VPN 安⁠全嗎？公共 Wi-Fi、DNS 外洩與隱⁠私防護清單

VPN 安全嗎？答案不能只看「是否已連上伺服器」。加密通道可以降低公共網路中資料被旁路讀取的風險，但它不會自動替你處理 DNS 查詢、瀏覽器 WebRTC、惡意應用程式、帳戶追蹤或服務商本身的資料管理。當 VPN 用戶端顯示已連線時，仍可能出現 DNS 外洩、真實 IP 暴露、斷線後流量改走一般網路等情況。

因此，判斷 VPN 是否值得信任，應該拆成幾個可以實際檢查的環節：連線是否使用正確的加密協定、DNS 是否跟隨通道、WebRTC 是否暴露本機網路資訊、Kill Switch 是否能在斷線時阻止流量，以及服務商的無日誌政策是否寫得清楚。以下按照風險判讀、操作檢查和日常使用順序整理一份可執行的清單。

先理解 VPN 能保護什麼

在咖啡店、機場或旅館使用公共 Wi-Fi 時，裝置會先連到無線基地台，再經過網路服務商前往目標網站。若網站本身使用 HTTPS，登入密碼和頁面內容通常會再受到網站端加密保護；VPN 則是在裝置與 VPN 伺服器之間建立另一層通道，讓公共 Wi-Fi 供應者較難直接看到你存取的完整內容，也能降低未加密流量在本地網路中被觀察的機會。

不過，VPN 伺服器會成為新的流量中繼點。服務商可能看得到連線時間、流量大小、來源網路或 DNS 請求，實際能看到哪些資料則取決於協定、網站加密方式、用戶端設定和服務端記錄政策。即使服務商宣稱無日誌，也應查看政策中所說的「不記錄」究竟包含哪些項目，而不是隻根據宣傳標語下結論。

以 35VPN 的公開規格來看，服務覆蓋 120+ 國家、250+ 線路，支援 Windows、macOS、iOS、Android 和 Linux，同時在線裝置數不限。這些屬於服務範圍和使用規則，不等於每個節點在任何時間都能提供相同表現。選擇節點時，仍要根據所在網路、目標服務和當下路由狀況測試，並保留切換線路的彈性。

如何判讀無日誌政策

「無日誌」不是全球統一的技術認證用語。某些服務只表示不保存瀏覽內容，卻可能保留連線時間、來源 IP、使用量、錯誤紀錄或帳戶活動；另一些服務則會為了防濫用而保留短期技術資料。這些資料不一定代表服務不安全，但使用者需要知道它們是否存在、保存多久、誰可以存取，以及是否會交給第三方。

閱讀政策時，建議把「收集」、「保存」和「分享」分開看。收集代表服務在運作時接觸到哪些資料；保存代表資料是否寫入日誌或資料庫；分享則涉及服務供應商、基礎設施商、付款平台、客服工具和法律要求。若頁面只寫「保護隱私」而沒有列出資料類型、保存期間和披露條件，資訊透明度就不足。

還要注意「服務商看不到內容」和「服務商完全不知道你使用服務」是兩件事。付款平台、帳戶登入和客服往來仍可能留下必要紀錄。若你重視隱私，應避免把不同用途的帳戶、瀏覽器識別資訊和公開社交帳戶全部混在同一個使用環境中，也不要把無日誌政策理解為對任何行為都不會留下痕跡。

DNS 外洩要怎麼檢查

DNS 是將網域名稱轉換成 IP 位址的查詢機制。你在瀏覽器輸入網站名稱時，裝置通常需要先進行 DNS 查詢；如果 VPN 只轉送網頁流量，卻讓 DNS 仍交給本地網路、電信商或作業系統預設解析器，就可能出現「網站流量走 VPN、查詢請求留在原網路」的情況。這就是常說的 DNS 外洩。

檢查時先連線 VPN，再使用可信任的 DNS 檢測頁面查看解析器所在地和供應者。測試前可開啟幾個平常會使用的網站，讓瀏覽器產生實際查詢；測試完成後，切換不同節點或重新連線再檢查一次。若結果反覆出現本地網路供應商、家庭路由器或不應出現的解析器，應查看用戶端的 DNS 設定、TUN 模式、分流規則和作業系統網路介面。

不要只因為檢測頁面顯示了某個公開 DNS 服務，就直接判定為外洩。部分 VPN 會使用第三方 DNS，也可能使用服務商自己的解析器；重點是查詢是否按照你的設定經過受保護通道，以及結果是否符合服務文件說明。若開啟「直連」或「繞過代理」規則，某些應用程式的 DNS 請求也可能被刻意排除在通道之外。

• ✅ 連線後確認 DNS 解析器不再是本地路由器或電信商預設服務。
• ✅ 切換節點、切換網路和重新啟動用戶端後各檢查一次。
• ✅ 查看分流規則是否把 DNS 請求指定為直連。
• ✅ 在桌面端檢查系統 DNS、TUN 介面與其他虛擬網卡是否互相衝突。
• ❌ 不要只看用戶端的「已連線」字樣，就假定所有 DNS 都已受到保護。

WebRTC 與真實 IP 暴露

WebRTC 是瀏覽器用於語音、視訊和即時資料傳輸的技術。部分瀏覽器或網頁在建立連線時，可能透過 ICE 候選資訊取得本機網路介面、區域 IP 或其他連線參數。VPN 通常能改變一般網站看到的出口 IP，但不代表瀏覽器內所有即時通訊機制都會按照同一條路徑運作。

