VPN 新手安全指南：帳號、訂閱連結與公共 Wi-Fi 的安全使用方式

VPN 新手安全不只取決於線路協定。重複使用帳號密碼、轉發訂閱連結、使用來源不明的客戶端，都可能繞過加密通道本身。公共 Wi-Fi 還會增加接入點偽裝、入口頁面誘導與 DNS 暴露等問題。正確順序應是先確認服務入口與客戶端來源，再保護帳號和訂閱憑證，最後檢查連線後的 DNS、分流與斷線行為。

帳號密碼與復原資訊：先守住入口

使用者面板通常集中保存方案狀態、訂閱連結、線路資訊與客戶端入口。面板帳號一旦失守，攻擊者不必破解協定，就可能直接取得可用設定。因此，帳號安全的優先級高於頻繁切換節點，也高於追逐聽起來更複雜的協定名稱。

密碼不要與其他網站共用

重複使用密碼的風險來自連鎖外洩。某個無關網站發生憑證外洩後，自動化工具會嘗試將同一組帳號資訊用於其他服務。即使 VPN 面板本身沒有發生安全事件，也可能因使用者在其他地方採用相同密碼而遭到入侵。較穩妥的做法是讓密碼管理器產生並保存獨立密碼，使用者只需保護好密碼庫本身。

如果服務支援由驗證器產生的動態驗證碼，可以在確認復原方式可靠後啟用。復原碼應離線保存，不要與主密碼放在同一則聊天記錄、同一封草稿或同一個公開同步資料夾中。更換裝置前，先確認驗證器的遷移與復原流程，避免帳號仍然安全，使用者卻無法進入面板。

只從正式入口提交必要資訊

註冊頁若明確說明不需要電子郵件地址，就沒有理由在非官方表單、所謂客服代開頁面或共享文件中補交電子郵件。付款、工單和帳號復原也應從站內面板發起。遇到要求提供主密碼、完整訂閱連結、驗證器驗證碼或密碼庫截圖的請求，應立即停止操作。

• 確認瀏覽器網址列中的網域，而不是只看頁面標誌與配色。
• 透過自行保存的書籤進入使用者面板，少用聊天記錄中的臨時跳轉網址。
• 不要將主密碼、完整訂閱連結或可直接匯入的設定檔傳給客服。
• 不要在公共裝置上保存登入狀態，離開前退出面板並清除下載的設定。
• 發現異常登入、未知設定變更或流量變化時，先更改密碼，再重設訂閱連結。

隱私權政策也需要閱讀。重點不是尋找誇張承諾，而是確認服務收集哪些帳號資料、連線中繼資料保留多久、工單內容如何處理，以及無日誌政策具體涵蓋哪些範圍。宣稱「不記錄瀏覽內容」與完全不處理任何執行資料並不是同一件事，服務維持帳戶、計費和故障排除仍可能需要有限資訊。清楚的資料界線比模糊口號更有判斷價值。

訂閱連結不是普通網址，而是存取憑證

訂閱連結用於讓客戶端取得節點清單、協定參數與更新資訊。它看起來像網址，但安全屬性更接近可撤銷的金鑰。連結中常含有可識別訂閱的隨機識別碼；任何取得完整連結的人，都可能將它匯入相容的客戶端。把連結公開貼到論壇、截圖、線上解析網站或群組聊天中，可能造成與共用帳號類似的後果。

複製、匯入與更新的安全順序

1. 登入正式使用者面板，在訂閱或客戶端下載區域複製連結。
2. 開啟從官方管道取得的客戶端，使用「從 URL 匯入」或對應的訂閱匯入功能。
3. 確認匯入結果中的服務名稱、節點地區與更新時間符合預期。
4. 清除剪貼簿中的完整連結，不要長期放在筆記、電子郵件草稿或共享文件中。
5. 需要更新節點時，使用客戶端的訂閱更新功能，不要反覆將連結交給網頁轉換工具。

有些客戶端接受 URL，有些客戶端使用 YAML、JSON 或專用設定格式。格式不同不會改變憑證屬性：只要檔案內含伺服器位址、使用者識別碼、金鑰或訂閱權杖，就應按敏感設定處理。匯出的設定檔不適合上傳到程式碼儲存庫，也不適合附在公開故障報告中。

