VPN 的工作原理
VPN 客户端会创建虚拟网络接口，并与 VPN 网关建立经过认证的加密隧道，再将指定数据包路由到隧道中。网关将 VPN 数据包解封装，把流量转发到互联网或专用网络，再将响应传回。
设备 → VPN 加密隧道 → VPN 网关 → example.com通过这一路径访问的网站通常看到的是网关的公网 IP，而非当前网络连接的地址。全隧道配置会通过 VPN 路由设备的大部分流量，通常还会将 DNS 查询发送到 VPN 提供的解析器。拆分隧道则只通过 VPN 路由指定应用或目标网络的流量。
VPN 能保护什么
隧道可在数据从设备传输到 VPN 网关期间提供保护。具体保护范围取决于相关路由和应用。
- 本地网络和 ISP： 无法直接读取隧道内的数据包，但能看到 VPN 服务器的 IP、连接时间和数据量。
- VPN 网关： 运营方可以看到连接元数据，也可能看到未经其他方式单独加密的流量。这相当于把信任对象从本地网络和 ISP 转移到 VPN 运营方。
- 离开网关后的流量： VPN 加密在网关处结束。SSL/TLS 会保护应用与网站之间的 HTTPS 数据。
- 在线身份： 换用新的公网 IP 并不会消除 Cookie、账号登录状态或浏览器指纹识别。
VPN 与代理的区别
两者都能更改网站看到的 IP，但正向代理通常针对特定应用或请求配置。
| 功能 | VPN | 正向代理 |
|---|---|---|
| 范围 | 整台设备或指定网络路由 | 已配置的应用或请求 |
| 加密 | 到网关的加密隧道 | 取决于代理连接和协议 |
| 出口 IP | 每次连接通常对应一个网关 | 可使用静态或轮换 IP |
| 典型用途 | 远程访问和网络隐私保护 | 自动化和特定地区的请求 |
何时使用 VPN
- 在办公室外访问公司内部系统。
- 在公共 Wi-Fi 上保护设备与可信网关之间的流量。
- 让多个应用的流量经由同一网络节点传输。
需要逐请求控制、IP 轮换或众多目标地区时，代理往往更合适。开展数据采集时，应遵守网站的限速规则、robots.txt 和使用条款。两种工具都无法解决请求头、指纹或请求行为不一致的问题。
常见问题
VPN 会隐藏我的 IP 地址吗？
会，但仅对通过隧道访问的网站隐藏。网站看到的是 VPN 网关的公网 IP；不过，路由配置错误或 WebRTC 泄漏可能暴露其他地址。
ISP 能看到我通过 VPN 做什么吗？
ISP 能看到设备连接到了 VPN 服务器，也能看到连接时间和流量大小。隧道配置正确时，ISP 通常无法直接读取隧道内的流量，也看不到流量的最终目的地。
VPN 和代理相同吗？
不同。VPN 会建立网络隧道，通常覆盖多个应用。代理则转发已配置为使用代理的应用流量，并且在选择出口 IP 时可能提供更多控制。