VPN 应用的开关即可。同一份列表（带“启动影响”评级）也出现在任务管理器的“启动应用”选项卡（旧版本叫“启动”）。只有在安装时应用自己登记了启动项，这种方法才有用。

启动文件夹。 同时按 Windows 键和 R，输入 shell:startup 并回车。放进这个文件夹的任何快捷方式，都会在你的用户登录时运行。创建方法：右键点击应用的可执行文件，必要时选“显示更多选项”，再选“创建快捷方式”，然后把快捷方式拖进文件夹。如果要对所有用户生效，改输 shell:common startup，这需要管理员权限。

应用自己的设置做了什么。 应用提供“随 Windows 启动”时，通常会往注册表中每个用户的 Run 项写入一条记录。你不需要手动编辑它。了解这一点是为了解释：为什么有时“毫无作用”的选项会在 Windows 更新或清理工具运行后消失——是有东西把那条记录删掉了。

要知道两个限制。需要始终以管理员身份运行的程序，无法从启动文件夹静默启动，因为用户账户控制提示要么弹出，要么把它拦住。另外，启动项是按用户的。如果一家人在同一台电脑上用不同的 Windows 账户，每个账户都要单独设置。

让它“连接”，而不只是“打开”：任务计划程序

任务计划程序适合这样的任务：“登录后 30 秒运行这个程序，如果网络还没起来就再试一次”。它是 Windows 内置的，不需要额外软件。

1. 按 Windows 键，输入“任务计划程序”，打开它。
2. 在右侧窗格选择“创建任务”（不是“创建基本任务”，后者会隐藏你需要的选项）。
3. “常规”选项卡。 起个名字，比如“启动 VPN”。选择“只在用户登录时运行”。只有应用确实需要时，才勾选“使用最高权限运行”。
4. “触发器”选项卡。 新建，开始任务选“登录时”，指定用户。勾选“延迟任务时间”，选 30 秒。延迟能给 Wi-Fi 留出加入网络的时间。
5. “操作”选项卡。 新建，选“启动程序”，浏览到应用的可执行文件。“添加参数”框里只填应用文档里写明的启动选项。不要自己编造参数；应用没有文档说明就留空。
6. “条件”选项卡。 勾选“只有在以下网络连接可用时才启动”，选“任何连接”。
7. “设置”选项卡。 勾选“如果任务失败，按以下频率重新启动”，间隔 1 分钟，最多 3 次。
8. 保存，然后右键点击该任务选“运行”，在依赖它之前先测试一次。

如果应用打开后停在主页，说明任务完成了它的工作，而连接这一步仍是手动的。这时请使用应用自己的“启动后连接”选项，或者向应用的支持团队询问是否有文档说明可以用命令行来连接。不要乱猜开关参数。

Windows VPN 配置文件与 rasdial

如果你的连接是存放在 Windows 里的配置文件（在“设置 > 网络和 Internet > VPN”里能看到），有一条命令可以直接连接它，让脚本化变得很简单。

rasdial "Office"
rasdial "Office" /disconnect

名称必须和配置文件完全一致。要让它无需提示就能工作，配置文件必须在 Windows 中保存了登录信息，这是创建或编辑配置文件时可以选择的。切勿把密码写在命令行里，因为它会以明文出现在脚本和进程列表中。

如果想在登录时运行，按上面的方法创建任务计划程序任务，在“操作”选项卡里启动程序 rasdial.exe，并把配置文件名称作为参数。这是最可靠的自动化形式，但只适用于 Windows 配置文件。自带虚拟网卡的应用会忽略它。微软关于在 Windows 中连接 VPN 的指南，介绍了配置文件的创建方式和显示位置。

关于 Always On VPN：Windows 里有一项同名的企业功能，由公司 IT 团队通过设备管理来部署，能在用户登录之前就建立隧道。这不是家庭或个人设置。如果你的雇主在用，隧道由他们管理，你不应该试图仿制。

哪种方式适合你

方式	启动应用	完成连接	应对 Wi-Fi 慢	适合谁
应用自己的启动和连接选项	可以	两个选项都有时可以	视应用而定	所有人，先试这个
设置 > 应用 > 启动开关	可以	不能	不能	打开后自己会连接的应用
启动文件夹中的快捷方式	可以	不能	不能	简单的按用户启动
带延迟和重试的任务计划	可以	需要应用有对应选项	可以	加入 Wi-Fi 较慢的笔记本
任务计划运行 rasdial	不需要	可以	配合重试可以	Windows VPN 配置文件
Always On VPN（公司管理）	内置	可以	由 IT 管理	仅限公司电脑