訂閱連結疑似外洩時，不要只在客戶端中刪除節點。刪除本機設定不會使已被複製的連結失效。正確做法是進入服務面板執行重設或撤銷，再使用新連結重新匯入自己的裝置。舊設定是否立即失效取決於伺服器端實作，因此應將重設視為必要步驟，而不是可有可無的清理。

客戶端與協定：名稱複雜不代表自動安全

Shadowsocks、VMess、Trojan、VLESS、Hysteria2 和 TUIC 都可用於傳輸代理流量，但它們的握手、驗證、壅塞控制與承載方式不同。協定選擇會影響網路適應性、效能與部署方式，卻不能取代客戶端完整性檢查。來源不明的客戶端，即使支援全部協定，也可能讀取訂閱、修改系統代理或收集不必要的資料。

下載客戶端時，應優先使用服務面板提供的正式入口、專案官方發布頁或經平台審核的應用程式管道。安裝套件名稱相似、搜尋結果排名靠前、介面截圖一致，都不能單獨證明來源可信。桌面系統還應核對發布者資訊與系統簽章提示；如果系統提示簽章異常或發布者與預期不符，應停止安裝並重新確認來源。

各平台的權限界線不同

Windows、macOS 與 Linux 客戶端通常同時提供系統代理和 TUN 模式。系統代理主要影響遵循代理設定的應用程式；TUN 模式透過虛擬網路介面接管更廣範圍的流量，但通常需要更高權限。啟用前應確認客戶端為何申請管理員權限，以及關閉後是否會還原代理、路由和 DNS 設定。

iOS 與 Android 通常透過系統提供的 VPN 介面建立通道。系統出現 VPN 設定確認屬於正常流程，但使用者仍應核對發起請求的應用程式是否就是剛安裝的可信任客戶端。不同平台對背景執行、依應用程式分流和本機網路存取的限制不同，因此同一份訂閱在不同裝置上的開關名稱可能不一致。

Linux 環境更常見手動設定、命令列核心與服務程序。設定檔權限尤其重要，不應讓其他本機使用者讀取。排查連線問題時，也不要直接把完整設定複製到公開問題區。可以保留協定名稱、錯誤階段和去識別化後的記錄，刪除使用者識別碼、金鑰、伺服器驗證資訊與訂閱位址。

協定負責傳輸，客戶端負責讀取訂閱、建立通道並修改系統網路設定。安全檢查必須同時涵蓋協定設定、軟體來源與系統權限。

公共 Wi-Fi：先辨識接入點，再建立通道

公共 Wi-Fi 的主要問題不是「公開」這個標籤本身，而是使用者難以驗證接入點由誰營運。同一場所可能出現名稱相似的網路，惡意接入點也可以仿製登入入口。連線前應向現場標示或工作人員核對網路名稱，不要只憑訊號強度選擇。

許多公共網路在開放網際網路存取前會開啟入口頁面。此時 VPN 可能暫時無法連線，因為裝置尚未取得完整的網路存取權。正確流程是先完成必要的入口確認，關閉多餘頁面，再建立 VPN。入口頁面只應處理連線所需的最少資訊；若頁面要求安裝未知憑證、下載設定工具、輸入電子郵件密碼或提交與上網無關的資料，應離開該網路。

通道建立前避免處理敏感工作

在 VPN 顯示已連線之前，裝置的 DNS 查詢和一般網路請求可能直接經過接入點。即使目標網站使用 HTTPS，本機網路通常仍能觀察到連線時間、目標位址等中繼資料；若 DNS 沒有進入加密路徑，還可能看到查詢的網域。建立通道後再進行帳號管理、付款操作或存取內部系統，可以縮小暴露範圍。

HTTPS 仍然必要。VPN 只加密裝置到 VPN 入口之間的路徑，流量離開出口後仍依賴目標網站的 TLS 保護。瀏覽器出現憑證錯誤時，不要因為已連線 VPN 就選擇繼續存取。憑證錯誤可能來自入口攔截、系統時間異常、網路代理或目標網站設定問題，應先停止提交任何資訊並查明原因。

