VPN 能保护什么、不能保护什么：一份诚实的指南
VPN 能对互联网服务提供商隐藏你的流量，并掩盖你的 IP 地址。它不会让你匿名，不会阻止跟踪，也不会拦截恶意软件。
VPN 有一项主要工作做得很好：它让你的连接经过一台由他人运营的服务器，并置于一条加密隧道之中，于是网站看到的是那台服务器的地址而不是你的地址，你的互联网服务提供商看到的是隧道而不是你的流量。VPN 广告里的其他一切——从匿名到防黑客——都得拿这个更窄的事实来核对。
电子前哨基金会（Electronic Frontier Foundation，简称 EFF）在其《监控自卫》（Surveillance Self-Defense）指南中把这条界限说得很直白：VPN 最适合的用途，是把一个网络连接路由通过另一个网络。这有用，而且具体，而人们对 VPN 的大多数失望，都来自期望过高。
打开 VPN 后到底改变了什么
VPN 连接后，你的设备会与一台 VPN 服务器建立一条加密隧道。你的流量穿过隧道，从服务器离开，再继续前往目的地。由此有三件事发生变化：
- 网站看到的是另一个地址。 你的位置看起来像是 VPN 服务器所在地，因为你的请求携带的是服务器的 IP 地址而不是你自己的。由于 IP 地址能大致指示地理位置，掩盖它就去掉了一种网站轻易定位你的方式。
- 你的 ISP 和本地网络看到的是隧道，而不是目的地。 EFF 指出，VPN 会对互联网服务提供商以及本地网络的所有者（比如咖啡馆或酒店）隐藏出站流量。Wi-Fi 运营者能看到你连接了 VPN，但读不到隧道里面的流量。
- 一些网络封锁不再生效。 因为你的连接是从另一个网络出去的，VPN 可以绕过你实际所在网络上的某些封锁，例如过滤某些网站的校园网络。EFF 也补充了另一面：流媒体和其他内容提供商越来越多地封锁看起来在使用 VPN 的设备，所以这条绕过地域限制的路常常走不通。
机制就这么多。你的设备、账号或下载内容周围并没有多出一层额外的盾。隧道只覆盖你与 VPN 服务器之间的那一段。
有没有 VPN，谁能看到什么
VPN 不会把观察者从你的连接中移除。它只是改变了哪个观察者坐在哪里。
| 观察者 | 没有 VPN | 开启 VPN |
|---|---|---|
| 本地 Wi-Fi 所有者 | 能看到你连接了哪些网站，以及任何未加密的流量 | 看到一条通往 VPN 服务器的加密连接 |
| 你的 ISP | 能看到你访问的网站、时间和时长 | 看到隧道及其流量大小，看不到里面的目的地 |
| VPN 提供商 | 什么都看不到，因为它不在路径上 | 能看到你的流量，大致如同你的 ISP 所能看到的 |
| 你访问的网站 | 看到你真实的 IP 地址和大致位置 | 看到 VPN 服务器的地址和位置 |
| 你登录的网站 | 无论连接方式如何，都知道你的账号 | 仍然知道你的账号 |
中间这一行正是广告略去不提的。美国联邦贸易委员会（FTC）针对 VPN 应用直接说明了这一点：VPN 一般不会让你完全匿名；它对你的 ISP 或公共 Wi-Fi 提供商隐藏你流量的内容，并把信任转移给 VPN 提供商。对 ISP 隐藏的流量，对提供商全部可见，而提供商完全可能像 ISP 那样出售这些信息。提供商同样受执法请求约束，也受其开展业务所在国家法律的约束，EFF 还指出，许多提供商保存的信息与 ISP 一样多。使用 VPN 是决定你愿意让哪家公司处在那个位置上，而不是决定让没有任何公司处在那里。
VPN 做不到什么
