這份 VPN 新手安全指南先處理最容易忽略的問題：帳號密碼、訂閱連結和 QR Code 都不是普通的安裝資料，可能直接授予線路使用權。公共 Wi-Fi 只是風險發生的環境之一，真正需要建立的是固定流程：辨識憑據、從可信入口取得用戶端、檢查連線狀態，發現異常後及時更換相關資訊。
VPN 能加密裝置與 VPN 伺服器之間的流量，但不會替使用者判斷登入頁面是否真實，也無法修正重複使用密碼、任意轉發設定或安裝來源不明用戶端所造成的問題。安全使用的重點不只是開啟一個開關，而是把帳號、用戶端、網路入口和瀏覽器狀態放進同一套檢查流程。
訂閱連結為什麼屬於帳號憑據
訂閱連結通常包含可識別帳戶或訂閱的權杖。用戶端存取該連結後，可以讀取節點名稱、伺服器位址、協定類型和連線參數。不同服務的具體實作不盡相同，但對使用者而言，判斷標準很簡單：只要將連結匯入用戶端就能取得可用設定，就應按照密碼等級的資訊妥善保管。
QR Code 只是訂閱連結或設定內容的另一種呈現方式。截圖、錄影、遠端協助畫面和公開教學都可能完整暴露 QR Code。替 QR Code 遮罩時，只遮住中央一小塊也不可靠；更穩妥的做法是不發布原圖，必要時展示操作流程則使用已失效的示範設定。
| 資訊類型 | 可能提供的權限 | 正確處理方式 |
|---|---|---|
| 帳號密碼 | 進入帳戶面板、查看或修改帳戶資料 | 分開保存，不與其他網站重複使用 |
| 訂閱連結 | 讀取節點設定並匯入用戶端 | 只貼到可信用戶端，不公開轉發 |
| 訂閱 QR Code | 掃描後匯入對應設定 | 避免分享截圖，展示前確認已失效 |
| 用戶端設定檔 | 可能包含伺服器、驗證與路由參數 | 透過私人儲存空間傳遞，使用後清除副本 |
| 診斷記錄 | 可能暴露節點名稱、網域或本機路徑 | 提交前閱讀並刪除無關的敏感欄位 |
協定名稱不是安全等級標籤
訂閱內容中可能出現 Shadowsocks、VMess、Trojan、VLESS、Hysteria2 或 TUIC。它們採用不同的傳輸與驗證方式，用戶端支援範圍也各不相同。僅憑協定名稱，無法判斷訂閱來源是否可信，也不能推斷服務端如何保存帳戶資料。來源、設定方式、用戶端實作與伺服器管理共同決定實際風險。
Hysteria2 與 TUIC 常使用基於 UDP 的傳輸，在部分公共網路中可能受到限制；Trojan、VLESS、VMess 或 Shadowsocks 也會因傳輸層設定不同而有不同表現。連線失敗時，應先切換服務提供的相容線路或查看用戶端錯誤訊息，不要從陌生頁面下載所謂的「專用修復版」。
帳號安全的基本操作原則
帳號安全始於獨立密碼。若同一組使用者名稱與密碼在多個網站重複使用，其中一個網站發生憑據外洩後，攻擊者可能嘗試登入其他服務。密碼管理器可以產生並保存不同密碼，使用者只需重點保護密碼管理器本身及裝置解鎖憑據。
註冊與日常登入應從書籤、官方網站導覽或已確認的用戶端入口進入。搜尋結果中的廣告位置、聊天訊息裡的短網址和拼寫相近的網域都需要額外核對。瀏覽器顯示 HTTPS，只代表目前連線至該網域時採用加密傳輸，不代表該網域本身一定屬於目標服務。
- ✅ 為 VPN 帳戶使用獨立密碼，不與社群、購物或工作帳戶共用。
- ✅ 將官方網站位址儲存為書籤，登入前檢查網域拼寫和頁面來源。
- ✅ 用戶端只從官方網站面板、系統官方應用程式管道或專案官方儲存庫取得。
- ✅ 分享故障截圖前，裁切掉使用者名稱、訂閱位址、QR Code 與本機檔案路徑。
- ❌ 不要把完整設定發到公開討論區，也不要讓陌生工具代為解析訂閱。
