VPN 安全吗：谁能看到什么、怎么自查

• 本地网络和运营商（家里宽带、公司或学校的 Wi‑Fi、咖啡店热点）：看到你的设备连着一台服务器、什么时候连的、用了多少流量；看不到你访问的域名和内容。
• VPN 运营方：看到你的来源 IP、你访问的域名或目标地址、时间和流量；HTTPS 网站里的内容——页面、密码、聊天、支付信息——它看不到。
• 你访问的网站：看到的是出口 IP，不是你家的 IP；但你一登录账号，它就知道你是谁，浏览器里的 Cookie 也照旧认得你。
• 设备上的软件：手机电脑里的 App、输入法、浏览器扩展能看到什么和 VPN 无关，开不开 VPN 都一样。

现在绝大多数网站和 App 都用 HTTPS：你的设备和网站之间另有一层加密，钥匙只在两端。VPN 的服务器只是替你转交这些已经加密的数据，转交的人拆不开。所以网银密码、邮件正文、聊天内容，对 VPN 运营方和对运营商一样，都是一串密文。

看得到的是「信封上的字」：你要去哪个域名、什么时候去的、来回多少数据。不开 VPN 时这些由本地网络和运营商看到，开了以后由 VPN 运营方看到。VPN 做的是把这份可见性从一方换到另一方，所以选谁来运营才是关键。

有两种情况内容会被看到：一是网站本身还在用不加密的 HTTP，地址栏会提示「不安全」；二是你的设备上装了别人给的根证书，对方就能解开 HTTPS。第二种是真正要防的，下面的自查清单里有检查方法。

看下面三件事就能判断大半。逐条怎么核实、已经装了可疑软件怎么补救，见如何识别有风险的 VPN 软件，那篇列了十个可以自己核实的信号。

• 谁在运营：查得到运营主体吗、运营了多久、有没有客服、隐私政策有没有写清楚保留哪些信息。能看到去向的人换成了它，它值不值得信任排第一。
• 你装的是什么 App：来自应用商店或开发者官网的标准客户端（Cisco、OpenVPN、Hiddify、Tailscale 这类），传了什么可以核实；群聊、网盘里传来的安装包，和只能用自家 App 的服务，核实不了。
• 它要了哪些权限：VPN 只需要建立隧道这一项权限。要通讯录、短信、相册、定位，或者要你安装并信任证书的，超出了一个 VPN 该做的事。

iPhone 上的 VPN App 运行在系统的沙盒里：它拿到的只有「建立 VPN 隧道」这一项，第一次连接时系统弹出「允许添加 VPN 配置」是正常步骤。别的 App 的数据、相册和短信它读不到，除非你另外授权。

在 iPhone 上要留意的是三样：要求安装描述文件并信任证书的；不经 App Store、靠企业签名或「设备管理」安装的；公司或学校配发、已经被统一管理的手机——管理方能看到的比任何 VPN 都多。到 设置 → 通用 → VPN 与设备管理 看一眼，里面应当只有你认识的条目。

至于「会不会被监控」：运营商看得到你在用一条加密连接、连的是哪台服务器，看不到里面的网站和内容；VPN 运营方看得到域名和时间。两边都看不到 HTTPS 内容。

雷顿 在 iPhone 上用的是 App Store 里的官方客户端——思科用 Cisco 的，流量伪装用 Hiddify——不要你安装证书。商店里搜不到时见iOS 装不了应用怎么办。

分两种。免费的软件——OpenVPN、Hiddify、Tailscale 这些开源客户端——本身免费，而且可以核实。免费的服务是另一回事：服务器和带宽都要花钱，不向你收费的服务总要从别处把钱收回来，常见的是广告、收集并出售使用数据，或者把你的设备当成别人的出口。

所以判断一个免费 VPN，先看它靠什么维持，再套上面的三件事。要登录账号、付款、处理工作的时候，用一个你知道谁在运营的服务。更细的比较见回国 VPN 免费还是付费。

1. 看来源：这个 App 是从应用商店或开发者官网装的吗？从群聊、网盘、二维码来的安装包，换成官方渠道的同名客户端重装。
2. 看权限：到系统设置里看它拿了哪些权限，把 VPN 以外的都关掉；关掉以后它照常能用才对。
3. 看证书和描述文件：iOS 在 设置 → 通用 → VPN 与设备管理，安卓在 设置 → 安全 → 加密与凭据 → 受信任的凭据 → 用户。出现不认识的条目就删掉，并卸载装它的软件。
4. 看出口：连上后打开一个显示 IP 的网页，确认是你选的地区；再做一次 DNS 检测，方法见DNS 污染与 DNS 泄露怎么查。
5. 看 HTTPS：打开网银或邮箱，点地址栏的锁，证书颁发者应当是正常的证书机构；浏览器提示证书有问题时，停下来不要继续。
6. 看后台：不用的时候它还在大量上传、耗电明显变快，就停用并换一个。

VPN 解决的是「路上」的问题：同一个 Wi‑Fi 上的人、本地网络、运营商看不到你去了哪里。设备里和账号里的安全，靠系统更新、正规来源的软件和谨慎的习惯。下面这几样，开着 VPN 也要自己把关。

• 钓鱼：假的登录页、假客服、假中奖链接。你自己把密码填进去，加密通道照样把它送到对方手里。看清域名再输入。
• 恶意软件：装进设备的木马、带后门的破解软件、来路不明的浏览器扩展，在数据进入 VPN 之前就拿到了它。
• 已登录的账号：登录了微信、谷歌、淘宝，平台就知道是你，换了出口 IP 也一样。VPN 换的是地址，不是身份。
• 弱密码和重复密码：一个网站泄露，别处跟着被撞开。重要账号各用各的密码，并开两步验证。
• 你主动给出去的信息：发出的帖子、填的表单、给 App 的定位和通讯录授权。

• 客户端来自 Cisco、OpenVPN、Hiddify、Tailscale 的官方和开源版本，原样镜像不修改；你随时可以用官方渠道的那份替换本站下载的那份。
• 协议都是标准协议，可以自己抓包验证。
• 注册只要邮箱，不要手机号、不要实名。
• 我们只保留计费需要的信息；不记录你访问的网站、不检查流量、不注入广告、不出售数据。
• 不要你安装证书，不要通讯录和定位权限。