它不会让你匿名。 即使你的 IP 地址被掩盖，公司还有其他方式追踪你。EFF 列出了 GPS、网络 Cookie、跟踪像素和浏览器指纹——网站把你的操作系统、设备型号、屏幕分辨率等细节组合成一个标识符。Consumer Reports 报道称，许多专家如今更担心这类广告跟踪，而不是有人黑进咖啡馆网络。登录更是直接定案：你在任何连接上登录的服务，都知道哪个账号处于活跃状态。
它挡不住针对你本人、而非针对你连接的攻击。 通过 VPN 打开的假登录页面仍然是假登录页面，恶意下载在加密隧道里依然是恶意的。Consumer Reports 引用了密歇根大学的 Roya Ensafi——VPNalyzer 研究项目的首席研究员——的话：VPN 无法防护大多数已知的在线风险，包括网络钓鱼、跟踪、恶意软件和勒索软件。
它不再是公共 Wi-Fi 的标准答案。 配置得当的 VPN 能保护公共网络上的未加密流量，这曾经是标准建议。EFF 解释了这条建议为什么变弱了：如今大多数网络流量已经用 HTTPS 加密。HTTPS 已经保护了页面或消息的内容。它留下的可见信息是元数据，比如你访问了哪个域名、什么时间访问。VPN 可以对本地监听者隐藏这些元数据，但 VPN 提供商转而能看到它们。
它不是为击败控制本地网络的攻击者而设计的。 2024 年 5 月，EFF 报道了 Leviathan Security 名为 TunnelVision 的研究：本地网络上的攻击者利用一个 DHCP 设置（选项 121）迫使流量绕过 VPN，而连接表面上保持开启，从而暴露未加密流量。研究者的总结是：VPN 本来就不是为缓解本地网络攻击而设计的，作出相反的承诺是危险的。各提供商是否已应对这一技术，各不相同。
如果你要用一个，像挑选受托人一样挑选
因为 VPN 应用被授予拦截你全部流量的权限，FTC 建议认真对待这项授权。它援引研究了近 300 款 VPN 应用的研究者指出，有些应用根本没有使用加密，有些要求敏感权限，还有些与第三方共享数据以投放广告或分析使用情况。许多免费应用免费是有原因的：它们卖广告，或者与第三方共享信息。
一份来自 EFF 和 FTC 指引的简短清单能过滤掉大部分风险：
- 读隐私政策里关于收集的部分，而不是口号。 看提供商收集什么、是否出售数据、以及它如何表述向政府移交数据。声称不保存日志只是一种声称，不是证据。
- 看有没有外部审查。 EFF 指出，公开的第三方安全审计和透明度报告是提供商认真对待审查的标志，同时也提醒，审计之后做法可能改变。
- 问这项服务靠什么维持。 服务器和人员都要花钱。如果你没有付订阅费，EFF 的问题就适用：这门生意靠什么活下去，答案是不是你的数据？
- 检查协议和终止开关（kill switch）。 EFF 建议确认 VPN 使用 OpenVPN 或 WireGuard，并警告说较老的 PPTP 协议使用的是已被攻破的加密。Consumer Reports 描述了终止开关：当 VPN 断开时它会切断你的连接，使流量不会在无保护状态下继续。
- 检查应用权限。 FTC 给的例子是一款要求访问短信的应用：如果一项权限与 VPN 所需的不相符，就放弃它。
有一种工作用途有所不同。把你连接到雇主内部网络的公司 VPN，做的正是 VPN 被设计出来要做的事。运营那个网络的人能看到你在其上的流量，这是意料之中的。
小结
如果你的目标与 VPN 唯一真正的功能相符，它就值得拥有：不让你的 ISP 和本地网络看到你的流量去向，并让网站看到一台服务器的地址而不是你的。由于 Cookie、指纹、GPS 和已登录的账号仍然能识别你，它不是匿名；由于网络钓鱼和恶意软件会直接穿过隧道，它也不是一般意义上的安全。按你交付信任的分量，同样慎重地挑选提供商；无论用不用 VPN，都保持使用 HTTPS、及时更新、强密码和两步验证，并把任何承诺全面保护的服务当作警示信号。