连接酒店、机场或咖啡店 WiFi 时，很多人把 VPN 当成“打开后就绝对安全”的开关。实际上，VPN 的价值是把设备到 VPN 服务器之间的流量放进加密隧道，并改变一部分网络请求的传输路径；它不能替你识别假 WiFi、修复设备漏洞，也不能保证登录后的账号不会因为钓鱼页面或重复密码而被盗。
公共网络的风险通常来自多个环节：有人搭建名称相似的热点诱导连接，接入点记录连接信息，网络门户要求输入邮箱或手机号，设备上的应用在后台发起请求，或者 VPN 因网络切换而暂时断开。本文把“VPN 能保护什么”和“仍然需要自己检查什么”分开说明，再给出 DNS、WebRTC、断线保护和热点连接顺序的自查清单。重点不是制造恐慌，而是在连接前、连接中和使用后分别建立可执行的检查动作。
公共 WiFi有哪些隐私风险
公共 WiFi 最大的问题并不一定是“有人能直接看到所有内容”，而是你很难确认自己连接的到底是谁提供的网络。酒店、机场和咖啡店常用公开名称，攻击者也可能设置一个拼写相近、信号更强的热点。设备一旦自动连接，后续的 DNS 查询、未加密请求、系统服务通信和应用连接都可能经过这个接入点。即使内容本身使用 HTTPS 加密，连接时间、目标域名、设备特征等元数据仍可能暴露给网络运营者或恶意接入者。
假热点还可能配合仿冒门户页面。用户以为正在接受 WiFi 使用条款，实际却把邮箱、手机号、社交账号或支付信息填入了钓鱼页面。VPN 不能判断一个页面是否真实，也不会阻止你主动提交密码。连接公共网络后，如果浏览器突然要求重新登录常用服务、页面域名与平时不一致，或证书提示异常，应立即停止输入敏感信息。
另一类风险来自本地网络发现和设备暴露。部分系统或应用会使用局域网发现、文件共享、远程控制和打印服务。公共网络中的其他设备可能尝试扫描开放端口，或者向设备发送异常请求。VPN 主要保护设备到 VPN 服务器之间的传输，并不等同于完整的终端防护；系统防火墙、网络类型设置和应用权限仍然重要。
4
重点自查项目
3
连接阶段
1
默认原则：先验证再登录
把风险拆成阶段更容易执行。连接前，确认热点名称、密码来源和设备共享设置；连接中，确认 VPN 已建立且没有 DNS 或 WebRTC 异常；使用后，退出重要账号、关闭自动连接，并删除不再使用的网络配置。这样的流程比单纯记住“公共 WiFi 不安全”更有实际意义。
VPN 加密能保护什么
VPN 建立后，设备到 VPN 服务器之间通常会形成加密通道。对于公共 WiFi 的接入点来说，通道内的具体内容不应以普通明文形式直接呈现。使用浏览器访问网站、同步应用数据或发送普通网络请求时，VPN 可以减少本地网络直接观察和篡改传输内容的机会。对于经常在不同网络之间切换的人，统一的隧道也便于把部分流量交给同一个出口处理。
但“加密”有明确边界。流量从 VPN 服务器到目标网站的后半段，仍然取决于目标服务是否使用 HTTPS 或其他端到端加密。VPN 服务器运营者通常可以看到连接到它的时间、流量特征和部分请求元数据，因此选择服务时应关注隐私政策、客户端来源、协议实现和账户保护方式。VPN 不是匿名按钮，也不应被用来替代密码管理器、双重验证、系统更新和安全浏览习惯。
不同协议的实现方式也会影响连接表现。Shadowsocks、VMess、Trojan、Hysteria2 和 WireGuard 属于不同的协议或协议生态，客户端与服务端必须使用相互兼容的配置。协议名称本身不能证明某条线路一定更安全；错误的 TLS、服务器名称、认证参数或 DNS 设置，同样可能导致连接失败、请求绕行或解析异常。使用订阅导入配置时，应优先采用服务提供的官方客户端或兼容客户端，并在更新后检查配置是否完整。
- ✅ 把 VPN 视为设备到 VPN 服务器之间的加密通道，而不是所有网页风险的自动拦截器。
- ✅ 继续确认浏览器地址、证书提示和网站域名，敏感操作优先使用 HTTPS。
- ✅ 为重要账号启用双重验证，并避免在公共网络中保存或输入不必要的支付信息。
- ✅ 使用可信来源获取客户端和订阅，导入后核对协议、节点与 DNS 相关设置。
- ❌ 不因为 VPN 已连接，就在陌生门户页面输入主账号密码或验证码。
- ❌ 不把“节点能连接”直接等同于“所有应用和请求都经过隧道”。
连接公共 WiFi的动手检查步骤
下面的步骤适用于 Windows、macOS、Android、iOS 和 Linux，具体菜单名称会因系统版本和客户端而变化。检查时不要只做一次成功连接测试，最好在刚连接热点、打开 VPN、切换网络以及主动断开 VPN 后分别观察结果。这样才能发现“图标还在但流量已经绕行”的情况。
- 先确认热点来源。向酒店前台、机场服务台或店员核对准确的网络名称、密码和门户地址。不要仅凭信号强弱选择热点，也不要连接名称后面带有“Free”“Guest”但无人确认的网络。
- 关闭不必要的自动连接。在系统的已保存网络列表中，取消公共热点的自动加入选项。使用结束后删除临时网络，避免设备下次经过同一地点时自动重连。
