酒店Wi-Fi上的安全防护，与和国内的持续连接

如果你全程使用国内运营商网络，且不会接触共享Wi-Fi或敏感账户，VPN的重要性会相对降低。但对几乎所有涉及Wi-Fi或远程账户访问的国际旅行而言，VPN与旅行保险、电源转换插头一样，都属于必备清单。

• 会在酒店、机场或咖啡馆Wi-Fi上登录账号: 公共与共享网络是旅行者需要VPN的头号原因。在没有防护的情况下，密码、银行会话、邮件等一切输入的内容，都可能被同一网络上的其他人截获。VPN会在数据离开设备前就完成加密，使这类截获变得不可读。
• 希望银行、支付与国内App正常使用: 许多银行与支付服务在检测到境外IP地址后，会以疑似欺诈为由锁定会话。VPN通过国内服务器转发连接，让银行看到熟悉的IP地址，从而正常放行。若不使用VPN，你可能无法查询余额、确认扣款，或通过双重验证。
• 希望正常使用国内的流媒体、新闻或体育内容: 流媒体服务因版权原因按地区切换内容库，新闻网站与体育转播同理。通过国内服务器连接VPN，能恢复你实际付费购买的内容库，包括原本会错过的直播。
• 目的地网络环境限制较多: 部分网络会屏蔽常用通讯软件、社交平台或云服务。优质VPN能穿透这类限制，因为当地网络只能看到通往VPN服务器的加密流量，无法得知你实际在使用哪些服务。

VPN（虚拟专用网络）会在你的设备与VPN服务商运营的服务器之间建立一条加密隧道。你发出的所有数据都会先经过这条隧道，再进入更广阔的互联网。对任何监听网络的第三方而言——酒店的Wi-Fi系统、同一SSID下的其他住客、当地网络服务商——你的流量只是一串加密乱码，流向某个服务器，他们无法读取数据内容，无法得知你访问了哪些网站，也无法截获密码。

VPN服务器随后扮演中间人角色：接收加密请求，解密后转发给你真正要访问的网站或App，收到回复后再次加密，通过隧道传回你的设备。在网站看来，请求来自VPN服务器所在地，而非你的真实位置——这正是VPN能让你继续使用银行与流媒体服务的原因：在这些服务眼中，你仍身处国内。

这一切都在持续且无形中进行。VPN连接后，手机或电脑的使用方式与平时完全一样，网页照常加载，App照常运行，邮件照常收发。唯一的区别是所有流量在传输过程中已被加密，真实位置也被隐藏。

公共Wi-Fi是旅行者使用VPN的首要原因，这种风险并非危言耸听。酒店大堂、机场航站楼、车站大厅与咖啡馆普遍使用开放或共享网络。在这类网络上，攻击者只需基础工具，就能在你与路由器之间进行所谓的“中间人攻击”，悄无声息地读取传输中的数据。更常见的变体是“邪恶双胞胎”：一个名称与Hotel_Guest_WiFi类似、看似正规实则由攻击者搭建的假热点。设备会自动连接信号最强的网络，从那一刻起，你发送的一切都会经过你无法掌控的设备。

现代网页大多使用HTTPS，能加密单次浏览器会话的内容，但HTTPS并非万能：它无法保护邮件App在后台检查新邮件的行为，无法保护多数通讯软件的元数据，也无法保护悄悄暴露你访问过哪些域名的DNS查询。VPN会在设备层面对这一切进行加密，先于网络看到它们之前。即便Wi-Fi已被攻破，网络运营方也拿不到任何可读信息。

另一类场景是具备地理感知能力的服务。银行网站检测到境外IP后触发风控，锁定账户直到你联系客服核实——而当你身处异国、时差六小时时，这会相当棘手。流媒体平台会显示不同内容库，甚至直接拒绝访问。部分机票与酒店预订网站还会根据检测到的位置调整价格。通过VPN连接你选择的国家服务器，能消除这一切：银行看到你“身处国内”，流媒体呈现你平时的内容库，预订网站也无法对你施加基于位置的定价策略。

在过滤较严格的网络环境中——企业Wi-Fi、部分酒店网络、部分地区性过滤系统——优质VPN能直接穿透，因为过滤系统只能看到通往VPN服务器的加密流量，你实际使用的服务对过滤系统而言是不可见的。

