连接机场、酒店、咖啡店、图书馆或共享办公室的无线网络，并不意味着设备一定会立刻处于危险之中；但这类网络的管理者、接入设备和周围环境通常不完全受自己控制，安全边界也比家庭网络更复杂。真正需要判断的不是“公共 WiFi 能不能使用”，而是热点是否可信、连接是否加密、设备有没有在断线后自动回落，以及 DNS、WebRTC 等请求是否暴露了不必要的信息。
VPN 可以在设备与 VPN 服务器之间建立加密隧道，降低本地网络直接观察和篡改隧道内流量的机会。但它不是万能的隐身工具，也不能替代 HTTPS、系统更新、账号多因素认证和终端安全设置。即使 VPN 已经连接，恶意应用仍可能读取设备上的数据；如果主动访问钓鱼页面并输入密码，加密隧道也无法阻止账号凭据被提交给错误的网站。
WiFi
先确认热点名称与认证页面
VPN
保护设备到服务器的隧道
DNS
检查域名请求是否走错路径
WebRTC
浏览器环境可能暴露地址信息
公共 WiFi 中常见的风险来源
公共网络最容易被忽略的风险是伪造热点。攻击者可以设置与商场、酒店或机场名称相似的无线网络，让用户误以为自己连接的是官方热点。名称相同也不代表来源相同，尤其当设备自动连接曾经保存过的网络时，用户可能在没有重新确认的情况下进入错误接入点。连接前应查看场所公告、前台提供的网络名称和认证方式；如果同一地点出现多个相似热点，不要仅凭信号强弱做决定。
第二类风险来自局域网内的流量观察与主动干扰。现代网站普遍使用 HTTPS，浏览器与网站之间的内容通常会受到额外保护，但本地网络仍可能看到设备正在连接某些地址、连接时间和流量规模。未加密的旧网站、错误配置的应用或证书异常页面则可能暴露更多信息。VPN 的作用是在设备和 VPN 服务器之间增加一层加密通道，减少接入网络直接读取隧道内容的机会；它不能把不安全的网站变成安全网站。
第三类风险是 DNS 请求暴露。打开网站时，设备需要先把域名解析为地址。如果 VPN 只接管网页流量，却让 DNS 继续交给公共 WiFi 的路由器处理，网络运营者可能从 DNS 请求推测访问过哪些域名。DNS 泄漏并不等于网页正文已经被读取，但它会削弱隐私保护效果。部分系统、浏览器和安全软件还会启用自己的加密 DNS，造成多套解析路径同时存在，因此不能只看客户端界面上的“已连接”。
第四类风险来自 VPN 断线后的自动回落。无线网络短暂切换、设备休眠、系统网络权限变化或服务器重连，都可能让隧道暂时中断。如果客户端没有启用 Kill Switch，应用可能继续通过普通网络发送请求。对于邮件、云盘、远程办公和账号登录等任务，这种短暂回落也值得重视。VPN 状态图标保持显示，不一定代表每个应用的连接都已经重新进入隧道。
VPN 能保护什么，不能保护什么
VPN 的主要保护范围是设备到 VPN 服务器之间的传输路径。公共 WiFi 通常只能看到设备与 VPN 服务器之间存在连接，而不容易直接读取隧道内的具体网页内容。对于经常在机场、酒店和临时办公地点处理资料的人，这可以降低在不熟悉局域网中传输数据时的暴露面。不同协议的握手方式、连接恢复能力和对网络环境的适应性不同，实际体验还会受到客户端实现、线路路径和当前网络策略影响。
常见协议包括 WireGuard、OpenVPN、IKEv2，以及部分服务使用的 Shadowsocks、VMess、Trojan 或 Hysteria2。它们并不是“安全等级从低到高”的简单排列，也不应只按名称选择。WireGuard 配置简洁、连接建立较快；OpenVPN 生态成熟，兼容场景较多；IKEv2 在移动网络切换时常被用于快速恢复；Shadowsocks、VMess、Trojan 和 Hysteria2 更常见于兼容客户端或特定订阅配置。能否在当前系统、客户端和网络环境中稳定运行，比单独追求某个协议名称更重要。
