VPN 新手安全基礎不只是「連上線路再上網」。真正容易出問題的地方，往往發生在連線之前：帳號密碼重複使用、訂閱連結出現在截圖中、公共 Wi-Fi 尚未完成驗證就開始傳輸資料，或分流規則把原本應加密的應用留在直連通道。逐一收緊這些入口，比頻繁切換節點更有意義。
需要先建立清楚的界線：VPN 主要保護裝置與線路入口之間的傳輸，並替換對外可見的出口位址。它不能取代網站本身的 HTTPS，也不能代替使用者判斷釣魚頁面、惡意附件或錯誤授權。服務方、出口線路與目標網站仍分屬不同的信任邊界，因此安全設定應圍繞「減少憑據暴露、確認流量路徑、及時撤銷洩漏資訊」展開。
帳號與訂閱連結各自保護什麼
帳號通常用於登入使用者面板、查看方案、取得訂閱與管理服務；訂閱連結則負責將節點位址、連接埠、協定參數與驗證資訊交給用戶端。兩者可能彼此關聯，但風險並不相同。帳號密碼洩漏會影響面板控制權，訂閱連結洩漏則可能讓他人直接取得可用設定，甚至不必登入面板。
| 對象 | 包含或控制的內容 | 常見洩漏入口 | 建議做法 |
|---|---|---|---|
| 帳號密碼 | 面板登入、方案與訂閱管理 | 重複使用的密碼、仿冒頁面、瀏覽器共用環境 | 使用獨立密碼，並從可信入口登入 |
| 訂閱連結 | 節點清單、協定參數與驗證資訊 | 截圖、剪貼簿同步、公開工單、聊天記錄 | 只匯入可信用戶端，洩漏後立即重設 |
| 本機設定檔 | 已匯入的節點與分流規則 | 共用目錄、裝置備份、遠端協助 | 限制檔案存取，移除不再使用的舊設定 |
| 用戶端日誌 | 連線錯誤、節點名稱與網路診斷資訊 | 未經檢查便直接公開貼上 | 提交前刪除驗證欄位與完整連結 |
使用獨立密碼，比頻繁更換密碼更重要
如果多個網站共用同一組密碼，任何一處憑據外洩都可能波及 VPN 帳號。更穩妥的做法是為本服務設定獨立且難以猜測的密碼，並交由可信的密碼管理工具保存。不要把使用者名稱、密碼與訂閱連結放在同一份明文筆記中，否則一次同步或分享失誤，就可能同時暴露所有入口。
註冊時也應遵循資訊最小化原則。若服務不需要電子郵件地址，就不必額外提供。服務未要求的身分資料、通訊錄權限、精確位置權限，或與連線無關的個人資訊，都不應因為「以後可能用得到」而主動填寫。提供的資料越少，帳號發生異常時需要處理的關聯範圍就越小。
- ✅ 為 VPN 帳號使用獨立密碼，不與論壇、購物或社群帳號共用。
- ✅ 將訂閱連結保存在受控的密碼管理工具中，而不是公開筆記或聊天收藏裡。
- ✅ 匯入完成後關閉不必要的剪貼簿同步，並清理包含完整連結的暫存記錄。
- ❌ 不要把面板截圖、QR 碼或完整訂閱網址發布到公開討論區。
- ❌ 不要向來源不明的「代設定」頁面提交帳號密碼或訂閱連結。
訂閱匯入與協定設定的安全界線
用戶端匯入訂閱時，會請求遠端網址並解析其中的節點。Shadowsocks、VMess、Trojan、VLESS、Hysteria2 與 TUIC 都可能出現在訂閱中，但協定名稱本身不能證明設定可信。真正需要核對的是訂閱來源、傳輸加密方式、伺服器名稱驗證、用戶端實作，以及規則是否如預期生效。
Shadowsocks 通常在代理層使用預共享金鑰與加密方法；VMess 使用自身的驗證與傳輸結構；VLESS 更為輕量，實際機密性通常仰賴 TLS、REALITY 等外層傳輸；Trojan 借助 TLS 建立加密連線；Hysteria2 與 TUIC 則以 UDP 和 QUIC 的思路，最佳化高延遲或不穩定網路下的傳輸。它們解決的是傳輸與驗證問題，不會自動識別惡意網站，也不能取代終端系統更新。
用戶端來源與權限
