VPN 如何工作

简短回答

VPN 客户端会在你的设备上创建虚拟网络连接，并通知操作系统通过该连接发送流量。每个数据包都会被加密，放入一个以 VPN 服务器为目标地址的新数据包中，然后通过你的普通连接发送出去。

服务器打开外层数据包，解密其中的内容，再使用自己的地址将其转发到互联网。回复会沿相反方向经过同样的路径返回。VPN 是什么介绍这对你的隐私意味着什么，而本页介绍其工作机制。

一个请求，逐步说明

1. 握手。客户端和服务器证明各自的身份，并协商加密密钥。你的设备会检查服务器的身份，因此其他机器不能随意冒充它。
2. 路由变更。客户端添加一个虚拟网络接口并修改路由表，使发往互联网的流量转到该接口。发往 VPN 服务器本身的流量仍必须使用你的真实连接，否则隧道就会试图通过自身运行。
3. 名称解析。你输入网站名称后，设备会向 DNS 服务器询问其地址。VPN 正常工作时，这个请求也会通过隧道。
4. 封装。你的请求会被加密并放入一个新数据包中。外层数据包显示你的地址和服务器的地址，但不包含你所请求网站的任何信息。
5. 出口。服务器解密数据包，将你的私有隧道地址替换为自己的公共地址，然后继续发送请求。
6. 回复。网站向服务器作出响应。服务器将回复与您的会话对应起来，加密后发回给你。

“隧道”是什么意思

这里并没有建造任何实体结构。这个词描述的是将一个数据包放在另一个数据包中传输：沿途的路由器读取外层数据包并将其转发，而对它们来说，内层数据包没有意义。

加密才是使其保持私密的原因，因为仅仅进行封装仍会让内层数据包可读。关于如何封装、加密和协商密钥的规则就是协议。不同协议之间存在差异，一些较旧的协议已有公开的弱点。通常会在会话期间定期更换密钥，因此之后被窃取的密钥无法解锁此前的流量。

为什么 DNS 要单独列出一步

名称解析发生在连接网站之前，而且在大多数系统中，它是由单独设置处理的独立请求。因此，它可能单独出错。

如果名称解析绕过隧道，你访问的每个网站的名称都会被网络方获知，而流量本身仍处于隐藏状态。由服务商在隧道内运行自己的 DNS可以让这些解析请求避开你的网络，但服务商本身就会看到它们。

到达出口后会发生什么

大多数 VPN 服务器会让许多客户共用一个公共地址，这称为IP 共享。网站能看到这个地址，却无法仅凭地址判断某个请求是哪个客户发出的。这也是网站有时会屏蔽或质询 VPN 流量的原因，因为一个地址承载着许多人的活动。

经过出口后，就没有 VPN 加密了。从那里开始，请求获得的任何保护都来自浏览器与网站之间的 HTTPS。服务器所在地决定你显示所在的国家，也决定适用哪一方的法律。

可能在哪里出问题

每一步都可能以自己的方式失败，而客户端仍可能显示已连接。

• 握手：协议薄弱或配置不当，会削弱后续的一切。
• 路由：如果隧道断开，旧路由可能恢复，流量就可能在未受保护的情况下发出；终止开关就是用来阻止这种情况的。
• 名称解析：DNS 请求可能从隧道外发出。
• 地址族：只路由 IPv4 的客户端可能会让 IPv6 流量继续使用你的普通连接。
• 出口：服务器由一家公司运营，而它留存什么不属于协议能够解决的范围。

这里并不会通过运行软件来衡量上述任何一项。名录会阅读关于每个服务商的已公开信息，并附上出处和日期。