VPN 如何運作

簡短答案

VPN 用戶端會在你的裝置上建立虛擬網絡連線，並指示作業系統將流量經由該連線傳送。每個封包都會加密，放入一個以 VPN 伺服器為目的地的新封包內，再經你的普通連線傳送。

伺服器會開啟外層封包，解密內裏的內容，然後以自己的地址將其轉送到互聯網。回覆會沿相反方向經過相同路徑。VPN 是甚麼一文講解這對你的私隱意味着甚麼，而本頁則介紹其運作機制。

一個請求，逐步拆解

1. 握手。用戶端與伺服器互相證明身份，並協定加密密鑰。你的裝置會核對伺服器的身份，因此其他機器不能隨便冒充它。
2. 路由變更。用戶端會加入一個虛擬網絡介面並更改路由表，讓前往互聯網的流量經由該介面傳送。前往 VPN 伺服器本身的流量仍必須使用你的真實連線，否則隧道便會嘗試經由自身運行。
3. 名稱查詢。你輸入網站名稱後，裝置會向 DNS 伺服器查詢其地址。VPN 正常運作時，該查詢亦會經由隧道傳送。
4. 封裝。你的請求會被加密並放入一個新封包內。外層封包會顯示你的地址和伺服器的地址，但不會顯示你所請求的網站資料。
5. 出口。伺服器會解密封包，將你的私人隧道地址換成自己的公開地址，再將請求傳送出去。
6. 回覆。網站會回覆伺服器。伺服器會將回覆配對到你的工作階段，加密後傳回。

「隧道」是甚麼意思

這並不是實際建造了甚麼。這個詞語描述的是將一個封包放在另一個封包內傳送：沿途的路由器會讀取外層封包並傳送它，而內層封包對它們來說沒有意義。

加密令其具備私隱性，因為單靠封裝仍會讓內層封包保持可讀。封裝、加密及協定密鑰的規則，就是協定。不同協定各有差異，而部分較舊的協定已有已公開的弱點。密鑰通常會在工作階段期間定期更換，因此日後被竊取的密鑰不能解鎖較早的流量。

為甚麼 DNS 要獨立成為一步

名稱查詢會在連線到網站之前進行，而且在大多數系統上，這是由獨立設定處理的獨立請求。因此，它可以自行出錯。

如果查詢繞過隧道，你的網絡便會得知你瀏覽的每個網站名稱，即使流量本身仍然隱藏。提供商在隧道內運行自己的 DNS，便能讓這些查詢避開你的網絡，但提供商本身就會看到這些查詢。

出口會發生甚麼

大多數 VPN 伺服器會讓許多客戶共用一個公開地址，這稱為IP 共用。網站會看到該地址，但單憑地址無法分辨某個請求是由哪位客戶發出。這亦是網站有時會封鎖或要求驗證 VPN 流量的原因，因為一個地址會產生許多人的活動。

經過出口後，便不再有 VPN 加密。此後請求所獲得的任何保護，都來自瀏覽器與網站之間的 HTTPS。伺服器的位置決定你看起來身處哪個國家，也決定哪一方的法律適用於該機器。

可能在哪裏出錯

每個步驟都可能以自己的方式失效，而用戶端仍可能顯示已連線。

• 握手：弱的協定或欠佳的設定，會削弱其後的一切。
• 路由：如果隧道中斷，舊有路由可能恢復，流量便可能在沒有保護的情況下傳出；終止開關就是用來阻止這種情況。
• 查詢：DNS 請求可能會在隧道外傳出。
• 地址族：只路由 IPv4 的用戶端，可能會讓 IPv6 流量經你的普通連線傳送。
• 出口：伺服器由公司營運，而公司留存甚麼，並不在協定可以解決的範圍內。

這裏並沒有透過運行軟件來衡量上述任何一項。名錄會根據每個業者已公開的資料，連同出處及日期，閱讀和整理相關資訊。