VPN 无法阻止钓鱼网站骗取密码，也无法替代网站自身的 HTTPS 证书校验。它不能自动清除浏览器指纹、广告追踪、恶意扩展或设备中的木马，更不能保证第三方服务不会根据账号、Cookie、支付记录和登录行为识别用户。使用公共网络时，如果浏览器弹出证书警告、域名拼写异常或登录页面要求重复输入敏感信息，应先停止操作，而不是依赖 VPN 继续访问。
| 风险或目标 | VPN 能做什么 | 还需要做什么 |
|---|---|---|
| 本地网络观察连接 | 加密设备到 VPN 服务器的隧道 | 继续使用 HTTPS，避免访问异常网站 |
| DNS 请求暴露 | 在客户端正确接管 DNS 时减少泄漏 | 通过测试页面确认解析路径 |
| VPN 意外断开 | 客户端可以尝试自动重连 | 启用 Kill Switch，防止流量回落 |
| 伪造热点 | 不能判断热点是否由官方提供 | 核对名称、认证页面和场所公告 |
| 钓鱼与恶意软件 | 不能识别所有恶意页面或文件 | 检查域名、证书、扩展和下载来源 |
连接公共 WiFi 后的动手检查步骤
按正确顺序连接
到达场所后，先关闭设备的自动连接陌生网络功能，手动选择经过确认的热点。连接成功后打开浏览器，完成酒店、机场或商场的门户认证。门户页面有时需要接受条款或输入房间信息，在认证完成前，VPN 客户端可能无法正常建立连接。确认普通网页能够打开后，再启动 VPN，并等待客户端明确显示已连接。
启动后先不要立即进行支付、管理后台登录或重要文件同步。可以先打开几个日常网页，观察客户端是否保持连接，再切换一次应用，确认系统代理或 TUN 模式确实生效。如果只为浏览器设置了代理，邮件客户端、同步软件和其他应用可能仍然走普通网络；如果需要保护全部应用，应根据客户端说明选择全局模式或系统 VPN 模式，同时留意本地打印机、局域网文件和投屏功能是否因此受到影响。
检查 DNS 与 WebRTC
DNS 检查的重点是：VPN 连接后，域名请求是否仍然由公共 WiFi 提供的解析服务器处理。可以使用可信的 DNS 泄漏测试页面，记录连接前后的解析服务商与所在地区，再断开 VPN 做对照。测试结果中的服务器名称并不一定等同于用户真实位置，但如果明显出现公共网络运营者的 DNS，或者连接 VPN 后解析路径完全没有变化，就应检查客户端的 DNS 接管、系统私有 DNS 和浏览器安全 DNS 设置。
WebRTC 是浏览器用于实时音视频通信的一组技术。某些浏览器配置或扩展可能让网页获取本地网络地址、候选连接地址或其他连接信息。它与 DNS 泄漏不是同一种问题，因此一个测试正常并不代表另一个也正常。可在可信的 WebRTC 检测页面查看浏览器暴露的地址类型；如果发现不必要的信息，优先使用浏览器本身的隐私设置，或选择经过审慎评估的扩展，不要随意安装来源不明的脚本。
启用 Kill Switch 并测试断线行为
Kill Switch 的目标是在 VPN 隧道中断时阻止指定流量继续通过普通网络发送。不同客户端可能把它称为网络锁、始终开启 VPN 或阻止无 VPN 连接。启用前应阅读提示，确认它是否会影响局域网访问、系统更新、门户认证和后台服务。完成设置后，可以在不进行敏感操作的情况下手动断开 VPN，观察浏览器和同步软件是否停止联网；恢复连接后，再确认应用能够正常工作。
移动设备还要检查省电策略。Android 可能因为后台限制而暂停 VPN 应用，iOS 也可能在网络切换或系统状态变化后重新建立连接。Windows 和 macOS 则需要确认网络扩展、虚拟网卡或系统 VPN 权限没有被安全软件拦截。客户端显示“自动重连”不等于已经启用阻断规则，必须通过实际断线观察流量是否停止。