斷線保護與自動連線需要實際驗證

客戶端中的斷線保護通常用於通道意外中斷時，阻止流量回到預設網路。不同客戶端可能稱為 Kill Switch、網路鎖定或阻止未經代理的連線。啟用開關後應進行可控測試：建立連線，開啟普通網頁，再主動中斷線路，觀察網頁是否停止載入以及 DNS 是否回到本機網路。測試完成後恢復連線，確認系統網路沒有被永久鎖定。

自動連線適合經常使用公共網路的裝置，但規則要清楚。若客戶端只能按網路名稱識別可信任網路，相同名稱可能被仿製；較穩妥的做法是將公共網路預設為不可信，並在連線後主動確認 VPN 狀態。離開場所後關閉自動加入，避免裝置在附近再次連線到同名接入點。

DNS 洩漏與分流規則：連線成功不代表所有流量都進入通道

客戶端顯示「已連線」，只代表某條通道已建立，不代表所有應用程式、所有網域和所有 DNS 查詢都經過它。在系統代理模式下，不遵循系統代理的程式可能直接連線；在分流模式下，規則會主動讓部分目標走本機網路；DNS 設定不一致時，網域查詢也可能繞過代理路徑。

DNS 洩漏如何發生

DNS 負責將網域解析為網路位址。如果客戶端只代理應用程式連線，卻讓系統繼續使用公共 Wi-Fi 分配的 DNS，接入點仍可能看到查詢內容。啟用 TUN、遠端 DNS 或加密 DNS 不一定能自動解決所有情況，因為系統快取、瀏覽器內建解析、本機網路規則和客戶端實作都會影響結果。

檢查時應先記錄未連線狀態下的 DNS 提供者，再連線線路並重新測試。如果連線後仍顯示由本機網路提供的解析服務，需要查看客戶端的 DNS 模式、系統網路設定與瀏覽器安全 DNS 設定。修改後清除 DNS 快取並重新建立連線，避免舊結果干擾判斷。測試網頁只能提供線索，最終還應結合客戶端記錄與系統路由確認。

應依用途檢視分流規則

分流通常會將中國大陸網站、本機網路位址或特定應用程式留在本地路徑，將其他目標交給代理。這樣可以減少不必要的繞行，但規則錯誤會產生兩類問題：本應經過代理的流量發生直連，或本應本地存取的服務被送往遠端。新手不必一開始就堆疊複雜規則，先使用來源清楚、維護狀態明確的規則集，再依實際需求調整。

排查分流時，先關閉自訂規則，使用客戶端預設設定驗證基礎連線；再逐項恢復規則，觀察問題從哪一步開始出現。不要同時更換協定、節點、DNS 和規則集，否則即使問題消失，也無法判斷真正原因。記錄中的 DIRECT、PROXY、REJECT 等動作通常能說明流量最終走向，但分享記錄前仍要清除網域、使用者識別碼和設定片段。

新手可執行的安全檢查清單

安全設定不需要一次完成所有進階選項。更有效的方法是圍繞帳號、設定、客戶端和網路路徑逐層檢查。每次只變更一個變數，並保留可還原的原始設定。

1. 從正式網域進入面板，確認註冊流程只收集完成服務所需的資訊。
2. 為面板設定獨立密碼，並將復原資訊與主密碼分開保管。
3. 只將訂閱連結匯入可信任的客戶端，不要交給未知的轉換網站。
4. 檢查客戶端發布來源、系統簽章與權限請求是否一致。
5. 公共 Wi-Fi 完成入口確認後再建立通道，發生憑證異常時停止操作。
6. 確認 DNS、系統代理或 TUN 模式與預期一致。
7. 測試斷線保護，觀察通道中斷時是否出現意外直連。
8. 分享診斷資訊前先去識別化，刪除訂閱權杖、金鑰與完整設定。
9. 發現訂閱外洩時從面板重設，不要以刪除本機節點代替撤銷。

如果某個選項的含義不清楚，優先保留預設值並查閱客戶端文件。進階設定不是越多越安全。錯誤的自訂 DNS、過度寬鬆的繞過規則或來源不明的設定腳本，可能比預設設定引入更多看不見的路徑。