VPN 的運作方式

簡短回答

VPN 用戶端會在你的裝置上建立虛擬網路連線，並告訴作業系統透過這個連線傳送流量。每個封包都會加密，放入一個以 VPN 伺服器為目的地的新封包中，再透過你一般的連線傳送。

伺服器會開啟外層封包，解密其中的內容，並以自己的位址將內容轉送到網際網路。回覆則沿相反方向經過同一條路徑。VPN 是什麼說明這對你的隱私代表什麼，而本頁說明其中的運作機制。

一個請求，逐步說明

1. 握手。用戶端與伺服器證明自己的身分，並協議加密金鑰。你的裝置會檢查伺服器的身分，因此其他機器不能只是假裝成它。
2. 路由變更。用戶端會加入虛擬網路介面並變更路由表，讓前往網際網路的流量送往該介面。前往 VPN 伺服器本身的流量仍必須使用你的實際連線，否則通道會試圖透過自身運作。
3. 名稱查詢。你輸入網站名稱，裝置會向 DNS 伺服器詢問其位址。VPN 正常運作時，這個問題也會經過通道。
4. 封裝。你的請求會加密，並放入一個新封包中。外層封包會顯示你的位址與伺服器的位址，但不會顯示你所要求的網站相關資訊。
5. 出口。伺服器會解密封包，將你的私人通道位址換成自己的公開位址，再將請求送出。
6. 回覆。網站會回覆伺服器。伺服器將回覆與你的工作階段配對，加密後傳回。

「通道」是什麼意思

這不是實際建造了任何東西。這個詞描述的是將一個封包放在另一個封包內傳送：沿途的路由器會讀取外層封包並傳送它，而內層封包對它們沒有意義。

加密讓它具備隱私性，因為單靠封裝仍會讓內層封包可被讀取。封裝、加密及協議金鑰的規則就是協定。不同協定之間有所差異，有些較舊的協定已公開存在弱點。金鑰通常會在工作階段期間定期更換，因此之後遭竊的金鑰無法解鎖較早的流量。

為什麼 DNS 需要獨立成一個步驟

名稱查詢會在連線到網站之前發生，而且在大多數系統上，這是由另一項設定處理的獨立請求。因此它可能單獨出錯。

如果查詢繞過通道，你的網路就會得知你造訪的每個網站名稱，即使流量本身仍維持隱藏。業者若在通道內運作自己的 DNS，就能讓這些查詢避開你的網路，但業者本身會因此看見這些查詢。

出口會發生什麼事

大多數 VPN 伺服器會讓許多客戶共用一個公開位址，這稱為IP 共用。網站會看見該位址，但光憑位址無法分辨某個請求是由哪位客戶送出。這也是網站有時會封鎖或要求驗證 VPN 流量的原因，因為一個位址會產生許多人的活動。

通過出口後，就沒有 VPN 加密了。請求從那裡開始所具備的任何保護，都來自瀏覽器與網站之間的 HTTPS。伺服器的位置決定你看起來位於哪個國家，也決定哪一方的法律適用於該機器。

可能在哪裡出問題

每個步驟都可能以自己的方式失敗，而用戶端仍可能顯示已連線。

• 握手：脆弱的協定或不佳的設定會削弱其後的一切。
• 路由：如果通道中斷，舊路由可能恢復，流量便可能在未受保護的情況下流出；終止開關就是用來阻止這種情況。
• 查詢：DNS 請求可能離開通道。
• 位址系列：只路由 IPv4 的用戶端可能讓 IPv6 流量留在你的普通連線上。
• 出口：伺服器由公司營運，而它保留什麼不在協定能解決的範圍內。

以上都不是透過在此執行軟體來測量的。這份名錄會讀取已公開的各業者資料，並附上出處與日期。