什么是 VPN

VPN（虚拟专用网络）是一种在公共网络之上建立私有加密通道的技术。它最初用于让员工从外部安全地接入公司内网，如今更常见的用途是保护个人设备在不可信网络上的通信。本文用尽量少的术语说明它是如何工作的、适合解决哪些问题，以及哪些问题它解决不了。

一句话定义

VPN 在您的设备与一台远端服务器（通常称为节点）之间建立一条加密隧道。经过隧道的数据在设备与节点之间加密传输，再由节点转发到目的地。本地网络仍能看到您正在连接 VPN，以及流量大小和通信时间。保护范围取决于当前配置；绕过隧道的流量或 DNS 请求不受这条隧道保护。

加密隧道是如何工作的

1. 握手与密钥协商。 设备与节点先互相验证身份，并协商出只有双方知道的会话密钥。以 WireGuard 为例，身份由一对公私钥表示：私钥只保存在设备上，节点只保存公钥。
2. 封装与加密。 设备发出的每个数据包被加密后，装进一个新的外层数据包，目的地址是节点。原始数据包的内容、目的地址与端口都在加密载荷之内。
3. 节点出口。 节点解密后，用自己的地址把原始数据包发往目的服务器。因此目的服务器看到的来源是节点的地址，而不是您的地址。
4. 返回路径。 目的服务器的响应先到节点，节点加密后经隧道送回设备，设备解密后交给对应的应用。

整个过程对应用透明：浏览器、游戏、即时通讯软件都不需要做任何改动。

VPN 能做什么

• 在公共 Wi-Fi 上保护数据。 开放网络上的其他设备与热点本身都可能窃听或篡改流量。隧道让本地网络只能看到加密数据，详见公共 Wi-Fi 安全指南。
• 减少本地网络可见的信息。 将流量与 DNS 请求一起送入加密隧道，有助于保护访问目的地信息。节点到网站之间仍需要 HTTPS 的保护。
• 提供稳定的跨境链路。 跨境办公、远程访问与实时应用往往受制于运营商之间的拥塞路径。经营良好的 VPN 节点通过更稳定的线路转发，可以减少抖动与丢包。

VPN 不能做什么

• 它不是匿名工具。 VPN 只改变网络层的来源地址。您登录的账号、浏览器指纹、Cookie、支付信息等仍然可以识别您。宣称 VPN 能让人不被任何人识别，是不准确的。
• 它不能替代杀毒软件与安全意识。 隧道只保护数据在传输过程中的机密性与完整性，不能识别钓鱼网站、恶意附件或被植入木马的设备。经过隧道下载的恶意软件依然是恶意软件。
• 它不能保证降低延迟。 VPN 会改变网络路径。较少拥塞的线路可能改善体验，较远的节点或更多中转也可能增加延迟，应在自己的网络上比较效果。
• 它不能替代 HTTPS。 隧道只覆盖设备到节点这一段，从节点到目的服务器的数据仍以应用原本的形式传输。请继续使用 HTTPS，并留意证书警告。
• 它不能让违法行为合法。 使用 VPN 仍需遵守您所在地区的法律与所访问服务的使用条款。

信任从本地网络转移到了服务商

使用 VPN 后，本地网络看不到您的流量，但节点运营方处在可以看到流量元数据的位置。因此，选择 VPN 服务本质上是在选择一个比公共网络更值得信任的对象。值得核对的问题包括：服务商是否明确说明记录什么、不记录什么；这些承诺是写在政策里，还是落实在数据模型与工程流程中；密钥是否在设备上生成；是否公开保留期限与独立审计状态。TP VPN 对这些问题的回答见透明度中心与《隐私政策》。

常见误区

选择服务时的核对要点

1. 协议。 优先选择基于现代密码学、代码量小且经过审计的协议，例如 WireGuard，详见 WireGuard 协议解析。
2. 日志口径。 服务商应逐项说明记录什么、保留多久，而不是一句绝对化的口号。
3. 密钥归属。 私钥应在设备上生成并只存放在设备的安全存储中。
4. 透明的限制。 设备数上限、公平使用阈值、退款规则都应事先写明。
5. 可验证的运营状态。 节点健康与历史事件是否公开。

TP VPN 的做法

TP VPN 使用 WireGuard，密钥在设备上生成。日志政策明确不记录浏览活动、DNS 查询和隧道目的地址；各套餐的设备数与公平使用阈值公开列出。符合条件的新用户先选择订阅，即可试用 3 天；未及时取消将按所选方案收费。当前可用平台以下载页面为准。

延伸阅读

• WireGuard 协议解析
• 公共 Wi-Fi 安全指南
• 「无日志」到底指什么
• 如何选择节点位置
• 功能一览 · 价格与套餐