这张表要横着读，而不是竖着读。选择三项需求都能满足的那一行，同时接受一点：对于没有连接选项的应用，你可能仍需自己按一下按钮。

时机问题：网络未就绪、睡眠唤醒和需要网页登录的 Wi-Fi

链路跑通之后，剩下的问题基本都和时机有关。

隧道尝试得太早。 开机时，Windows 会在网卡真正具备完整连通性之前就报告网络已连接。解决办法：在任务计划里加 30 到 60 秒的延迟，并开启重试。延迟太长，会出现没有保护的空档；太短，尝试会失败。从 30 秒开始，根据观察到的情况调整。

网络一出现就连接。 与其用“登录时”，任务计划程序还可以用“发生事件时”来开始任务。选择日志 Microsoft-Windows-NetworkProfile/Operational，来源 NetworkProfile，事件 ID 10000，这是 Windows 在有网络连接时记录的事件。这样每次你加入网络，包括睡眠唤醒后或切换 Wi-Fi 后，任务都会运行，这是一次登录只触发一次的触发器做不到的。

酒店和咖啡馆的登录页。 许多公共网络会拦住你的连接，直到你在浏览器里接受条款。在通过那个页面之前就开始建立的隧道，无法连到它的服务器。先完成 Wi-Fi 网页，再让 VPN 连接。如果你的应用会自动重试，一分钟内会自行恢复；如果不会，通过页面后手动按连接。公共 Wi-Fi 安全指南解释了为什么有这些页面，以及需要留意什么。

睡眠与唤醒。 合上盖子再打开并不是一次新的登录，所以“登录时”触发器不会触发。请使用上面的网络事件触发器，或测试你的应用在唤醒后能否自己重连。

快速启动。 开启快速启动后，“关机”会保存一部分系统状态，所以机器的表现和“重启”不同。测试时两种都试，并以你的实际使用方式为准。

隧道建立之前的空档

没有任何自动连接方法能完全消除这段空档。在 Windows 加入网络到隧道完成之间，任何联网的程序都是在没有保护的情况下通信。常见的“肇事者”有：恢复标签页的浏览器、云同步客户端、即时通讯软件和系统更新。三个习惯可以缩小空档。

1. 如果应用有断网保护（kill switch），就启用它，这样隧道没起来时流量会被切断，而不是泄漏。读一读什么是 VPN 断网保护，了解它如何工作以及怎样确认有效。
2. 延迟其他启动项。在“设置 > 应用 > 启动”里关掉不需要立刻运行的，等 VPN 显示已连接后自己再打开浏览器。
3. 在公共网络上，先加入 Wi-Fi、确认隧道已建立，再打开邮件和聊天软件。

要把自动连接看作缩短暴露时间，而不是彻底消除暴露。

像怀疑论者一样测试

没有跑完这份清单，就不要认为已经完成。

1. 重启（不是关机）并登录。应用启动了吗？连接了吗？记录花了多长时间。
2. 完整关机，等待十秒后开机，重复同样的问题。
3. 睡眠再唤醒。 合上盖子一分钟再打开。隧道恢复了吗？
4. 切换网络。 从 Wi-Fi 换到手机热点。切换后有没有发生连接？
5. 注销再登录。 设置在第二次登录后仍然有效吗？
6. 验证结果。 按检查你的 VPN 是否正常工作中的步骤，确认连接时你的公网 IP 与平时不同。

把失败记下来。像“只在关机后失败，重启后从不失败”这样的规律，会告诉你应该修复链路中的哪一环。

常见错误与局限

• 把应用放进启动项就以为它会连接。 启动不等于连接。
• 没有延迟。 这是一个本来很好的任务在开机时失败的最常见原因。
• 在脚本里放密码。 任何能读文件或任务定义的人都能读到密码。
• 忘了启动项是按用户的。 同一台电脑上的第二个 Windows 账户从零开始。
• 开着清理工具。 有些工具为加快开机会禁用启动项，悄悄抵消你的设置。
• 指望自动连接解决稳定性。 如果连接经常掉线，请改看提高 VPN 连接稳定性。
• 用在工作电脑上。 公司政策可能禁止修改启动任务。

局限：自动化可能让失败变得不可见，因为悄悄没有启动的隧道，看起来和已经启动的没什么两样。请时不时看一眼已连接的指示，并记住，VPN 不能阻止钓鱼，也不能保护使用弱密码的账户。

总结

Windows 上的 VPN 自动连接是一条链路：启动程序、连接隧道、等待网络。先用应用自己的启动和连接选项，再用启动应用或启动文件夹快捷方式，然后用带 30 秒延迟和重试的任务计划程序，对于 Windows VPN 配置文件则用 rasdial。用重启、关机、睡眠和切换网络来测试，不要把密码放进脚本，并接受仍有一小段没有保护的空档，除非有断网保护来覆盖它。

如果短期的预付通行证符合你的需要，准备好时可以看看价格页。