• VPN不能让你完全匿名: VPN服务商能看到你的真实IP地址与你连接的网站。信誉良好的服务商会承诺不记录日志，并接受独立机构审计，但这终究是他们的承诺——你需要对其信任。若真正的目标是完全匿名（对多数旅行者而言并不典型），仅靠VPN是不够的。
• VPN会略微拖慢连接速度: 加密需要消耗一定算力，绕行远程服务器也会增加距离。优质服务商通常会让原始速度损失10%–30%——浏览网页与收发邮件几乎察觉不到，视频通话与大文件下载则会更明显。选择地理位置离你实际所在地较近的服务器，可将影响降到最低。
• 部分网络会主动尝试屏蔽VPN: 部分企业Wi-Fi、部分酒店门户网页与部分过滤系统会使用深度包检测来识别并丢弃VPN流量。优质服务商会以伪装功能应对，将VPN流量伪装成普通HTTPS浏览流量。若连接失败，切换协议或开启伪装模式通常能解决问题。
• 部分服务能识别出VPN的使用: 银行与流媒体服务会维护已知VPN服务商的IP段名单。部分会直接屏蔽这些IP段；部分则允许连接，但会对该会话标记额外验证——多一道验证码、临时冻结、或后续通知。这是安全机制正常运作的表现，而非缺陷。出发前告知银行旅行日期，能大幅减少此类摩擦。

• 在所有随行设备上安装: 手机、电脑、平板。优质服务商通常允许5到10台设备同时连接，无需在多个登录状态间来回切换即可全部受到保护。请安装原生App而非浏览器插件——插件只加密浏览器标签页，原生App则会加密设备发出的一切流量。
• 用真实场景测试: 连接国内服务器，测试你真正需要的功能：银行能否登录、银行App的双重验证是否能收到、流媒体能否播放、办公工具能否加载。再尝试连接目的地附近的服务器，确认同样正常。若在家中就出问题，出行后同样会出问题——请提前解决。
• 开启断网保护: 断网保护（kill switch）是旅行场景中最重要的单项功能。一旦VPN连接意外断开，它会立即阻断所有网络流量——这在电脑从休眠中唤醒、切换Wi-Fi网络，或酒店网络不稳定时都会发生。若未开启，设备会悄悄退回未受保护的网络，银行App可能在你察觉之前就已用真实IP发出请求。
• 确认DNS防泄露功能: DNS查询负责将网站域名转换为地址。若这些查询泄露到VPN隧道之外，即使网页内容已加密，任何监听网络的人仍能看到你访问过的每一个域名。优质VPN应用会自动将DNS请求纳入隧道，但连接后用DNS泄露测试网站验证一下，也是值得的。
• 备好备用协议: 若默认协议在目的地无法连接，知道如何切换就很关键。多数服务商提供多种选项——WireGuard、OpenVPN，有时还有专属伪装模式。从WireGuard切换到经TCP 443端口运行的OpenVPN（在多数过滤系统眼中与普通网页流量无异），是标准的应急做法。

• 使用免费VPN: 免费VPN服务商同样需要收入，若你没有付费，就是在用数据付费。免费服务商常见的盈利方式包括向广告商出售浏览数据、在网页中插入广告，或在设备后台运行占用资源的进程。已有多个知名免费App被曝出同时存在这三种行为——你为保护数据而安装的安全工具，反而在挖掘数据。一份付费旅行VPN的月费，往往还不如机场一杯咖啡贵。
• 未在出发前测试: 在路上才发现App装不上、订阅已过期，或该服务在目的地被屏蔽，是最糟糕的发现时机。在语言不通、带宽有限的陌生网络环境下重新下载App、排查连接问题，远比在家中沙发上处理要困难得多。
• 在公共Wi-Fi上未开启VPN: VPN只有在实际连接时才起保护作用。许多旅行者只在办理银行业务时打开VPN，平时浏览网页却不开启，这会暴露DNS查询、浏览记录，以及未单独加密的后台App流量。在公共Wi-Fi上，最稳妥的做法是让VPN保持持续连接。
• 忘记开启断网保护: VPN正常连接，浏览也很安全，突然酒店Wi-Fi断了三秒。若未开启断网保护，设备会悄悄用未受保护的网络重新连接，银行App可能已用真实IP发出请求，短短一瞬就足以造成暴露。断网保护正是为这种场景而生——请务必开启。
• 期待完全匿名: VPN能保护你免受本地网络威胁，也能解锁受地域限制的服务，但并不能让你在网络上彻底隐身。VPN服务商本身、你登录的网站（通过Cookie与账户）、乃至设备本身，仍然能够识别出你。就旅行用途而言，这种保护水平已经绰绰有余——但了解它的边界依然值得。

