一句话结论：VPN（Virtual Private Network，虚拟专用网络）就是在你的设备和一台远端服务器之间建立一条加密“隧道”，让设备的流量先进入隧道、到达服务器后再出去访问互联网。对目标网站来说，访问像是从那台服务器发出的；对路径上的第三方来说，他们只能看到一串发往服务器的加密数据。记住三个关键词就够了：隧道、加密、出口 IP。
本文先用一个寄快递的比喻帮你建立直觉，再讲 VPN 的工作原理、加密到底保护了谁、常见协议、能做和不能做的事，最后对比 VPN 与机场的区别，帮你判断自己真正需要哪一种工具。
用寄快递的比喻理解 VPN
假设你要给一家书店寄一封信。平时你直接把信交给快递员，信封上写着书店地址，沿途每个中转站都知道你在给谁寄信，信封如果没封好，内容也可能被翻看。
用了 VPN 之后，流程变成这样：你先把信装进一个上锁的箱子，箱子上写的收件人是一位远方的“代收人”。沿途中转站只知道你给代收人寄了个箱子，打不开，也不知道里面装的是给谁的信。代收人收到后开锁取出信，换上自己的地址再寄给书店，书店的回信也先寄到代收人那里，再装箱寄回给你。
- 上锁的箱子就是加密，沿途看不到内容。
- 箱子里套着原来的信就是封装，也就是“隧道”的含义。
- 代收人的地址就是出口 IP，书店只认识代收人，不认识你。
这个比喻也揭示了一个常被忽略的事实：代收人可以看到你寄给谁。所以 VPN 并没有让你消失，只是换了一个能看到信息的人。
VPN 最初是干什么的？
VPN 并不是为个人上网发明的。它最早用于企业：员工出差在外，需要访问公司内网的文件服务器、财务系统或代码仓库，公司就部署一台 VPN 网关，员工通过公网拨入，就像坐在办公室里一样。分公司之间也常用站点到站点（Site-to-Site）VPN，把两地的局域网连成一张网。后来才出现了面向个人的商业 VPN 服务，用途扩展到保护公共 Wi-Fi 下的隐私、更换出口 IP、远程访问家里的设备等。
VPN 的工作原理：四个步骤
- 握手与认证：客户端与 VPN 服务器交换密钥、验证身份，方式可能是证书、预共享密钥或账号密码。
- 建立虚拟网卡：系统里多出一块虚拟网卡（例如 Linux 上的 tun0、苹果系统上的 utun），并分到一个隧道内的私有地址，比如 10.8.0.2。
- 封装与加密：应用发出的原始数据包被整体加密，再套上一层新的包头，目的地址改成 VPN 服务器。
- 解封与转发：服务器收到后解密，还原原始数据包，再代替你访问目标网站，回程流量按相反方向原路返回。
举个具体的例子：你在酒店 Wi-Fi 下打开一个网页，没有 VPN 时，数据包的目的地是那个网站；开启 VPN 后，酒店路由器看到的目的地全部变成了同一台 VPN 服务器，至于你打开的是新闻、邮箱还是网盘，它无从得知。这种“整包装进另一个包”的做法，正是隧道一词的由来。
加密到底保护了什么？
| 谁 | 不用 VPN 时能看到 | 使用 VPN 后能看到 |
|---|---|---|
| 同一 Wi-Fi 下的他人 | 你访问的域名、未加密的内容 | 只有发往 VPN 服务器的加密流量 |
| 本地运营商 | 你连接的所有目标 IP 与域名 | 你连接了某台 VPN 服务器，以及流量大小和时段 |
| 目标网站 | 你的真实 IP 与大致位置 | VPN 服务器的 IP |
| VPN 服务商 | —— | 你访问的目标，因此“无日志”承诺很重要 |
可以看出，VPN 把信任从运营商、公共网络转移到了 VPN 服务商身上。选服务商时，隐私政策是否具体、是否经过独立审计、过往有没有出过事，比宣传里的“军用级加密”更值得关注，完整的筛选方法见 VPN 怎么挑：8 项硬指标。
常见 VPN 协议一览
协议决定了隧道怎么建、用什么算法加密、数据包怎么封装。目前个人用户会接触到的主要有这几种：
- WireGuard：代码精简、握手迅速、吞吐量高，是近几年新部署的主流选择。
- OpenVPN：老牌开源协议，兼容性和可配置性强，可以跑在 TCP 或 UDP 上。
- IPsec/IKEv2：系统原生支持度高，手机在 Wi-Fi 和蜂窝网络之间切换时重连快。
- L2TP/IPsec、PPTP：较老的协议，PPTP 已被证明不安全，不建议再使用。
它们在速度、耗电和流量特征上的差异，详见 WireGuard、OpenVPN、IKEv2 协议对比。
VPN 能做什么、不能做什么
VPN 擅长的事情包括：在咖啡馆、机场、酒店等公共 Wi-Fi 下防止同网用户窥探；远程办公时安全接入公司内网；出差旅行时访问原本所在地区的服务；把分散的设备组成一张私有网络，方便访问家里的 NAS 或电脑。
但它也有明显的局限。第一，传统 VPN 通常是“全局”的，所有流量都绕道远端服务器，访问本地网站反而变慢。第二，传统 VPN 协议特征明显，在网络环境复杂的地区容易被识别和干扰。第三，它挡不住你登录账号之后被网站识别身份，也替代不了杀毒软件和良好的密码习惯。第四，免费 VPN 往往靠广告或出售数据盈利，隐私保护可能适得其反。
个人 VPN、企业 VPN 与机场的区别
| 对比项 | 企业 VPN | 个人商业 VPN | 机场 |
|---|---|---|---|
| 核心目的 | 让外部员工进入内网 | 加密与更换出口 | 访问海外服务并按需分流 |
| 服务器归属 | 公司自己掌控 | 服务商在各地部署 | 服务商部署，节点多为热门地区 |
| 代理范围 | 通常只代理内网网段 | 多为整机全局 | 按规则分流，国内直连 |
| 协议特点 | IPsec、SSL VPN 为主 | WireGuard、OpenVPN 等 | Trojan、VLESS、Hysteria2 等代理协议 |
| 计费方式 | 公司承担 | 按月或按年，多不限流量 | 按流量套餐，有倍率之分 |
正因为传统 VPN 不支持细致分流、协议特征又明显，才出现了基于代理协议、按规则分流的机场服务。机场本身是什么可以看 机场是什么，两者在不同场景下怎么选见 VPN 还是机场：场景选择指南。如果你已经决定用机场，第一次购买可以参考 新手机场推荐 或直接查看 机场排行榜。
使用前的提醒与下一步
不同国家和地区对 VPN 的法律规定不同，请在使用前了解并遵守当地法律法规，仅将其用于合法用途。
回顾一下，理解 VPN 只需记住三点：它建立加密隧道，它更换了出口 IP，它把信任转移给了服务商。掌握这三点，你就能判断自己是否真的需要 VPN、需要什么样的 VPN。如果还想弄清一次网页访问在网络中如何流动、代理软件是怎样分流的，可以继续阅读 开着 Clash 打开网页背后发生了什么。