VPN 是什么？工作原理、隧道加密与 WireGuard、OpenVPN、IPsec 协议详解
VPN 基础知识一次讲清：VPN 是什么、隧道与加密如何工作、WireGuard、OpenVPN、IPsec/IKEv2 等常见协议的区别、全局与分流（Split Tunneling）、DNS 泄露与 Kill Switch，以及 VPN 能做什么、不能做什么。
直接回答
VPN（虚拟专用网络）在你的设备和 VPN 服务器之间建立一条加密“隧道”，设备的网络流量先经隧道到达服务器，再由服务器访问目标网站。常见协议有 WireGuard（新、快、代码精简）、OpenVPN（成熟、兼容性好）和 IPsec/IKEv2（系统原生支持、移动网络切换稳定）。VPN 能保护传输过程、改变出口 IP，但不能让你“完全匿名”——VPN 服务商本身能看到连接元数据，选择可信的服务商同样重要。
“VPN”是最常被提起、也最常被误解的网络术语之一。有人把它等同于“翻墙”，有人认为开了 VPN 就绝对安全。本文从原理讲起，帮你建立对 VPN 的准确认识。
VPN 是什么？
VPN（Virtual Private Network，虚拟专用网络） 是一种在公共网络上建立加密通道的技术。它最初的用途是让企业员工在家里、出差时也能像在公司内网一样安全地访问内部系统。
对个人用户来说，VPN 的效果可以概括为两点：
- 加密传输：你与 VPN 服务器之间的数据被加密，同一网络中的其他人（例如公共 Wi-Fi 上的其他设备）看不到内容；
- 更换出口：目标网站看到的是 VPN 服务器的 IP 地址，而不是你本地的 IP。
VPN 是怎么工作的？
可以把 VPN 想象成“在公路上修了一条带围墙的专用车道”：
- 建立隧道：VPN 客户端与服务器进行身份认证，并协商加密密钥；
- 封装数据：设备发出的数据包被加密后，再包装进一个新的数据包，目的地是 VPN 服务器；
- 服务器解封装：VPN 服务器收到后解密，取出原始请求，代替你访问目标网站；
- 原路返回：网站的响应先回到 VPN 服务器，再加密后经隧道返回你的设备。
在操作系统层面，VPN 通常会创建一块虚拟网卡，并修改路由表，让流量默认经过这块网卡进入隧道。
常见的 VPN 协议
| 协议 | 特点 | 优点 | 不足 |
|---|---|---|---|
| WireGuard | 新一代协议，代码精简，基于 UDP | 速度快、连接迅速、耗电低 | 默认配置下服务器需记录对端信息，部分商用 VPN 做了额外处理 |
| OpenVPN | 基于 TLS，支持 TCP 与 UDP | 成熟稳定、兼容性好、可配置性强 | 性能与连接速度不如 WireGuard |
| IPsec / IKEv2 | 操作系统原生支持 | 手机切换网络时不易断线，无需额外软件 | 配置较复杂，部分网络环境会阻断 |
| L2TP/IPsec | 较老的组合 | 系统普遍支持 | 性能一般，已逐渐被淘汰 |
| PPTP | 最早期的协议之一 | 配置简单 | 加密已不安全，不建议使用 |
选择建议：优先 WireGuard，兼容性需要时用 OpenVPN，手机经常切换网络时考虑 IKEv2，不要使用 PPTP。
全局隧道与分流隧道
- 全局（Full Tunnel）：所有流量都进入 VPN，包括访问国内网站；
- 分流（Split Tunneling）：只有指定的应用或地址走 VPN，其余直连。
很多商用 VPN 已支持按应用分流，但规则的灵活程度通常不如机场客户端的规则分流。两者的区别详见《VPN 和机场有什么区别》。
使用 VPN 需要注意的三个问题
1. DNS 泄露
即使流量走了 VPN，如果域名解析（DNS）请求仍然发给本地运营商，对方依然能知道你访问了哪些网站。正规 VPN 客户端会把 DNS 请求也放进隧道。DNS 的作用见《一次网页访问发生了什么》。
2. 断线保护（Kill Switch）
VPN 意外断开时，系统可能自动回到直连状态。Kill Switch 会在断线时阻断联网，避免数据在不知情的情况下直接发出。
3. 服务商的可信度
VPN 服务商处在你和互联网之间，能看到连接的元数据。选择时关注：隐私政策是否清晰、是否有独立审计、运营主体是否透明。
VPN 能做什么？不能做什么？
| 能做到 | 做不到 |
|---|---|
| 加密你与 VPN 服务器之间的传输 | 让你在网站上完全匿名（账号、Cookie 仍能识别你） |
| 隐藏本地 IP，使用服务器出口 IP | 阻止你主动下载的恶意软件 |
| 在公共 Wi-Fi 下保护连接 | 保证访问每个网站都更快 |
| 访问需要特定地区 IP 的服务 | 替代杀毒软件、密码管理等安全措施 |
VPN、机场与加速器怎么选？
不同场景的详细选择建议见《VPN 还是机场？8 个场景的选择指南》。
总结
VPN 的本质是“加密隧道 + 更换出口”。理解它的工作原理、协议差异和局限性，才能在需要时选对工具、用对方式。请在遵守所在地法律法规的前提下使用相关服务。
常见问题
VPN 和代理有什么区别？
VPN 通常在系统网络层建立隧道，默认接管设备的全部流量；代理（如机场使用的 Shadowsocks、Trojan 等）一般由客户端按规则转发特定流量。两者都会经过远程服务器，区别在于接管范围、协议设计与分流能力。
用了 VPN 就完全匿名了吗？
不是。VPN 服务商能看到你连接的时间、流量大小等元数据；你登录的账号、浏览器指纹等也能识别你。VPN 主要保护的是你与 VPN 服务器之间的传输。
哪个 VPN 协议最快？
一般情况下 WireGuard 速度最快、连接建立最迅速；OpenVPN 兼容性最好；IKEv2 在手机切换 Wi-Fi 和移动网络时最稳定。实际速度更多取决于服务器线路与负载。
什么是 VPN 的 Kill Switch？
Kill Switch 是断线保护：当 VPN 连接意外断开时，自动阻断设备联网，避免流量在未加密的情况下发出。
