VPN，即虚拟专用网络，是很多人安装了却不太清楚它到底有什么用的工具之一。有人以为开了它就能在网上"隐身"，也有人觉得它只是上班族办公用的。真实情况介于两者之间。一旦弄明白VPN的工作原理，您就能更轻松地判断什么时候值得打开它。
本文用通俗易懂的语言介绍什么是VPN、它能保护什么、不能保护什么，并坦诚地列出几种可以不开VPN的情况。
VPN到底做了什么
每当您的手机、笔记本电脑或电视联网时，数据在到达网站之前都要经过好几方：您所连接的Wi-Fi网络、运营这个网络的公司、您的网络运营商，最后才是网站或应用的服务器本身。其中每一方都能看到与您连接有关的部分信息。
VPN会在您的设备和VPN服务器之间建立一条加密隧道。您的设备把每一段流量都加密封装后发送给VPN服务器，服务器再将其解开，转发到更广阔的互联网上。返回的数据也沿同样的路径传回。
这种设计带来两个实际效果：
- 本地网络和您的网络运营商能看到的信息变少了。 他们能看到您连接了一台VPN服务器，以及传输了多少数据，但看不到隧道内的流量内容，也看不到您访问了哪些网站。
- 网站看到的是VPN服务器的IP地址，而不是您的。 您的公网IP地址可能暴露您的大致位置和所用的网络运营商。开启VPN后，网站看到的是您所连接服务器的地址。
英国国家网络安全中心（NCSC）在面向机构的指南中也有类似的描述：VPN是一种加密的网络连接，用于在不可信的网络上保护"传输中的数据"。
VPN在设备上如何工作
在现代手机和电脑上，VPN并不是浏览器里的小把戏，而是在操作系统层面运行的。以Android为例，应用会调用一项系统服务来创建虚拟网络接口。Android开发者文档说明，应用在建立VPN之前，系统会先征求用户许可；VPN运行期间，状态栏会显示一个钥匙图标。这就是为什么您首次用VPN应用连接时，会弹出"连接请求"提示。
浏览器扩展则不同。VPN类扩展通常只是作为浏览器的代理工作，浏览器之外的应用不在保护范围内。如果您希望保护设备上的所有流量，请使用该平台对应的应用。
VPN真正派上用场的时候
使用您无法掌控的Wi-Fi时
咖啡馆、机场、酒店和火车上的Wi-Fi很方便，但您并不知道它的管理是否到位，也不知道还有谁连在上面。如今大多数网站已经使用HTTPS，可以保护每个页面的内容。VPN则再加一层保护：它对网络运营方隐藏您访问了哪些网站，并保护那些可能没有对所有数据进行妥善加密的应用或老旧服务。更多细节请参阅我们的公共Wi-Fi安全指南。
不想让网络运营商看到您的浏览记录时
您的网络运营商通常能看到您查询的域名和您连接的服务器。EFF的"监控自卫"（Surveillance Self-Defense）指南指出，这类信息通常被称为元数据，即使内容本身已加密，也能透露一个人的大量情况。VPN把这种可见性从您的网络运营商转移到了VPN服务商那里，因此选择一家值得信赖的服务商非常重要。
不想让每个网站都看到您的IP地址时
您的公网IP地址会提供给您访问的每一台服务器。它不是您的家庭住址，但可以指向您所在的城市和您的网络运营商。VPN会用VPN服务器的地址替换它。您现在就可以用我们的我的IP是什么工具，看看自己的连接暴露了哪些信息。
出门在外时
不在家的时候，无论酒店或场所提供的是什么网络，VPN都能让您继续使用一条熟悉的加密连接，而不必逐一信任每个新网络。
VPN做不到的事
清楚了解它的局限同样重要。VPN：
- 不能让您匿名。 如果您登录了某个账户，该服务就知道是您。Cookie、浏览器指纹和已登录的会话仍然可以识别您的身份。
- 不能阻止网络钓鱼或恶意软件。 假的登录页面通过隧道访问依然是假的。请保持系统和应用及时更新，谨慎对待链接和附件。
- 不能替代HTTPS或强密码。 它是对二者的补充。请尽可能使用独一无二的密码并开启两步验证。
- 只是转移信任，而不是消除信任。 您的流量要经过VPN服务商的服务器处理。EFF建议，在依赖某个VPN之前，先了解它靠什么维持运营、商业模式是什么、受哪些国家的法律管辖。EFF也明确指出，VPN并不是实现匿名的工具。
什么时候可以关掉
您不必一天到晚每分每秒都开着VPN。在以下情况下关闭它是合理的：
- 您在自己信任的家庭网络上，而且只做本来就已端到端加密的事情。
- 您依赖的某项服务（比如银行）暂时拒绝来自VPN地址的连接。先关掉VPN，办完事后再重新打开。
- 您需要访问本地网络中的设备，例如打印机或家用媒体服务器，而您的设置不允许通过隧道进行本地访问。
如果发现某个网站表现异常，可以先换一台服务器试试，而不是直接彻底关闭VPN。
选择VPN时要看什么
下面是一份简短实用的检查清单：
- 现代协议。 WireGuard是一种被广泛使用的现代协议。我们的文章《WireGuard与现代VPN协议》介绍了它的工作原理。
- 清晰的日志政策。 仔细阅读服务商声明会记录什么、不记录什么。
- 断网保护（kill switch）。 一旦隧道中断，断网保护可以防止流量在无保护的状态下悄悄离开您的设备。
- 防泄漏保护。 您的浏览器可能通过WebRTC暴露您的IP地址。请用我们的WebRTC泄漏检测进行测试，并阅读如何检查您的IP和WebRTC泄漏。
- 覆盖您实际使用的设备的应用。 手机、电视和电脑，理想情况下可共用一个账户。
VPNRice的做法
VPNRice提供适用于Android、Android TV、iPhone和iPad以及Windows的应用，另有Chrome和Firefox扩展，可让您的浏览器流量经由VPNRice服务器转发（扩展本身不额外加密；您通过HTTPS打开的网站仍保持端到端加密）。应用提供三种协议：WireGuard、RiceGuard（在WireGuard基础上增加数据包混淆）和RiceGuardX（基于TLS的协议），还有可以替您自动选择的Auto模式。Windows应用提供WireGuard、RiceGuardX和Auto。
轻点一下即可连接，应用会从分布在39个国家的服务器中自动为您挑选一台。其他功能包括应用内的广告和跟踪器拦截（部分套餐提供）、断网保护（在Android上使用系统的"始终开启的VPN"设置），以及在Android和Windows上按应用选择是否走VPN。VPNRice的服务器不会记录您访问的网站、您的DNS查询或您的流量。
只要清楚VPN能保护什么，它就是一层简单而实用的防护。如果您想试一试，可以为您的设备下载VPNRice，从免费版开始体验。