檢查 WebRTC 時，應在 VPN 已連線的狀態下，使用瀏覽器隱私檢測工具查看公開 IP、區域網路位址和候選連線資訊。不同瀏覽器版本、權限設定和網站實作可能產生不同結果，因此不應只在單一瀏覽器檢查一次。若你經常使用視訊會議或瀏覽器內建通話功能，還要確認停用 WebRTC 後是否會影響工作需求。

降低暴露風險的方法包括使用具備 WebRTC 防護設定的瀏覽器、限制網站取得本機網路資訊的權限，以及不要同時開啟多個代理工具。瀏覽器擴充功能只能影響瀏覽器內的請求，不能替代系統層級 VPN；如果其他應用程式仍直接連線，應另外檢查系統代理、TUN 和應用程式分流。

公共 Wi-Fi 的實際防護步驟

連接陌生 Wi-Fi 前，先確認網路名稱和登入頁面來源。公共場所可能同時存在名稱相近的熱點，攻擊者也可能架設仿冒網路，誘導使用者輸入帳號或付款資訊。VPN 可以保護裝置到 VPN 伺服器之間的通道，但不能證明眼前的 Wi-Fi 一定是官方提供，也不能替你辨識釣魚網站。

連線前準備

在熟悉的網路環境先安裝官方用戶端或可信任的相容用戶端，完成訂閱匯入，並確認能正常切換節點。不要在公共 Wi-Fi 登入後才搜尋來源不明的安裝檔，也不要把訂閱連結貼到陌生網站轉換。若使用手機，應提前檢查系統是否允許 VPN 建立連線，以及省電模式是否會中止背景通道。

連線後檢查

連上 VPN 後，先開啟一個一般網站和需要登入的服務，確認頁面能正常載入，再檢查 IP 與 DNS。若瀏覽器跳出重新驗證、網站顯示地區改變或部分應用程式無法連線，不要立即關閉所有安全設定；先確認是否為節點地區、分流規則、DNS 或網站風控造成。

在公共場所完成工作後，應關閉自動連接未知 Wi-Fi，移除不再使用的網路設定，並在必要時重啟 VPN 用戶端。若裝置曾連接過可疑網路，修改重要帳戶密碼前先切換到可信任的行動網路或家庭網路，同時檢查帳戶的登入活動和雙重驗證狀態。

• ✅ 連線前準備好官方或相容用戶端，避免在陌生網路搜尋安裝檔。
• ✅ 開啟 VPN 後檢查出口 IP、DNS 和主要應用程式的連線狀態。
• ✅ 對銀行、郵件和管理後台等敏感服務，優先確認網站網址與 HTTPS。
• ✅ 離開公共場所後關閉自動加入未知 Wi-Fi。
• ❌ 不要因為已連上 VPN，就忽略釣魚頁面、假熱點和帳戶驗證提示。

Kill Switch 應該怎麼設定

Kill Switch 的作用是在 VPN 通道中斷、節點切換或用戶端異常時，暫時阻止指定流量直接走一般網路。它主要處理「通道突然消失」的情況，不能修復 DNS 設定錯誤，也不能防止你主動把某個應用程式設定為直連。不同平台的實作名稱可能是網路鎖定、始終使用 VPN、阻止無 VPN 流量或類似選項。

啟用後，先在安全環境測試：連上 VPN，開啟網頁或下載工作；接著手動中斷 VPN，觀察應用程式是否停止連線；重新連線後，再確認網路是否恢復。若測試期間完全沒有網路，不一定代表設定錯誤，可能是嚴格模式正在正常阻止流量。此時應查看用戶端的例外清單、區域網路允許選項和啟動時行為。

在 Windows、macOS、Android、iOS 和 Linux 上，Kill Switch 的權限和功能可能不同。桌面端通常能控制更多系統流量；行動系統則可能由系統 VPN 框架管理，受到背景限制和省電政策影響。若同時使用 Clash Verge、sing-box 或 Shadowrocket 等相容用戶端，應避免與官方用戶端同時啟用系統代理或 TUN，否則多個路由接管機制可能互相衝突。

一份可重複使用的安全清單

VPN 安全性不是首次設定完成後就永遠不變。作業系統更新、瀏覽器版本、用戶端規則、節點調整和網路環境變更，都可能影響結果。建議在首次安裝、更新用戶端、切換相容客戶端或長期未使用後，重新做一次基本檢查。

• ✅ 確認訂閱來源可靠，並把訂閱連結視為敏感憑證保存。
• ✅ 查看無日誌政策是否具體說明活動、連線、帳戶和第三方資料。
• ✅ 連線後檢查出口 IP、DNS 解析器和 WebRTC 資訊。
• ✅ 啟用 Kill Switch，並手動斷線測試實際效果。
• ✅ 確認分流規則，知道哪些應用程式和網域會直連。
• ✅ 避免同時開啟兩個能接管系統網路的用戶端。
• ✅ 定期更新作業系統、瀏覽器和 VPN 用戶端。
• ❌ 不把 VPN 當成防毒軟體、帳戶安全工具或釣魚網站過濾器。

如果你的主要需求是公共 Wi-Fi 防護，優先確認通道、DNS、Kill Switch 和帳戶安全；如果需求是特定地區服務或串流平台，則還要考慮節點地區、分流方式和平台的登入風控。35VPN 支援多平台、不限同時在線裝置，並提供月訂閱和流量包，但方案選擇仍應按照自己的流量與裝置管理方式判斷，不要只看節點數量。

常見問題