- ❌ 不要因為頁面有鎖頭圖示就直接輸入憑據，仍需確認造訪的網域。
發現異常時先控管憑據
如果訂閱連結曾出現在公開截圖、共享文件或不可信工具中，應視為已經外洩。不要只刪除原始訊息，因為副本可能已被保存。進入官方面板尋找重設訂閱、更新權杖或重新產生設定的功能；若面板沒有對應入口，請透過官方支援管道處理。
若帳號密碼也曾輸入可疑頁面，應從可信裝置開啟正確的官方網站並更換該帳戶密碼。若有密碼重複使用的情況，其他使用相同密碼的帳戶也應分別修改，且不要繼續沿用相似變體。完成變更後，刪除舊用戶端中的失效訂閱，再匯入新連結，避免排查時混淆新舊設定。
公共 Wi-Fi下 VPN 能防範什麼
公共 Wi-Fi 的主要問題是使用者難以確認接入點由誰營運，也無法掌握同一網路中的其他裝置和網路管理策略。名稱相同的接入點可能由不同裝置廣播，開放網路還可能使用入口頁面要求使用者完成連線。VPN 建立成功後，裝置到 VPN 伺服器之間的流量會進入加密通道，本地網路通常只能看到連線存在及部分網路中繼資料，而不能直接讀取通道中的應用程式內容。
但 VPN 不會取代 HTTPS，也不會讓釣魚頁面變成可信頁面。若使用者主動在仿冒網站輸入帳號，資料仍會經由 VPN 正常傳送給該網站。已安裝的惡意軟體、瀏覽器擴充功能權限過大、共享資料夾設定錯誤和裝置未鎖定等問題，也不在 VPN 通道能解決的範圍內。
連線公共網路時的操作順序
- 確認接入點名稱來自場所提供的正式資訊，關閉自動加入未知網路的設定。
- 完成網路入口頁面的必要步驟，但不要在來源不明的彈出視窗中輸入 VPN 憑據。
- 開啟可信用戶端，等待連線狀態明確顯示成功，不要以圖示閃動或網頁能開啟作為判斷依據。
- 造訪站內 IP 檢測 頁面，核對出口位址是否已變更，並檢查 DNS 狀態。
- 使用完畢後中斷網路並取消自動重新連線，避免裝置日後在未留意時再次加入同名網路。
某些公共網路會先攔截網頁並顯示入口頁面。在 VPN 尚未連線時，瀏覽器可能無法正常開啟其他網站。此時可以先完成合規的接入流程，再啟動 VPN。若入口頁面要求安裝憑證、描述檔或不明程式，應停止操作並改用其他可信網路，而不是忽略系統警告。
DNS 洩漏與分流規則如何檢查
DNS 負責將網域轉換為網路位址。VPN 已連線時，如果 DNS 查詢仍交由本地網路或原網路供應商處理，就可能形成 DNS 洩漏。結果不一定是網頁無法開啟，而是網域查詢沒有依預期進入通道。只檢查出口 IP 不足以涵蓋這個問題，還應查看用戶端採用的 DNS 模式，以及檢測頁面回傳的解析服務資訊。
分流規則決定哪些流量進入 VPN，哪些流量維持直連。合理分流可以讓本地服務使用原網路，讓需要國際線路的請求進入通道。但規則設定錯誤時，瀏覽器、命令列工具或某個應用程式可能繞過 VPN。尤其需要區分「系統代理」和「TUN 模式」：系統代理通常只影響遵循代理設定的應用程式，TUN 模式則透過虛擬網路介面接管更廣泛的流量，實際範圍仍取決於用戶端實作和系統權限。
nslookup example.com
# 檢查輸出中的 DNS 伺服器來源
# 再與用戶端目前的 DNS 設定進行核對命令輸出只能作為線索。不同系統可能快取解析結果，瀏覽器也可能啟用自身的安全 DNS 設定，因此系統查詢與瀏覽器存取可能經由不同路徑。排查時應記錄用戶端模式、瀏覽器設定和發生問題的具體應用程式，逐一關閉額外代理或自訂 DNS，避免多個網路工具同時修改路由。
| 現象 | 可能原因 | 檢查方向 |
|---|---|---|
| 出口 IP 已變更，DNS 仍顯示本地網路 | DNS 未進入通道，或瀏覽器使用獨立解析 | 檢查用戶端 DNS 模式與瀏覽器安全 DNS |