- ✅ 关闭自动加入陌生热点，连接前核对场所公布的网络名称
- ✅ 先完成公共网络门户认证，再启动 VPN 客户端
- ✅ 检查系统代理、TUN 模式或系统 VPN 权限是否符合使用目标
- ✅ 通过 DNS 测试确认解析请求没有继续交给公共网络
- ✅ 单独检查 WebRTC，避免把它与 DNS 泄漏混为一谈
- ✅ 启用 Kill Switch，并在非敏感操作期间进行断线测试
- ❌ 不要忽略证书警告、域名拼写错误或突然出现的重复登录页面
- ❌ 不要同时运行两个 VPN 或代理客户端，避免路由和 DNS 规则互相冲突
如何判断服务商的隐私政策是否值得信任
选择 VPN 服务时，不要只看节点数量或宣传中的速度。隐私政策至少应说明收集哪些账号资料、连接日志保存什么内容、数据保存多久、是否与第三方共享，以及用户如何申请删除或处理账户信息。还要区分“不会记录浏览内容”和“完全不收集任何数据”这两种不同表述：账户登录时间、支付记录、故障诊断信息和匿名统计可能属于不同类别，应该逐项阅读。
注册和支付环节也需要纳入判断。使用用户名与密码注册时，应设置没有在其他服务重复使用的密码，并妥善保存恢复信息。订阅链接往往包含访问凭据，不要复制到公开聊天、论坛、截图或共享文档中。如果怀疑链接泄露，应及时在管理页面更新或重新生成。支付方式、退款条款和客户端来源同样要查看官方说明，不要通过来历不明的安装包或所谓“优化版客户端”导入订阅。
在 Windows、macOS、Android、iOS 和 Linux 之间切换时，应优先使用官方客户端或经过审慎评估的兼容客户端。Clash Verge、sing-box、Shadowrocket 等工具可以导入相应订阅或配置，但不同客户端对规则、DNS、TUN、IPv6 和 Kill Switch 的支持并不完全一致。导入后应检查规则是否生效，不要因为订阅成功显示节点列表，就默认所有流量已经按照预期转发。
常见问题
连接公共 WiFi 是否必须使用 VPN？
不是所有公共网络都必须使用 VPN，但如果需要处理工作资料、登录重要账户、使用开放网络中的不熟悉接入设备，启用 VPN 可以增加一层传输保护。无论是否使用 VPN，都应坚持 HTTPS、系统更新、强密码和多因素认证。对支付、企业后台和敏感文件操作，可信的移动数据或个人热点有时比陌生公共 WiFi 更容易控制。
VPN 显示连接后就不会泄漏吗？
不一定。VPN 可能因为权限、规则、IPv6、DNS、WebRTC 或断线回落产生不同形式的暴露。应分别检查 DNS 与 WebRTC，并确认需要保护的应用确实经过隧道。浏览器测试结果只能反映当时配置，切换网络、更新客户端或更改系统设置后，必要时应重新检查。
可以在公共 WiFi 下使用网银吗？
优先使用可信的移动数据或个人热点。如果必须使用公共网络，应核对域名和证书，启用多因素认证，避免在设备借给他人或安装了不明软件的情况下登录。VPN 不能替代银行的风险控制，也不应被用来规避服务商对异常地区、设备或登录行为的安全验证。
VPN 断开时应该怎么做？
先暂停上传、下载、登录和同步任务，确认 Kill Switch 是否阻止了流量。随后检查公共 WiFi 是否仍然在线、客户端权限是否正常、系统是否刚从休眠恢复，再尝试重新连接。若无法确认隧道状态，不要继续处理敏感内容；可以断开公共 WiFi，改用个人热点，待网络和客户端状态明确后再继续。
公共 WiFi 的安全性取决于多层设置，而不是某个单独的开关。核对热点来源、完成门户认证、使用正确的 VPN 模式、检查 DNS 与 WebRTC、启用 Kill Switch，并保持浏览器和系统的基本防护，才能减少连接过程中的常见风险。最后还要记住，VPN 负责保护特定传输路径，账号安全、网站真伪和设备完整性仍然需要由用户自己持续确认。