- 先连接 WiFi，再启动 VPN。如果网络需要门户认证，先完成必要的接入流程，再打开 VPN。不要在门户页面输入高价值账号；如果客户端无法连接，先确认门户是否已经放行，而不是反复点击连接。
- 确认系统级 VPN 状态。查看客户端是否显示已连接、当前配置是否为预期节点，并观察系统状态栏或网络设置中的 VPN 标识。部分客户端的“已启动”只代表进程运行，不一定代表数据隧道已经建立。
- 测试出口和 DNS。打开可信的网络检测页面，分别查看出口地址、DNS 服务商和 IPv6 结果。若出口地址已经变化，但 DNS 仍由本地网络处理，说明隧道或分流设置可能不完整。
- 检查 WebRTC。在支持 WebRTC 的浏览器中查看是否出现与本地网络或真实出口相关的地址。浏览器的 WebRTC 行为受系统、浏览器和客户端实现影响，检测结果异常时，可关闭不需要的 WebRTC 功能，或使用客户端提供的防泄漏设置。
- 模拟断线。暂时关闭 VPN 或切换到另一个网络，观察应用是否立即停止联网。若 VPN 断开后网页仍能继续加载，说明客户端可能没有启用断线保护，或者当前应用被设置为绕过 VPN。
- 完成后清理。退出需要保护的账号，关闭文件共享和设备发现，断开 VPN 与公共 WiFi，并删除不再需要的网络配置。不要把临时热点长期保留在自动连接列表中。
DNS 与 WebRTC为什么需要单独检查
DNS 负责把域名转换为 IP 地址。即使网页正文经过 VPN 传输，如果 DNS 查询仍然交给公共 WiFi 提供的解析服务器，网络运营者仍可能从查询记录推断你准备访问哪些服务。DNS 泄漏还可能造成分流结果不一致：连接出口已经改变，但域名解析仍遵循本地网络的结果，表现为网页打不开、区域判断异常或切换节点后仍然命中旧缓存。
检查 DNS 时不要只看“DNS 已加密”这一项。需要同时确认客户端是否接管 DNS、分流规则是否把特定域名交给本地解析、IPv4 与 IPv6 是否采用一致路径，以及系统是否保留旧的 DNS 缓存。修改设置后，应断开并重新连接 VPN，再清理浏览器缓存或重新打开检测页面。对于企业内网、局域网打印机和本地服务，强行把所有域名交给远端解析也可能影响正常使用，因此要根据实际需求配置规则。
WebRTC 是浏览器用于实时音视频通信的一组技术。某些浏览器环境下，WebRTC 可能通过独立路径获取网络接口信息，检测页面因此显示与预期不同的地址。它不一定意味着所有普通网页流量都泄漏，但如果你特别在意浏览器暴露的网络信息，就应检查浏览器权限、WebRTC 防护选项和 VPN 客户端的浏览器兼容说明。视频会议、语音通话和网页实时通信功能也可能因过度限制而受影响，修改后要进行实际通话测试。
| 检查项目 | 正常观察 | 异常表现 | 处理方向 |
|---|---|---|---|
| 出口地址 | 显示与当前 VPN 节点相符的出口 | 仍显示公共 WiFi 或本地网络出口 | 检查全局模式、分应用规则与客户端状态 |
| DNS 解析 | 解析路径符合客户端和分流设置 | 出现本地网络提供商或未知解析服务 | 检查 DNS 接管、IPv6 与缓存 |
| WebRTC | 浏览器没有展示不希望暴露的本地接口信息 | 检测页出现本地地址或非预期出口 | 调整浏览器 WebRTC 与客户端防泄漏选项 |
| 断线保护 | 隧道断开时目标请求停止 | VPN 断开后网页仍继续加载 | 启用系统级断线保护并复测绕过规则 |
VPN 之外还要做哪些防护
公共网络的安全性最终仍取决于终端和账号习惯。系统与浏览器应及时更新，屏幕锁定和设备加密应保持开启，文件共享、远程登录和局域网发现应在不需要时关闭。Windows、macOS、Android、iOS 和 Linux 的设置入口不同，但核心原则一致：不让陌生网络获得不必要的设备权限，不让应用在后台拥有超出用途的访问能力。
账号方面，避免在多个服务重复使用密码。公共 WiFi 上若必须登录，优先使用已经启用双重验证的账号，并留意异常登录通知。不要在陌生门户页面输入邮箱密码来“领取免费网络”，也不要安装页面推荐的描述文件、证书、浏览器扩展或所谓网络加速工具。真正的公共网络认证通常不需要你交出主账号凭据。
使用 VPN 时也要保持故障判断能力。连接慢不一定是 DNS 泄漏，网页打不开也不一定是热点攻击，可能是门户尚未放行、UDP 被限制、客户端协议不兼容、系统省电策略暂停进程，或分流规则把目标应用排除在隧道之外。先看客户端日志和系统 VPN 状态，再逐项关闭变量测试，比频繁更换节点更容易找到原因。
- ✅ 连接前核对热点名称，关闭公共网络自动加入和局域网共享。
- ✅ 连接后检查 VPN 状态、出口地址、DNS、WebRTC 与 IPv6 结果。
- ✅ 为浏览器和重要应用保留清晰的分流规则，避免误把敏感应用设为直连。
- ✅ 开启断线保护后进行一次主动断线测试，确认规则真正生效。
- ✅ 使用结束后退出账号、断开热点并删除临时网络记录。
- ❌ 不安装陌生门户推荐的证书、配置文件、插件或所谓安全工具。
- ❌ 不在公共 WiFi 中处理不必要的支付、密钥导出和设备管理操作。