指南

什么是 VPN？它是如何工作的？

VPN（虚拟专用网络）会在你的设备和另一个地方的服务器之间建立一条加密隧道，并让你所有的上网流量都从中经过。本指南用图解、不用行话，讲清楚它是如何工作的、VPN 真正能保护你免受什么、不能保护什么，以及如何挑选和设置一个好的 VPN。

什么是 VPN？

VPN 是 virtual private network 的缩写，即虚拟专用网络。最早是企业建立 VPN，让员工在家或出差时也能像坐在办公室里一样访问公司内部网络。之所以说这个专用网络是“虚拟”的，是因为它不需要自己的线缆：它运行在普通的公共互联网上，由加密来保护。

如今大多数人知道的 VPN 是一个应用：安装后点一下“连接”，从那一刻起，你的设备发往互联网的所有数据都会先通过一条加密连接，到达 VPN 服务商的服务器。这台服务器再把你的流量转发给你使用的网站和应用，并通过同一条隧道把它们的回应送回给你。

打个简单的比方：没有 VPN 时，你的上网流量就像一张明信片。途中经手的任何人，比如 Wi-Fi 网络和你的网络运营商，都能看到地址，往往还能看到内容。有了 VPN，这张明信片被装进一个封好的信封，收件人是 VPN 服务器。只有到了那里，它才会被取出来继续寄出。

VPN 的工作原理，一步一步看

无论是哪家服务商，点下“连接”按钮后，每个 VPN 都会做同样的事情：

1. 应用联系 VPN 服务器 你的设备与你选择的服务器建立连接，比如一台位于德国的服务器。
2. 双方证明自己的身份 服务器用证书或密钥证明它确实是你的服务商的服务器，而不是冒充者；你则用自己的账号或密钥登录。
3. 双方商定秘密密钥 通过密钥交换（下文会解释），双方算出相同的秘密密钥，而且从不通过互联网发送它们。
4. 出现一个虚拟网卡 应用在你的系统中添加一个虚拟网卡，并把所有上网流量发给它，而不是直接发给你的路由器。
5. 每个数据包都被封装并加密 你的应用发出的每一份数据都会被加密，并装进一个发往 VPN 服务器的新数据包。这叫作封装。
6. 服务器拆开并转发 VPN 服务器解密数据包，用自己的地址替换你的地址，再发给网站。回应沿同一条路返回。

你真实的 IP 地址只有 VPN 服务器能看到。对网站来说，请求来自 VPN 服务器，所以它会认为你在服务器所在的国家。这就是为什么 VPN 能改变网站眼中你所在的位置。

加密，简单讲解

加密会把可读的数据变成看起来像随机噪声的东西；只有拥有正确密钥的人才能把它还原。VPN 为此用到四个组成部分。

把数据锁起来：对称加密

隧道建立后，所有数据都用双方共享的一个密钥加密。现代 VPN 使用 AES-256-GCM 或 ChaCha20-Poly1305。一个 256 位的密钥可以有 2²⁵⁶ 种不同的取值，这是一个 78 位数：现有的任何计算机都不可能把它们全部试一遍。这两种算法还能发现篡改，途中被改动过的数据包会被丢弃。

不发送密钥也能达成一致：密钥交换

密钥本身绝不能在互联网上传输，所以双方用 Diffie-Hellman 密钥交换来商定它，如今通常使用其椭圆曲线版本，比如 X25519。用颜料来理解这个思路最容易：

确认你在和正确的服务器通信：身份验证

仅靠密钥交换并不能告诉你另一端是谁。因此服务器还要证明自己的身份：用证书（OpenVPN、IKEv2），或用应用早已知道的公钥（WireGuard）。没有这一步，网络中的攻击者就可能冒充 VPN 服务器。

不断更换新密钥：前向保密

好的 VPN 会定期更换密钥；比如 WireGuard 每两分钟就生成新的密钥。即使某个密钥被盗，它也只能解开几分钟的流量，而不是你之前发送的全部内容。这叫作完全前向保密（perfect forward secrecy）。一些服务商还开始加入后量子密钥交换（例如 ML-KEM），让今天被录下的流量将来也无法被量子计算机破解。

VPN 协议对比

VPN 协议是建立隧道的一套规则：如何商定密钥、如何封装数据包、数据包如何传输。大多数应用允许你自己选择；“自动”通常会选前三种之一。

• WireGuard 是其中最新的协议，自 2020 年起成为 Linux 的一部分。它的代码只有大约 4,000 行，小到专家可以彻底审查；它使用一套固定的现代密码算法，而不是一长串可选项。许多服务商的自有协议都建立在它之上。
• OpenVPN 从 2001 年就已出现，开源，几乎在任何地方都能运行。它比 WireGuard 慢，但走 TCP 时能穿过只允许网页流量的防火墙。
• IKEv2/IPsec 内置于 Windows、macOS、iOS 和 Android。它的 MOBIKE 功能能在手机切换网络时保持隧道不断。它使用固定端口（UDP 500 和 4500），因此很容易被屏蔽。
• PPTP 诞生于 1990 年代，其加密多年前就已被攻破。有些路由器仍然提供它：请避免使用。