点击“连接”后，设备与VPN服务器会完成一次加密握手：双方使用非对称加密交换密钥，在完全不通过网络传输该密钥本身的情况下建立共享密钥。握手完成后，后续所有流量都会用AES-256或ChaCha20等高速对称算法加密。

你最常遇到的两种协议处理方式各不相同。WireGuard是现代默认选择：代码库精简、易于审计（约4000行代码，相比旧协议动辄数十万行），仅支持UDP，在电池续航至关重要的移动设备上效率极高。它的主要局限恰恰在于这种“仅支持UDP”的特性——网络管理员只需丢弃非常规端口上的非TCP流量，就能将其屏蔽。

OpenVPN则是更早、更灵活的替代方案。它可通过UDP或TCP运行，若配置为使用TCP 443端口——所有HTTPS网站使用的同一端口——普通防火墙就很难将其与正常浏览区分开来。这使得OpenVPN在受限网络中更具优势，尽管相比WireGuard会牺牲一些速度。

深度包检测是先进过滤系统用来在标准端口上也能识别VPN流量的技术。每种协议在数据包头部都有独特的字节模式——深度包检测正是通过分析这些模式来识别并屏蔽VPN连接。伪装功能通过随机化数据包头部、填充流量，使其在统计特征上与普通HTTPS浏览无异，从而应对这一检测。这是VPN服务商与识别系统之间持续进行的技术博弈。

DNS泄露发生在设备将域名查询发送到隧道之外时。正常情况下，访问网站时设备会向DNS服务器请求将域名转换为IP地址；若该请求发往网络运营商的DNS服务器而非VPN的DNS服务器，运营商与任何监听网络的人都能看到你访问的每个站点，即便页面内容本身已加密。优质VPN应用会自动将所有DNS请求纳入隧道，而泄露测试页面则是验证这一点最简便的方式。

• 我的iPhone用iCloud隐私中继不是已经做到这些了吗？: 并不完全是。隐私中继只是Safari与邮件的功能，而非系统级VPN——它不会加密银行App、Apple邮件以外的邮件客户端、通讯软件，或Safari之外任何应用的流量，也不会以能满足银行验证或解锁国内流媒体库的方式改变你显示的所在国家。隐私中继是不错的额外补充，但无法替代旅行VPN。
• 国内的流媒体服务还能正常使用吗？: 大多数情况下可以，但偶尔会不稳定。流媒体服务会维护已知VPN服务商的IP黑名单，因此某台服务器可能被屏蔽，而同一国家的另一台服务器却能正常使用。常规做法是切换国内的另一台服务器，直到成功连接为止。优质服务商会定期更换IP，这也是订阅费所购买的价值之一。
• 只用手机流量的话还需要VPN吗？: 流量网络明显比开放Wi-Fi更安全——手机与基站之间的连接本身就是加密的，中间人攻击与“邪恶双胞胎”那一套并不适用。但流量网络无法解决地域限制问题（银行仍会看到境外IP，流媒体内容库依然会切换），漫游运营商或当地移动网络运营商同样能看到你连接了哪些网站。相比酒店Wi-Fi，使用流量时VPN的必要性会降低，但并非完全不需要。
• 境外旅行期间应该一直开着VPN吗？: 在公共或共享Wi-Fi上，是的——建议持续保持连接。使用自己的流量套餐时相对不那么关键，但仍能增加隐私保护，避免被银行与流媒体服务识别为境外访问。代价是轻微的速度损失与一定的电量消耗。许多经验丰富的旅行者会默认保持VPN开启，只在个别需要本地IP才能工作的场景（例如某些无法通过VPN使用的导航App）临时关闭。
• VPN会耗电吗？: 会有一些影响。加密需要消耗算力，进而消耗电量。在使用WireGuard等高效协议的现代手机上，全天额外耗电大约在5%–15%之间——能感觉到，但不至于严重影响使用。如果某天电量特别吃紧，可以只在使用Wi-Fi或访问敏感服务时开启VPN，在信任当前流量网络的情况下临时断开。