應優先使用專案官方發布管道，或服務面板明確提供的用戶端。來源不明的重新封裝程式可能過度要求權限，設定格式也可能過時。匯入前可以先查看用戶端需要哪些系統權限：建立系統 VPN 通道屬於正常需求，而讀取通訊錄、相簿或持續取得精確位置，通常與線路連線沒有直接關係。
不同平台的網路接管方式並不完全相同。Windows 與 macOS 用戶端通常在系統代理與虛擬網卡模式之間切換；Android 用戶端一般透過系統 VPN 介面接管流量；iOS 用戶端則依賴系統提供的 Network Extension 能力。系統代理可能只涵蓋遵循代理設定的應用程式，虛擬網卡或系統 VPN 模式的涵蓋範圍更廣，但仍要檢查排除項目、區域網路存取與應用程式分流。
直連、中轉與 IEPL 專線
直連線路代表裝置直接與境外節點建立連線，路徑簡單，但品質更依賴本地電信業者與國際出口。中轉線路會先進入中轉入口，再轉送至目標節點，方便調整跨網路徑。IEPL 專線屬於企業級國際專線形式，通常強調受控的跨境傳輸路徑。線路類型會影響穩定性與路由方式，卻不會改變憑據保管原則：訂閱一旦暴露，任何線路類型都無法阻止他人嘗試使用其中的驗證資訊。
選擇線路時還要區分「連線入口」與「最終出口」。中轉節點名稱可能顯示入口地區，而網站看到的是最終出口地區。診斷異常時，應同時記錄所選節點、出口位址與實際 DNS 解析結果，而不是只憑節點名稱判斷流量去了哪裡。
使用公共 Wi-Fi 時應先做什麼
公共 Wi-Fi 的主要問題不是它一定會竊取資料，而是使用者很難確認接入點由誰營運、同名熱點是否可信，以及登入入口網站進行了哪些重新導向。機場、飯店、商場或共享辦公空間常使用入口網站確認網路條款。此時系統雖然顯示已連線，無線網路卻可能尚未開放正常存取。
較穩妥的順序是：先確認熱點名稱來自現場可信標示；接入後只完成必要的入口網站驗證；入口網站放行後再啟動 VPN；連線成功後核對出口位址與 DNS；最後再開啟需要登入的重要網站。如果 VPN 在入口網站放行前不斷重新連線，可以暫時停止自動連線，完成入口網站步驟後再重新啟用。
- 確認接入點。不要只憑訊號強度選擇名稱相似的熱點，優先核對場所提供的正式名稱。
- 限制自動加入。離開場所後將該網路設為忘記，降低裝置日後誤連同名熱點的機會。
- 完成入口網站驗證。只填寫網路接入所需內容，不要在陌生入口網站重複使用其他網站的密碼。
- 建立 VPN 連線。選擇可信線路，並確認用戶端沒有持續報錯或反覆重新連線。
- 檢查流量出口。分別核對出口位址、DNS，以及重要應用程式是否進入通道。
HTTPS 仍然重要。VPN 加密的是裝置到線路伺服器之間的傳輸，HTTPS 則繼續保護線路伺服器到目標網站之間的應用層工作階段，並驗證網站身分。看到憑證警告、網域不一致或瀏覽器提示連線異常時，不應因為 VPN 已連線就忽略提示。
檢查 DNS 洩漏與分流規則
DNS 負責將網域名稱轉換為網路位址。如果應用程式流量經過 VPN，但 DNS 查詢仍交由本地網路提供的解析器處理，實際造訪的頁面內容通常仍受 HTTPS 保護，但網路提供者可能看見網域查詢記錄。這種「出口已變更、DNS 仍走本地」的情況，就是常見的 DNS 洩漏表現。
檢查時不要只看出口位址。連線前後分別查詢出口與 DNS，觀察兩者是否依照用戶端設定變化。如果用戶端提供「遠端解析」、「透過代理解析」或類似選項，應按照使用模式啟用。也要留意瀏覽器的加密 DNS：它可能繞過用戶端指定的解析器，也可能依照瀏覽器自身策略傳送查詢。兩者不一定衝突，但需要確認最終由誰負責解析。
| 現象 | 可能原因 | 排查方向 |
|---|---|---|