| 瀏覽器可用，命令列工具直連 | 只啟用了系統代理，工具未讀取代理設定 | 檢查應用程式代理參數，或改用合適的 TUN 模式 |
| 部分網站直連，部分網站經由通道 | 分流規則正在按網域或位址比對 | 查看規則命中記錄和目前模式 |
| 連線後無法完成網域解析 | DNS 設定衝突，或公共網路限制相關流量 | 還原用戶端預設設定並切換相容線路 |
直連、中轉與 IEPL 專線的差異
直連線路表示使用者裝置直接與目標地區的伺服器建立連線，路徑受公網路由影響較大。中轉線路會先連線至中轉入口，再由中轉網路送往出口節點，目的是改善特定網路環境下的路徑品質。IEPL 專線通常指跨境專線承載方案，與一般公網直連的路徑組織方式不同，但「專線」不代表免除帳號安全、DNS 設定和用戶端來源檢查。
線路類型主要影響傳輸路徑和穩定性，不會改變訂閱連結屬於憑據這項事實。無論選擇直連、中轉還是 IEPL，用戶端都需要正確處理驗證參數、路由和 DNS。遇到問題時應根據錯誤訊息和檢測結果選擇線路，而不是把線路名稱當作安全結論。
各平台用戶端的權限差異
Windows、macOS、Android 與 Linux 對 VPN、系統代理、背景執行和憑證管理的方式不同。首次建立 VPN 設定時，系統通常會顯示權限確認。使用者應核對提出要求的應用程式名稱，並了解它是在建立網路通道，而不是把系統權限提示當成可以連續略過的安裝步驟。
Windows 用戶端可能同時提供系統代理和虛擬網路介面模式。macOS 會將 VPN 或網路擴充功能設定納入系統管理。Android 對背景執行和省電策略較敏感，用戶端被系統停止後，通道也可能隨之中斷。Linux 的桌面環境、網路管理器與命令列用戶端差異較大，匯入同一訂閱後仍需確認 DNS 和路由是否由對應元件接管。
所謂「已連線」也可能只代表用戶端程序完成握手。更穩妥的驗證方式是同時查看用戶端狀態、出口 IP、DNS 結果，以及目標應用程式是否依規則通訊。若用戶端提供斷線保護功能，應先閱讀說明；不同實作可能只阻擋特定介面或特定模式下的流量，不能僅憑按鈕名稱推斷涵蓋範圍。
遇到可疑頁面時如何自行檢查
可疑頁面的常見特徵包括網域拼寫異常、以緊迫措辭要求重新登入、索取完整訂閱連結、要求安裝額外憑證，或聲稱必須關閉系統安全功能才能連線。單一特徵不能取代完整判斷，但只要頁面要求提交高權限資訊，就應暫停操作，改從已儲存的官方網站書籤重新進入。
不要在可疑頁面中繼續點擊「客服」「驗證」或「修復」按鈕，因為這些入口仍可能屬於同一套仿冒頁面。關閉頁面後，檢查瀏覽器下載記錄、擴充功能清單和系統近期安裝項目。若只是開啟頁面而未提交內容，重點是清理誤下載檔案並確認瀏覽器狀態；若已輸入密碼或訂閱連結，則依憑據外洩流程進行更新。
- ✅ 透過書籤或手動輸入已確認的官方網站網域，重新造訪帳戶面板。
- ✅ 比對頁面網域、憑證對應網域、導覽結構與官方公告入口。
- ✅ 檢查下載目錄，刪除尚未執行的可疑安裝檔，並清除相關瀏覽器授權。
- ✅ 已提交帳號密碼時更換密碼，已提交訂閱連結時更新訂閱憑據。
- ❌ 不要向所謂的線上檢測頁面上傳設定檔、QR Code 或完整診斷記錄。
- ❌ 不要為了解決連線問題而關閉系統更新、瀏覽器防護或憑證警告。
向技術支援求助時，應描述作業系統、用戶端名稱、連線模式、錯誤訊息和問題發生情境。必要時可以提供節點名稱，但不應將訂閱權杖、完整連結和密碼放進一般截圖。提交記錄前，先搜尋使用者名稱、訂閱位址、檔案路徑和存取網域，只保留定位故障所需的最少內容。