VPN 无法保护你免受哪些威胁

简短回答

VPN 只保护路径中的一段：从你的设备到服务商的服务器。在这段路径中，任何承载你流量的人都无法读取流量。出了这段路径，一切都没有改变。

因此，它无法阻止网站识别你；一旦设备遭到入侵，它也帮不上忙；它不会让虚假页面变得真实。它保护你免受网络的影响，而在线上出问题的大多数情况都发生在别处。

本页将按顺序介绍这些位置，从隧道的两端开始。VPN 是什么介绍其机制，谁能看到什么则说明可见范围。

你依然是你

更换地址只能移除众多标识符中的一个，而网站早就不再依赖这一个标识符。

• 账户。登录某项服务后，无论你身处哪个国家，它都知道你是谁。你在登录期间所做的一切都归属于该账户。
• Cookie。连接 VPN 之前设置的 Cookie 之后仍然存在，并且会被发送回设置它的网站。
• 你的浏览器。屏幕尺寸、字体、图形硬件、语言和时区会组合成一个指纹，通常独特到足以单独识别你。不需要 Cookie，而 VPN 也不会改变其中任何一项。
• 你的言论。无论经过哪台服务器，一个姓名、一张照片或一种写作习惯都能识别出你。

这就是为什么广告中的匿名一词站不住脚，而简短版本对此已有明确说明。

你的设备位于近端

流量进入隧道后才开始加密，而设备上的一切操作都发生在此之前。设备上运行的任何程序都能明文看到你的活动。

• 恶意软件。键盘记录器或受感染的扩展程序会在 VPN 接收到你输入的内容之前读取它。随后，隧道会像承载其他流量一样，以加密形式承载恶意软件发出的任何内容。
• 网络钓鱼。虚假的登录页面不需要攻破任何东西，因为是你亲手把密码交给了它。薄弱或重复使用的密码依然和原来一样薄弱。
• 受管理的设备。如果笔记本电脑由雇主或学校控制，监控软件就能在设备上读取你的活动。VPN 只会将这些活动对网络隐藏起来。
• 手机。你授予位置权限的应用仍会从 GPS 获取你的位置，而移动运营商仍知道你的手机正在使用哪些基站。

有些服务商会捆绑一项过滤功能，拦截已知用于传播恶意软件或进行跟踪的地址。这可能有用，但它是隧道之外的独立功能，而且只能拦截列表中的内容。

隧道在出口处结束

服务器会解密你的流量，然后通过普通互联网继续发送。从那里开始，保护程度取决于网站本身提供什么保护。

如今大多数网站都使用 HTTPS，无论是否使用 VPN，它都会加密浏览器与网站之间的页面传输。这让过去关于咖啡馆黑客读取银行密码的说法失去了很多现实意义。在这样的网络中，VPN 主要隐藏你访问的网站。内容通常早已被加密保护。

没有 HTTPS 的页面在经过出口后仍然可被读取，路径上从那里到网站之间的任何人都能读取。一个本身不诚实或运营不善的网站，也会完整且及时地收到你发送的内容。

隧道没有承载全部流量时

以上内容都假设你的流量位于隧道内。有时部分流量并不在其中，而客户端可能始终显示“已连接”。

• 连接中断。隧道失效时，流量可能会在没有隧道保护的情况下继续传输，除非终止开关将其阻止。并非每个客户端都会默认启用它。
• 名称查询。DNS 请求可能离开隧道，而其他流量仍留在隧道内，这会让你的网络知道你正在访问哪些网站。
• IPv6。只通过较旧 IPv4 传输隧道流量的客户端，可能会让 IPv6 流量留在开放网络中。
• WebRTC。这项用于通话的浏览器功能可能会向页面暴露你的真实地址，除非浏览器或客户端阻止了它。
• 分流隧道。使用此设置时，你排除的应用会按设计绕过隧道。你很容易忘记排除了哪些应用。

服务商位于保护范围之内

你的网络原本能够看到的一切，现在 VPN 服务商都能看到，同时还能知道谁在支付该账户的费用。隧道无法保护你免受另一端公司的影响。

这会对你造成什么影响，取决于公司留存哪些内容，以及它必须服从谁的命令。加密与这两点都无关，密钥长度也一样。VPN 也不会改变法律对你自身行为的规定：你的地址变了，而适用于你的法律仍留在原处。

解读这些说法

VPN 首页上印刷的大多数内容，都是关于隧道的真实陈述，却被包装成对其他一切的承诺。

剩下的是什么

VPN 仍然有两项实用功能：将你的流量对承载它的网络隐藏起来，并用服务器地址替换你的地址。如果你遇到的是这两个问题，它可以解决。如果你遇到的是本页列出的其他问题，更换更好的服务商也无法解决。

当 VPN 是正确的工具时，剩下的问题是：你要把这份可见性交给谁，而这正是名录评估的内容。在名录中已有记录的 77 家服务商里，截至 2026年10月21日，有 0 家的安全得分处于强区间。方法论说明这个数字如何得出，而常见问题也说明高得分同样不代表什么。