VPN 是 Virtual Private Network 的缩写，即虚拟专用网络。VPN 会在设备与服务器或目标网络之间建立经过身份验证和加密的连接，让流量通过这条连接传输，而不是直接进入互联网。
在 IPsec VPN 指南 中，NIST 将 VPN 描述为建立在现有基础设施上的虚拟网络，为数据和 IP 信息提供安全通信机制。VPN 是组织网络传输的方式，并不承诺所有活动都私密或安全。
VPN 如何工作？
当你点击连接时，客户端会查找服务器，验证账户或证书，协商协议，然后建立加密隧道。VPN 服务器接收数据包并将其转发至内部网络或网站。它可以看到连接信息，因此使用 VPN 也意味着把信任转移给 VPN 运营方。NIST 提醒，VPN 会降低风险，但不会消除所有风险；软件和配置仍可能存在弱点。
并非每条连接都会把整个互联网放入隧道。全隧道 会将默认流量通过 VPN 发送，而 分流隧道 只发送指定的网络或应用流量。Microsoft 的 VPN 路由文档 解释了这两种方式。“已连接”状态不足以证明所有应用都在使用 VPN。
不要把 VPN 隧道与代理、客户端和 HTTPS 混为一谈
这些词经常一起出现，但指的是不同的层。隧道是两个连接端点之间的通道，可以把设备连接到公司网络或服务服务器；保护范围取决于网络路由以及全隧道或分流隧道模式。
代理
代理是接收应用请求并将其转发到目标的中间服务器。浏览器可以根据单独的设置使用 HTTP、HTTPS 或 SOCKS 代理。MDN 关于代理和隧道的文档 介绍 PAC 如何决定请求是直接发送还是经过代理。为浏览器配置的代理不会自动保护其他应用。
VPN 客户端
客户端是用户侧的软件，用于登录、接收配置并控制连接。它可以创建系统级 VPN 配置，也可以只运行本地代理。应用名称或盾牌图标不能证明所有模式都是“全 VPN”。如果面板提供多个应用和协议，请查看网络配置文件以及实际的隧道范围。
HTTPS
HTTPS 是应用与网站之间的加密，由 TLS 提供。它独立于 VPN：可以单独使用 HTTPS，也可以在 VPN 内使用。Mozilla 对 HTTPS-Only Mode 的解释 说明了强制网页连接使用 HTTPS 的机制；它不会把所有流量变成 VPN。VPN 保护到 VPN 服务器的这一段，而 HTTPS 保护到网站的这一段。
VPN 的实际用途
VPN 通常适合以下需求：
- 远程工作时访问内部资源。
- 让网站看到 VPN 服务器的 IP，而不是原本的公网 IP。这可能改变网站对位置的判断，但不能保证访问权限、速度或地区内容。
VPN 仍可能增加延迟或发生中断，因为流量需要经过额外的服务器；质量取决于原始网络、位置和服务器负载。
需要记住的安全局限
VPN 不会识别钓鱼网站，不能阻止你打开的文件中的恶意软件，也不能修复已经泄露密码的账户。网站仍可通过账户、Cookie 和你主动提供的数据识别你。如果网站使用 HTTP，流量离开 VPN 服务器后的内容也没有 TLS 保护。
VPN 运营方可能根据协议和日志政策知道连接时间、数据量、目标地址或其他信息。不要只因为“100% 匿名”的说法就选择服务；应查看其收集什么、保存多久以及如何处理法律请求。
CISA 警告，配置错误的传统 VPN 存在风险；其关于现代网络访问安全方法的指南建议进行风险评估并提高可观察性。请及时更新 VPN 和已连接的设备。
新手如何选择 VPN
注册前，请回答四个问题：
- 你需要访问内部网络、保护整台设备，还是只为浏览器使用代理？答案决定你应选择系统配置、全隧道还是分流隧道。
- 哪些设备需要使用它？检查应用是否有适用于 Windows、macOS、Android、iOS 或 Linux 的版本；了解设备数量限制以及切换网络的能力。
- 谁在运营服务器？查找公司信息、日志政策、支持方式、数据处理方式和更新历史。透明的服务也无法保证在每个网络上都能运行。
- 如果连接失败，你有什么备用方案？优先选择文档清楚的客户端；如果需求需要，选择支持断网保护开关的客户端，并确保可以轻松导出或删除配置文件。
安装后，先断开再重新连接，打开一个 HTTPS 服务，用可信工具检查路由或 IP，然后分别尝试 Wi‑Fi 和移动数据。处于同一网络层时，只启用一个 VPN 或代理应用，避免发生冲突。如果使用地点有自己的规定，请自行核对现行规则；本文不是法律建议。
总之，VPN 是一个具有明确范围和条件的网络隧道。理解隧道、代理、客户端和 HTTPS，有助于避免把某个应用等同于“全设备 VPN”，并对安全性建立正确预期。需要准备各个操作系统时，请查看在不同设备上安装 VPN 的指南；安全与法律注意事项见安全使用 VPN 概览。