VPN 能隐藏什么，对谁隐藏

VPN 能否保护你，取决于你想防范的是谁。下表列出了途中每一方能看到的内容。

那 HTTPS 呢？

几乎所有网站都使用 HTTPS（地址栏里的小锁），它会加密你的浏览器和网站之间的页面。所以即使没有 VPN，你的网络也读不到你输入的内容，也看不到你打开的是网站的哪个页面。但它仍然能通过 DNS 查询和浏览器连接时发送的域名，看到你连接的网站名称，也能看到你的 IP 地址。VPN 连这些也一并隐藏，还能保护那些没有正确加密自身流量的应用。

VPN 做不到的事

• 它不会让你匿名。 如果你登录了某个账号，无论用不用 VPN，网站都知道是你。Cookie 和浏览器指纹（根据设置、屏幕尺寸、字体等特征识别你的浏览器）在 VPN 下照样有效。
• 它不能保护你免受恶意软件或网络钓鱼的侵害。 假冒的银行网站或带毒的下载同样会通过隧道到达你这里。有些 VPN 应用会屏蔽已知的危险网站，但那只是附加功能，不是 VPN 本身的作用。
• 它转移了信任，而不是取消了信任。 VPN 服务商现在处在你的网络运营商原来的位置。会记录或出售你数据的服务商，比根本不用 VPN 还糟。
• 它不会隐藏你在使用 VPN 这件事。 你的网络能看到你连接了 VPN 服务器，许多网站也能识别 VPN 服务器的地址，并加以屏蔽或要求额外验证。
• 它不保护剩下的那段路。 过了 VPN 服务器之后，你的流量经由普通互联网到达网站；如果没有 HTTPS，在那一段就可能被读取。
• 它无法单靠自己防止所有泄露。 如果应用设置不当，DNS 查询、IPv6 流量或浏览器中的 WebRTC 都可能暴露你的真实地址（参见如何检测泄露）。

VPN 的类型

“VPN”指的是好几种不同的东西。它们用同一种技术完成不同的任务。

• 个人 VPN 就是你订阅的那些应用。它们在你不信任的网络上保护你的流量，并改变你对外显示的位置。
• 远程访问 VPN 把员工连接到雇主的网络，让他们能访问内部文件和工具。它们通常只让公司流量走隧道。
• 站点到站点 VPN 通过一直保持隧道开启的路由器，把整个网络连接起来，比如两个办公室。
• 网状 VPN 让你自己的设备无论身在何处都能直接互连，这样你就能用手机访问家里的电脑。
• 自建 VPN 运行在你自己掌控的服务器或路由器上。你不必信任任何服务商，但服务器的 IP 地址会指向你。
• 浏览器“VPN”扩展 通常只覆盖浏览器，技术上其实是代理。它们不保护你的其他应用。

值得了解的功能

断网保护（Kill switch）

如果 VPN 连接短暂中断，你的设备通常会改走普通连接继续上网，暴露你真实的 IP 地址。断网保护会在隧道恢复之前阻断所有上网流量。

分流（Split tunneling）

分流让你选择哪些应用或地址走 VPN。你的浏览器可以走隧道，而银行应用、游戏或家庭网络里的打印机则使用普通连接。

更多功能

• DNS 泄露保护：应用把每一次 DNS 查询（把 wikipedia.org 这类名称转换成 IP 地址的请求）都通过隧道发送到服务商自己的 DNS 服务器。
• 无日志政策：承诺不记录你的行为。它的价值取决于证据：独立审计、服务商在官司中无数据可交的案例，以及只在内存中运行、重启后不留任何数据的服务器。
• 多跳（双重 VPN）：流量经过两台 VPN 服务器，这样任何一台都无法同时知道你是谁和你去了哪里。速度更慢，而且两台服务器通常属于同一家公司。
• 混淆（隐身模式）：让 VPN 流量看起来像普通网页流量，适用于会屏蔽 VPN 的网络。
• 专用 IP 地址：只有你使用的地址，网站就不再要求那些针对共享 VPN 地址的验证。代价是它更容易被关联到你。
• 端口转发：让别人能通过 VPN 连接到你的设备，比如连到你架设的游戏服务器。

VPN、代理还是 Tor？

这三者都会让你的流量经过别人的服务器，从而让网站看到另一个 IP 地址。它们的区别在于覆盖范围和保护程度。

OnlineProxy.eu 是网页代理，而不是 VPN：它通过我们位于欧盟的服务器，直接在你的浏览器标签页中为你打开网站，无需安装任何东西。这通常足以打开在学校、单位或你所在国家被屏蔽的网站。它不保护你的其他应用，并且出于法律原因我们会保留日志（参见隐私）。如果你需要匿名，请使用 Tor 浏览器。