| 出口已變更，DNS 仍是本地網路 | 系統解析未被接管，或瀏覽器使用獨立解析 | 檢查遠端解析、系統 DNS 與瀏覽器設定 |
| 瀏覽器正常，其他應用程式仍直連 | 只啟用系統代理，應用程式不遵循該設定 | 檢查虛擬網卡模式或應用程式代理選項 |
| 部分網站走線路，部分網站直連 | 分流規則依網域、位址或應用程式進行比對 | 查看規則命中記錄與最終策略 |
| 休眠恢復後短暫直連 | 通道重建期間網路先恢復 | 啟用斷線保護並測試恢復過程 |
分流不是漏洞，但規則需要可解釋
分流允許中國大陸服務直連、國際服務走代理，也可以按應用程式指定路徑。它能減少不必要的繞行，但規則過時、網域比對不完整或位址資料庫未更新時，可能出現「看似已連線，目標應用程式卻直連」的情況。對隱私要求較高的應用程式，應明確指定代理策略，而不是依賴一條含義模糊的預設規則。
斷線保護通常稱為 kill switch。它的作用是在通道意外中斷時，阻止流量回落至普通網路。啟用後應主動測試一次：保持應用程式執行，手動中斷線路，確認頁面或請求停止；接著重新連線，確認網路依預期恢復。不同平台對背景執行、休眠與網路切換的處理方式不同，因此桌面端驗證通過，不代表行動裝置端的行為完全相同。
訂閱連結洩漏後的處理順序
如果訂閱連結出現在公開截圖、可存取文件、共用剪貼簿或寄錯的收件人處，應將它視為已經洩漏。刪除原始訊息只能減少後續傳播，無法確認先前是否已被複製。正確的處理方式是進入可信面板重設訂閱或產生新連結，讓舊連結及其驗證資訊失效。
如果帳號密碼也可能同時暴露，應先使用可信裝置修改密碼，再重設訂閱。之後清理各裝置上的舊設定，重新匯入新訂閱，並檢查是否存在不認識的設定副本。不要繼續在原公開貼文中貼上新連結，也不要用完整網址詢問「這條還能不能用」。需要提交工單時，可以描述發生時間、用戶端平台與錯誤現象，並將日誌中的驗證欄位去識別化。
- ✅ 從自行保存的正式入口開啟使用者面板，避免點擊洩漏現場附近的陌生連結。
- ✅ 修改可能受影響的獨立密碼，並重設訂閱連結或相關驗證資訊。
- ✅ 刪除各用戶端中的舊訂閱，重新匯入後核對節點與分流規則。
- ✅ 檢查截圖、雲端筆記、共用文件與日誌中是否仍留有完整網址。
- ❌ 不要把刪除公開訊息當作撤銷憑據，舊連結必須由服務端使其失效。
- ❌ 不要以新訂閱覆蓋舊設定後就停止檢查，舊檔案仍可能繼續存在。
如果公開的只是節點名稱，或是不含驗證資訊的錯誤提示，風險通常低於完整訂閱洩漏，但仍應檢查上下文。QR 碼往往編碼了完整連結，不能因為人眼看不到文字，就把它當成安全圖片。用戶端匯出的設定檔也可能直接包含金鑰、使用者識別碼或伺服器驗證參數，分享前必須逐項檢查。
建立可重複的日常安全習慣
VPN 安全不需要每天調整大量選項。更有效的做法是維持一套簡短且固定的流程：用戶端只從可信管道更新；不使用的訂閱及時刪除；使用公共網路時先完成入口網站驗證；連線後核對出口與 DNS；系統從休眠恢復、切換網路或用戶端升級後，再驗證一次斷線保護與分流行為。
對於長期不使用的裝置，應主動移除設定，而不是只退出用戶端。準備轉交、維修或重設裝置時，也要確認本機設定檔、訂閱 QR 碼、瀏覽器下載記錄與診斷日誌已妥善處理。進行遠端協助時，盡量只分享單一視窗，避免同時向旁觀者展示面板、密碼管理工具或訂閱詳情。
最後，閱讀服務的隱私權政策與日誌說明。重點關注註冊資訊、連線診斷資料、保留目的與刪除方式，而不是只看「無日誌」三個字。無日誌通常代表不記錄瀏覽內容的政策，但具體界線仍應以公開政策為準。使用者端能做的是減少提交資訊、保護憑據，並驗證用戶端的實際行為。