VPN：能保护什么，不能保护什么

虚拟专用网络（VPN）会在您的设备与 VPN 服务器之间建立加密隧道。所有流量都会经过该服务器转发，从而向网站隐藏您的真实 IP 地址，并防止 ISP 或本地网络查看流量内容。

使用 VPN 时的步骤如下：

1. 设备与 VPN 服务器建立加密连接
2. 所有流量都通过这条加密隧道发送
3. VPN 服务器代表您将流量发送到目标位置
4. 目标位置看到的是 VPN 服务器的 IP，而不是您的 IP
5. 响应通过隧道返回给您

常见的 VPN 协议包括：

• OpenVPN — 开源、高度可配置，使用 TLS
• WireGuard — 现代、快速、代码库精简，安全性出色
• IKEv2/IPsec — 重新连接速度快，非常适合移动设备
• PPTP — 已过时且存在严重缺陷，绝不要使用

VPN 可以有效保护以下内容：

• 来自 ISP 的流量（ISP 只能看到加密隧道，看不到内容）
• 不受信任的 Wi-Fi 上的流量（例如咖啡店或机场的 Wi-Fi）
• 您访问的网站无法看到您的真实 IP
• 绕过地域内容限制
• 防止本地网络监视

VPN 不提供针对以下威胁的保护（NOT）：

• 设备上已经存在的恶意软件
• 网络钓鱼和社会工程攻击
• Cookie 和浏览器指纹识别
• 登录状态下的账户跟踪（Google 知道您的身份）
• DNS 泄漏（如果 DNS 没有通过 VPN 路由）
• VPN 提供商本身——它现在可以看到您的流量

使用 VPN 会将信任对象从 ISP 转移到 VPN 提供商。不诚实的 VPN 提供商可以记录您的全部流量。评估 VPN 提供商时，请关注无日志政策（最好经过审计）、司法管辖区、透明度报告以及开源客户端。

当 DNS 查询在 VPN 隧道之外发送时，就会发生 DNS 泄漏。即使您已连接 VPN，这也会让 ISP 知道您访问过哪些域名。请在 dnsleaktest.com 上进行检查，并使用会通过隧道路由 DNS 的 VPN。

企业 VPN 将远程员工连接到公司的内部网络。与面向消费者的 VPN 不同，雇主会监视企业 VPN 上的流量。使用企业 VPN 进行个人浏览意味着 IT 可以看到您的全部流量。

分流隧道只会将特定流量通过 VPN 路由。例如，只有企业网络流量通过 VPN，而个人浏览则直接访问互联网。这样可以减轻 VPN 负载，但也可能造成安全漏洞。

将 VPN 与 Tor 结合可以增加防护层：

• VPN-over-Tor：VPN 向 ISP 隐藏 Tor 的使用情况；Tor 提供匿名性
• Tor-over-VPN：Tor 向 VPN 提供商隐藏流量

这两种方式都会增加复杂性和性能开销。记者和活动人士会在高风险环境中使用它们。

传统 VPN 会授予对所有内部资源的网络访问权限。零信任网络访问（ZTNA）则根据身份和设备健康状况授予对特定应用的访问权限，而不是根据网络位置授予权限。在现代企业环境中，ZTNA 正在取代 VPN。

VPN 不提供针对哪种威胁的保护？

VPN 会加密设备与 VPN 服务器之间的流量，从而防止 ISP 监视和本地网络嗅探。VPN 不提供针对恶意软件、指纹识别、账户跟踪或不诚实 VPN 提供商的保护。请选择经过审计且采用无日志政策的提供商。WireGuard 是现代首选协议。