VPN 会让网速变慢吗？

通常会慢一点。慢多少由四个因素决定：

• 距离。 你的数据要绕道经过 VPN 服务器。邻国的服务器只增加几毫秒；另一个大洲的服务器可能让每次请求多出十分之一秒甚至更多。
• 服务器负载。 拥挤的服务器（往往是免费的）要把带宽分给许多用户。
• 协议。 WireGuard 和 IKEv2 比 OpenVPN 更快，在手机上尤其明显。
• 加密。 每个数据包会多出几十个字节，并且需要加密；在如今的设备上，这点开销微乎其微。

有时 VPN 甚至会让速度变快：如果你的网络运营商故意限速某些服务，它在隧道里是认不出这些服务的。想要最佳速度，请选择离你近的服务器并使用 WireGuard。

免费 VPN 还是付费 VPN？

运营 VPN 服务器需要花钱，所以免费 VPN 总得想办法赚钱。有的做法很正当，比如作为付费服务的受限免费套餐，有流量上限、服务器更少或速度更低。另一些则展示广告、收集并出售用户的行为数据，或被发现含有追踪代码。一项针对 283 款 Android VPN 应用的研究（CSIRO，2016 年）发现，18% 完全不加密流量，38% 有恶意软件的迹象。

如果你想用免费 VPN，宁可选知名付费服务商的免费套餐，也不要选来历不明的免费应用。

如何选择 VPN

• 经过验证的无日志政策，由独立审计确认。
• 现代协议：WireGuard、OpenVPN 或 IKEv2，不用 PPTP。
• 断网保护和 DNS 泄露保护，默认开启。
• 开源应用，或至少经过安全审计的应用。
• 服务器位于你需要的地方：离你近以保证速度，并覆盖你想访问其内容的国家。
• 公司和所在国家清楚可查：谁在运营、受哪个国家的法律管辖，以及如何回应当局的要求。
• 承诺实事求是。对“完全匿名”或“军用级”保护之类的说法要保持警惕。
• 条款公平：有退款期，并提供适合你的付款方式。

如何设置并测试 VPN

1. 从服务商自己的网站或你设备的官方应用商店下载它的应用。
2. 登录，打开断网保护，如果可以选择，就选 WireGuard。
3. 选择服务器：选最近的以获得最佳速度，或选你需要的国家。
4. 点击“连接”，等到应用显示已连接。
5. 在“我的 IP 是什么”这类网站上查看你的 IP 地址：现在应该显示 VPN 服务器的地址和国家。
6. 做一次 DNS 泄露测试和一次 WebRTC 泄露测试：两者都不应显示你的网络运营商或你的真实地址。

手机、电脑和许多路由器本身也内置了 VPN 支持：你可以直接填入服务商提供的服务器信息，比如一个 WireGuard 配置文件，而无需安装它的应用。路由器上的 VPN 能保护你家中的每台设备，包括无法运行 VPN 应用的电视和游戏机。

使用 VPN 合法吗？

在大多数国家，包括整个欧盟、英国和美国，使用 VPN 都是合法的，企业每天都在依赖 VPN。有些国家禁止 VPN 或只允许国家批准的 VPN，例如中国、俄罗斯、伊朗、白俄罗斯、土库曼斯坦和朝鲜；另一些国家则会惩罚利用 VPN 犯罪的行为。你通过 VPN 做的事在你所在地仍然必须合法，你使用的网站的条款也依然适用：例如，流媒体服务可能会拒绝来自 VPN 服务器的访问。

常见误区

术语表

IP 地址

在互联网上标识你的连接的号码，由你的网络运营商分配。网站用它来推测你所在的国家和城市。

隧道

一条在内部承载其他连接的加密连接。

封装

把一个数据包装进另一个数据包，使它能通过隧道传输。

DNS

互联网的电话簿，把 wikipedia.org 这样的名称转换成 IP 地址。DNS 查询常常会暴露你访问了哪些网站。

协议

两台计算机相互通信时遵循的规则；对 VPN 来说，就是隧道的建立方式。

断网保护（Kill switch）

在 VPN 连接中断期间阻断上网的功能。

分流（Split tunneling）

只让部分应用或地址走 VPN。

泄露

绕过隧道、暴露你真实 IP 地址或 DNS 查询的流量。

无日志

服务商承诺不记录用户的行为。

网页代理

一个在你的浏览器标签页中为你打开其他网站的网站，无需安装任何东西。

Tor

一个免费网络，通过三个由志愿者运营的中继、以多层加密的方式转发你的流量，让你保持匿名。

最后更新：2026 年 11 月 13 日。